Есть четыре штуки DI-804HV. Прошивки v 1.50
1) Подключение - Static IP, через DSL-500T
2,3,4) Подключение PPPoE через разные DSL модемы, включеные бриджами.
Создано четыре тоннеля между 1) и каждым из 2) 3) и 4)
Все соединяется, все работает. Но работает нестабильно - периодически повисает один из 2,3,4 - пишет в в статусе Establishing и не восстанавливает тоннель до перезагрузки маршрутизатора. Но еще чаще виснет 1 - та же история, все туннели Establishing и не соединяется до перезагрузки маршрутизатора. Галочка Auto-reconnect в настройках тоннелей стоит.
Вопрос - что можно сделать?

Неужели никто с таким не сталкивался?

Настройки тоннеля в студию, телепаты в отпусках.
IKE Keep Alive - с ним что?

Устройство 1:
LAN: 192.168.1.57
MASK: 255.255.255.0

ID: tn1 Method: IKE

Aggressive mode: Enable
Local Subnet 192.168.1.0
Local Netmask 255.255.255.0
Remote Subnet 192.168.28.0
Remote Netmask 255.255.255.0
Remote Gateway 172.24.---.---
IKE Keep Alive 192.168.28.52
(Ping IP Address)
Preshare Key ************
IPSec NAT Traversal Enable
Auto-reconnect Enable

IKE Proposal index: key1
ID 1
Proposal Name: key1:
DH Group : Group2
Encrypt algorithm : 3DES
Auth algorithm : MD5
Life Time: 86400
Life Time Unit: Sec

IPSec Proposal index: ipkey1
ID: 1
Proposal Name: ipkey1
DH Group: None
Encap protocol: ESP
Encrypt algorithm: 3DES
Auth algorithm: MD5
Life Time: 28000
Life Time Unit: Sec



Устройство 2:
LAN: 192.168.28.52
MASK: 255.255.255.0

ID: tn1 Method: IKE

Aggressive mode: Enable
Local Subnet 192.168.28.0
Local Netmask 255.255.255.0
Remote Subnet 192.168.1.0
Remote Netmask 255.255.255.0
Remote Gateway 172.24.---.---
IKE Keep Alive 192.168.1.57
(Ping IP Address)
Preshare Key ************
IPSec NAT Traversal Enable
Auto-reconnect Enable

IKE Proposal index: key1
ID 1
Proposal Name: key1:
DH Group : Group2
Encrypt algorithm : 3DES
Auth algorithm : MD5
Life Time: 86400
Life Time Unit: Sec

IPSec Proposal index: ipkey1
ID: 1
Proposal Name: ipkey1
DH Group: None
Encap protocol: ESP
Encrypt algorithm: 3DES
Auth algorithm: MD5
Life Time: 28000
Life Time Unit: Sec

1. отключи Aggressive mode
2. уменьши Life Time
Похоже, что канал между маршрутизаторами замусорен/нестабилен и падает IPSec тоннель.
Как эксперимент - снизить уровень безопасности до Group1/DES/SHA1, если все пойдет пучком, то дело в канале.
Лечится сменой провайдера, либо безбожным уменьшением Life Time

Убрал Agressive Mode - посмотрю что из этого выйдет.
А Life Time понижать - для тоннеля или для IKE?

Насчет стабильности канала - тут понятно, что если канал плохой, то соединение должно рваться. Но почему оно не восстанавливается - не понятно. Маршрутизаторы просто висят со статусом Establishing - при этом интернет есть, все, кроме тоннеля, нормально работает, но пока не перезагрузишь - тоннель не восстановится?

Попробовал с включенным/выклеченным Aggressive mode, попробовал с разным Life Time - есть изменения в частоте зависаний, вроде на первый взгляд стало меньше. Но все равно тоннели периодически виснут и не восстанавливаются.

Странно, у меня как раз после перехода с прошивки 1.4x на 1.50b2 зависания туннелей ликвидировались как класс.

Ресоглосование тоннеля идет по истечении Life Time - дальше думаю и так ясно
Снизь уровень секюрности и проверь, должно перестать вешать тоннели.

Смысл _примерно_ такой:
1. Тоннель устаканился, ключи согласовались, пошел отсчет ЛайфТайма
2. Но... канал замусоренный, а секюрность высокая - ключи отвалились.
3. Тоннель висит, устройства то друг друга видят, а то что ключи похерились им побоку
4. Пока твой лайфтайм в 24 часа не отмотается, то устройства и не чухнуться по этому поводу.
Вот и думай