Есть центральный офис, в качестве сервера W3K.
Есть филиалы в городе. На части стоят роутеры TrendNet, на остальных D-link (804).
Так вот иногда (несколько раз в день) филиалы не могут поднять VPN до центр. офиса. W3K пишет у себя в логе такое:
===
Связь между VPN-сервером и VPN-клиентом 111.222.333.444 была установлена, но не удалось завершить установку VPN-подключения. Наиболее вероятная причина - брандмауэр или маршрутизатор между VPN-сервером и VPN-клиентом не разрешает передачу пакетов GRE (Generic Routing Encapsulation) протокола 47...
===
Первым правилом с обоих сторон - разрешить все между нашими IP.
Повторюсь: это возникает не всегда и на роутерах TrendNet все работает.
Подскажите, что может быть?

Какая прошивка на DI-804HV? Соединения IPSec?

Прошивка: V1.44b11.
Причем, посмотрел сегодня, есть еще DI-624 - выдает периодически такое же.

Я не понимаю. Из филиалов подключаются сами роутеры или клиенты, подключенные к роутерам? Какой тип VPN?

Клиенты, подключенные к роутерам.
Тип VPN - MS PPTP.

Смежный вопрос viewtopic.php?t=53379 и далее по ссылкам
с чем еще бюджетным будут РЕАЛЬНО впниться эти железки?

Только меня интересует не сквозной впн в интернет на выход из LAN через железку, как у автора темы, а бюджетные варианты второго конца межсайтового линка. Либо сквозной впн на вход к расположенному в LAN серверу.

"Помощь в настройке" (негарантированная) моих осей меня не устраивает: мне нужно сделать информированный выбор осей и/или железок, с учетом того, что им предстоит иметь дело с существующим DI-808HV и гарантированно к нему подключаться. Либо убедиться в том, что длинковская железка это такая "купи козу", что проще и дешевле ее выкинуть. Выходные кончились, если ответа в ближайшие дни не получу - такой вывод и сделаю.