Помогите настроить.
Пробовал по этому факу настраивать Windows Server 2003:
http://dlink.ru/technical/faq_vpn_21.php
А по этому DI-804 HV:
http://dlink.ru/technical/faq_vpn_8.php

Lifetime ставил 3600
В итоге имею в логе:

WAN Type: Dynamic IP Address (V1.42)
Display time: Sunday December 11, 2005 03:30:00

Sunday December 11, 2005 03:26:42 Send IKE Q1(QINIT) : 192.168.0.0 --> 192.168.107.0
Sunday December 11, 2005 03:26:42 Receive IKE INFO : 193.27.80.106 --> 85.202.211.197
Sunday December 11, 2005 03:26:48 IKED re-TX : QINIT to 193.27.80.106
Sunday December 11, 2005 03:26:53 IKED re-TX : QINIT to 193.27.80.106
Sunday December 11, 2005 03:27:03 IKED re-TX : QINIT to 193.27.80.106
Sunday December 11, 2005 03:27:13 IKED re-TX : QINIT to 193.27.80.106
Sunday December 11, 2005 03:27:33 IKED re-TX : QINIT to 193.27.80.106
Sunday December 11, 2005 03:27:34 Send IKE (INFO) : delete [192.168.0.0|85.202.211.197]-->[193.27.80.106|192.168.107.0] phase 2
Sunday December 11, 2005 03:27:34 IKE phase2 (IPSec SA) remove : 192.168.0.0 <-> 192.168.107.0
Sunday December 11, 2005 03:27:34 inbound SPI = 0xf000010, outbound SPI = 0x0

Проблема скорее всего в параметрах туннеля в первой фазе. Опишите более подробно параметры туннеля на той и другой стороне?

На стороне Windows Server 2003.
Конфигурация:
WAN - 193.27.80.106
LAN - 192.168.107.4

Свойства политики IPSec:
Закладка "Общие":
Имя: IPSec Policy for Regions
Проверять политику изменений каждые: 180 мин.
Параметры обмена ключами:
Галочка "Основной ключ безопасной пересылки (PSF)": не активна
Проверять подлинность и создавать ключ каждые: 480 мин./0 сеансов
Методы безопасности в порядке предпочтения:
1. IKE 3DES MD5 Medium(2)
2. IKE 3DES SHA1 Medium(2)
3. IKE DES SHA1 Low(1)
4. IKE DES MD5 Low(1)

Закладка "Правила":
Список фильтров:
1. Lugansk-Kiev Traffic (активен)
2. Kiev-Lugansk Traffic (активен)
3. <Динамический> (не активен)

Свойства фильтра 1. Lugansk-Kiev Traffic
Закладка "Список фильтров IP":
1. All ICMP Traffic (не выбран)
2. All IP Traffic (не выбран)
3. Kiev-Lugansk Traffic (не выбран)
4. Lugansk-Kiev Traffic (выбран)

Закладка "Действие фильтра":
1. Action Kiev-Lugansk (не выбран)
2. Action Lugansk-Kiev (выбран)
3. Permit (не выбран)
4. Request Security (Optional) (не выбран)
5. Require Security (не выбран)

Закладка "Параметры туннеля": Конечная точка туннеля задана данным IP-адресом: 193.27.80.106

Закладка "Тип подключения": "Все сетевые подключения"

Закладка "Методы проверки подлинности": Предварительный ключ - 0987654321

Свойства фильтра IP - Lugansk-Kiev Traffic (с закладки "Список фильтров IP")
Адрес источника пакетов - Определенная сеть IP
IP адрес - 192.168.0.0
Маска подсети - 255.255.255.0
Адрес назначения пакетов - Определенная сеть IP
IP адрес - 192.168.107.0
Маска подсети - 255.255.255.0
Галочка "Отраженный" снята
Протокол - Любой

Свойства действия фильтра Action Lugansk-Kiev (с закладки "Действие фильтра")
Закладка "Методы безопасности":

"Принимать не безопасную связь но отвечать с помощью IPSEC"
"Разрешить связь с компьютерами, не поддерживающими IPSEC"
"Использовать сеансовые циклы безопасной пересылки (PFS)"
Галочки не стоят

"Согласовывать безопасность":
Галочка "Целосность данных и адресов без шифрования (AH)" - не стоит
Галочка "Целостность данных с шифрованием (ESP)" - стоит
"Алгоритм проверки целостности" - MD5
"Алгоритм шифрования" - 3DES
"Смена ключа каждые" - 28800 сек.

Свойства фильтра 2. Kiev-Lugansk Traffic
Закладка "Список фильтров IP":
1. All ICMP Traffic (не выбран)
2. All IP Traffic (не выбран)
3. Kiev-Lugansk Traffic (выбран)
4. Lugansk-Kiev Traffic (не выбран)

Закладка "Действие фильтра":
1. Action Kiev-Lugansk (выбран)
2. Action Lugansk-Kiev (не выбран)
3. Permit (не выбран)
4. Request Security (Optional) (не выбран)
5. Require Security (не выбран)

Закладка "Параметры туннеля": Конечная точка туннеля задана данным IP-адресом: 85.202.211.197

Закладка "Тип подключения": "Все сетевые подключения"

Закладка "Методы проверки подлинности": Предварительный ключ - 0987654321

Свойства фильтра IP - Kiev-Lugansk Traffic (с закладки "Список фильтров IP")
Адрес источника пакетов - Определенная сеть IP
IP адрес - 192.168.107.0
Маска подсети - 255.255.255.0
Адрес назначения пакетов - Определенная сеть IP
IP адрес - 192.168.0.0
Маска подсети - 255.255.255.0
Галочка "Отраженный" снята
Протокол - Любой

Свойства действия фильтра Action Kiev-Lugansk (с закладки "Действие фильтра")
Закладка "Методы безопасности":

"Принимать не безопасную связь но отвечать с помощью IPSEC"
"Разрешить связь с компьютерами, не поддерживающими IPSEC"
"Использовать сеансовые циклы безопасной пересылки (PFS)"
Галочки не стоят

"Согласовывать безопасность":
Галочка "Целосность данных и адресов без шифрования (AH)" - не стоит
Галочка "Целостность данных с шифрованием (ESP)" - стоит
"Алгоритм проверки целостности" - MD5
"Алгоритм шифрования" - 3DES
"Смена ключа каждые" - 28800 сек.

На стороне D-Link DI-804HV.
Конфигурация:
WAN - 85.202.211.197
LAN - 192.168.0.1

HOME -> VPN:
VPN - Enable
ID Tunnel Name Method
1 Lugansk-Kiev IKE
-> More
Tunnel Name - Lugansk-Kiev
Aggressive Mode - Disable
Local Subnet - 192.168.0.0
Local Netmask - 255.255.255.0
Remote Subnet - 192.168.107.0
Remote Netmask - 255.255.255.0
Remote Gateway - 193.27.80.106
IKE Keep Alive - 192.168.107.4
Preshare Key - 0987654321
Extended Authentication (xAUTH) - Disable
IPSec NAT Traversal - Disable
Remote ID Type IP AddressFQDNUser FQDN - Пусто
Local ID Type IP AddressFQDNUser FQDN - Пусто

->IKE Proposal Index
IKE Proposal index - test

ID Proposal Name DH Group Encrypt algorithm Auth algorithm Life Time Life Time Unit
1 test Group 2 3DES MD5 28800 Sec.

->IPSec Proposal Index
IPSec Proposal index - test

ID Proposal Name DH Group Encap protocol Encrypt algorithm Auth algorithm Life Time Life Time Unit
1 test Group 2 ESP 3DES MD5 28800 Sec

up!

Я, если мне не изменяет память, запускал IPSec DI-804 <-> Win2000. Детали не помню, но вот из странностей кажутся такие:


А почему конечная точка не 85.202.211.197 ?

Имхо, надо поставить, у Вас же нет отдельного правила для обратного траффика.

А... Вроде понял. Похоже, Вы создали 2 туннеля - 1 "туда", второй "обратно". Зачем? Создайте 1 вот с той самой "галочкой" про "отраженный" траффик.

На стороне D-Link DI-804HV вроде всё в порядке.

сделал:
- убрал фильтр Lugansk-Kiev Traffic
- убрал действие фильтра Action Lugansk-Kiev
- в свойствах фильтра Kiev-Lugansk Traffic поставил галочку "Отраженный"

изменений 0:

WAN Type: Dynamic IP Address (V1.42)
Display time: Tuesday December 13, 2005 22:39:48


Tuesday December 13, 2005 22:38:52 Send IKE M1(INIT) : 85.202.211.197 --> 193.27.80.106
Tuesday December 13, 2005 22:38:52 Receive IKE M2(RESP) : 193.27.80.106 --> 85.202.211.197
Tuesday December 13, 2005 22:38:52 Try to match with ENC:3DES AUTH:PSK HASH:MD5 Group:Group2
Tuesday December 13, 2005 22:38:52 Send IKE M3(KEYINIT) : 85.202.211.197 --> 193.27.80.106
Tuesday December 13, 2005 22:38:53 Receive IKE M4(KEYRESP) : 193.27.80.106 --> 85.202.211.197
Tuesday December 13, 2005 22:38:53 Send IKE M5(IDINIT) : 85.202.211.197 --> 193.27.80.106
Tuesday December 13, 2005 22:38:53 Receive IKE M6(IDRESP) : 193.27.80.106 --> 85.202.211.197
Tuesday December 13, 2005 22:38:53 IKE Phase1 (ISAKMP SA) established : 193.27.80.106 <-> 85.202.211.197
Tuesday December 13, 2005 22:38:53 Send IKE Q1(QINIT) : 192.168.0.0 --> 192.168.107.0
Tuesday December 13, 2005 22:38:53 Receive IKE INFO : 193.27.80.106 --> 85.202.211.197
Tuesday December 13, 2005 22:38:58 IKED re-TX : QINIT to 193.27.80.106
Tuesday December 13, 2005 22:39:03 IKED re-TX : QINIT to 193.27.80.106
Tuesday December 13, 2005 22:39:13 IKED re-TX : QINIT to 193.27.80.106
Tuesday December 13, 2005 22:39:23 IKED re-TX : QINIT to 193.27.80.106
Tuesday December 13, 2005 22:39:43 IKED re-TX : QINIT to 193.27.80.106
Tuesday December 13, 2005 22:39:44 Send IKE (INFO) : delete [192.168.0.0|85.202.211.197]-->[193.27.80.106|192.168.107.0] phase 2
Tuesday December 13, 2005 22:39:44 IKE phase2 (IPSec SA) remove : 192.168.0.0 <-> 192.168.107.0
Tuesday December 13, 2005 22:39:44 inbound SPI = 0x2f000010, outbound SPI = 0x0

Хотелось бы услышать мнение и сотрудников D-Linka по моей проблеме.....

Есть подозрение что у вас может блокироваться проход протокола ESP -- первая фаза устанавливается нормально, а вот вторая не проходит, а именно она использует ESP

_________________
С уважением -- Александр Шебаронин.

Хм. подскажите где рыть?
какие порты проверить? мож еще чего нить пощупать надо?

Протокол ESP - это не "порты", это не TCP (IP-протокол №6) и не UDP (IP-протокол №17), ESP - это IP-протокол №50.

Фаза IKE, работающая по 500/udp у Вас, похоже, прошла нормально.

Попробуйте в Win убрать все "лишние" варианты кроме 3DES+MD5.

Уточните у тех.поддержки, preshared key в D-Link'e - это ТЕКСТОВАЯ строка? Не hex ?

Уточняю: текстовая строка.

_________________
С уважением -- Александр Шебаронин.

Тогда надо ещё раз тщательно проверить все настройки.
IP у Вас, если я помню, были публичные, трасляции нет. Никто из провайдеров часом не режет трафик ESP?

Если будут непонятки - попробуйте соединить WAN роутера прямо к серверу. Только тогда придётся IP изменить, т.к. они у Вас даже маской 128.0.0.0 не покрываются, а смогут ли устройсва работать с маской 0.0.0.0 или со шлюзом=интерфейс я не уверен.

Или изучить обмен снифером.

Попробую вечером сегодня еще раз все проверить....
Если не получиться потащу на работу все строить в лабораторных условиях....

Здравствуйте! Всех с прошедшими праздниками!
А мы продолжаем борьбу за туннели IPSec
На этот раз выпросил я у поставщика еще одну железяку - DI-808HV (дали именно ее потому как 804-й не было в наличии).
Пробую между ней и уже имеющейся в наличии DI-804HV настроить IPSec туннель. Слава богу на сайте есть чудное руководство по настройке сих дивных девайсов: http://www.dlink.ru/technical/faq_vpn_8.php
Все сделал как прописали доктора из D-Link...
Пробовал 4 варианта:
1. 1-й девайс дома, 2-й на работе - провайдеры интернет разные.
2. 1-й девайс дома, 2-й дома у приятеля - сидим на одном провайдере.
3. 1-й девайс на работе в одной WAN подсети, 2-й девайс на работе в другой WAN подсети.
4. Соеденил WAN интерфейсы этих чортовых железяк одним кабелем (ессно оба интерфейса в одной подсети)
Как вы уже наверное догадались ничего у меня не получалось
Ниже привожу логи обоих устройств из последнего варианта подключения:

1. DI-808HV
WAN Type: Static IP Address (V1.41)
Display time: Wednesday January 04, 2006 10:36:09

Wednesday January 04, 2006 10:27:56 Send IKE M1(INIT) : 193.27.80.101 --> 193.27.80.98
Wednesday January 04, 2006 10:27:56 Receive IKE M2(RESP) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 10:27:56 Try to match with ENC:3DES AUTH:PSK HASH:MD5 Group:Group2
Wednesday January 04, 2006 10:27:56 Send IKE M3(KEYINIT) : 193.27.80.101 --> 193.27.80.98
Wednesday January 04, 2006 10:27:56 Receive IKE M4(KEYRESP) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 10:27:57 Send IKE M5(IDINIT) : 193.27.80.101 --> 193.27.80.98
Wednesday January 04, 2006 10:27:57 Receive IKE M6(IDRESP) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 10:27:57 IKE Phase1 (ISAKMP SA) established : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 10:27:57 Send IKE Q1(QINIT) : 192.168.107.0 --> 192.168.1.0
Wednesday January 04, 2006 10:28:02 IKED re-TX : QINIT
Wednesday January 04, 2006 10:28:07 IKED re-TX : QINIT
Wednesday January 04, 2006 10:28:17 IKED re-TX : QINIT
Wednesday January 04, 2006 10:28:27 IKED re-TX : QINIT
Wednesday January 04, 2006 10:28:47 IKED re-TX : QINIT
Wednesday January 04, 2006 10:28:48 Send IKE (INFO) : delete [192.168.107.0|193.27.80.101]-->[193.27.80.98|192.168.1.0] phase 2
Wednesday January 04, 2006 10:28:48 IKE phase2 (IPSec SA) remove : 192.168.107.0 <-> 192.168.1.0
Wednesday January 04, 2006 10:28:48 inbound SPI = 0x4000010, outbound SPI = 0x0

2. DI-804HV
WAN Type: Static IP Address (V1.42)
Display time: Wednesday January 04, 2006 14:53:21

Wednesday January 04, 2006 14:50:58 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:51:05 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:51:05 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 14:51:07 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:51:14 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:51:14 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 14:51:59 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:52:06 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:52:06 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 14:52:07 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:52:14 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:52:14 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 14:52:16 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:52:23 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:52:23 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 14:52:27 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:52:34 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:52:34 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 14:52:37 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:52:44 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:52:44 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:52:44 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 14:52:45 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:52:53 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:52:53 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 14:52:58 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:53:05 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:53:05 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 14:53:10 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:53:17 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:53:17 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 14:53:19 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:53:26 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:53:26 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 14:53:31 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:53:39 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:53:39 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101
Wednesday January 04, 2006 14:53:40 Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Wednesday January 04, 2006 14:53:48 Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
Wednesday January 04, 2006 14:53:48 IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101

Видно, что 804-ый "ходит по кругу":
Send IKE M1(INIT) : 193.27.80.98 --> 193.27.80.101
Send IKE (INFO) : delete 193.27.80.98 -> 193.27.80.101 phase 1
IKE phase1 (ISAKMP SA) remove : 193.27.80.98 <-> 193.27.80.101

808-ой "доходит" куда дальше предыдущего.

Я в логах этих роутеров не силён, но даже несмотря на разные показания времени, что-то они как-то уж очень сильно рассогласованы. У Вас точно в WAN-сети только эти 2 устройства? Они нормально пингуют друг друга? Детализация лога одинакова на обоих устройствах? (Например, у меня на 804-ом в версии 1.42 есть: Log Type:
System Activity
Debug Information
Attacks
Dropped Packets
Notice

В общем, конкретно ничего не посоветую, только "общие" рекомендации - ещё раз проверить настройки, возможно пробить ещё раз PSK-ключ, обновить 808-ой до верс.1.42 (понимаю, что чужой, а кому сейчас легко? Читали мой пост про чудеса с URL Blocking-ом? Я тоже страдаю )