Возникла задача разместить сервер за IPSec. сеть на двух DFL-1660

Раньше было все просто.
Был DFL1(2 внешних ip на wan1)
Внешний ip (к примеру 188.163.235.157) прописан через ARP.
Порт 4010 перенаправлялся через SAT-->Allow на 4010 порт сервера 10.12.12.10
Все работало чудно.

Теперь сервер переехал на адрес 10.12.13.10 (Между сетями поднят IPSec 10.12.12.0/24 <--> 10.12.13.0/24)
Из сети 10.12.12.0/24 сервер 10.12.13.10 виден и порт 4010 доступен.
Из внешнего мира:
SAT-->Allow на 10.12.13.10 не работает
SAT-->NAT на 10.12.13.10 работает (но сервер дожен видеть ip отправителя)

Не ясно почему не работает SAT-->Allow
Маршрут прописан DFL1_IPSec_interface 188.163.235.157 DFL2_IPSec_ip 0
по логам DFL1 все ок соединение открывает
на логе DFL2 вообще пусто, никаких обращений на 4010...
Я понимаю что мне прийдется на DFL2 прописать обратный маршрут и заворачивать ответы сервера через DFL1, но я в логах никаких варнингов не вижу.

Может кто подскажет где собаку искать?

Поднимать туннели с алл нетс .
Должно все получится. Как поднимать туннели я описывао не раз.

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку

Спасибо. Все заработало. Вы очень помогли мне.