Здравствуйте. Имеется два DFL-860E, соединенные по IPSec. У каждого по два интернета: основной и резервный. В случае обрыва основного интернета и переключения на резервный, IPSec остается висеть на основном интернете (в статусе IPSec значится IP адрес основного интернета). Помогает только перезагрузка маршрутизатора.
Проблема появилась после обновления с 2.40.02.12-19170 на v11.10.01.06.
Галки Dead Peer Detection и Auto Establish в настройках установлены IPSec установлены.
Скажите, пожалуйста, куда копать?

Я подозреваю, что у вас всего один туннель, верно? В случае 2х2 это не совсем верное решение.
У меня поднимается два туннеля (ISP1 в ISP1, ISP2 в ISP2), два маршрута с разными метриками, на маршрутах мониторинг. Всё работает прекрасно.
Если что - могу подсказать принцип.

Есть вариант настройки с четырьмя туннелями и четырьмя маршрутами, но в моём случае это слишком сложно.

а можете подкинуть вариант 4х4 для 110ой прошивки?
А то как ни бьюсь на ней залипают ключи, пока лапками ike - delete IP не сделаешь, туннель не восстанавливается.

на форуме обсуждалась тема . поищите

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку

Вы про 4х4 или про залипающие ключи SA?

Я для прошивок 2.х делал настройку для 4х4, но в прошивках 11.х она стабильно не работает, залипают ключи, может залипнуть ipsec, при том, что маршрут не включается.

Попробовал сделать тупо по букварю (2х2), тоже странность - если маршрут для 1_ISP2-2_SIP2 не делать, то работает стабильно (понятно что ipsec есть только один в один момент времени), а если добавить, то появляются как положено два ipsec, но пинги между сетями становятся не стабильными (типа 1/10 пакетов теряется)...

У меня по 2 туннеля на каждом роутере, в один момент времени активен только один. У меня получилось сдвинуться с места. Видимо глюк появился из-за перехода на новую версию прошивки. Я пересоздал туннели, они стали корректно переключаться при переходе с основного интернета на резервный и обратно. Вот только роутинг не работает. В роутинге стоит Monitor и стоит Monitor Interface Link Status, но я так понимаю, что туннель не отдает информацию в маршрут о линк статусе. Если маршрут сделать disable, то включается второй маршрут.

В итоге получилось сделать через Host Monitoring. Правда, это костыль. Пингую сервера, находящиеся на другой стороне туннеля. И переключаю на резервный роутинг. Никакие другие комбинации (статический роутинг, динамический, прописанный вручную) работать не хотели. Если IPSec основной рвется, DFL прекрасно переключает на резервный IPSec, а роутинг никак, пока не сделаешь его disable.

Почему это костыль?

Фактически единственный верный метод мониторинга это через ICMP. Все остальные следует отключать.

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

Потому что шлюз не пингуется. А пингую только сервера на той стороне туннеля, которые могут быть недоступны по другой причине (отключение электричества, сетевые проблемы, другие сбои). Должен ли пинговаться шлюз? ICMP разрешено из туннеля на шлюз. Из интернета шлюз пингуется, из лана тоже.

Должен !!!! проверяте правила .. смотрите ... сам удаленный DFL должен пинговаться - по любому

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку

Лучше всего мониторить удаленный DFL. Достаточно для этого разрешить пинг на него из нужного места.

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

Спасибо всем. Получилось. Надо было разрешить ICMP из IPSec на core (а я делал на lan).

вообще есть еще один типа "лайфхак"
в DFL есть возможность присваивать IP адреса маршрутам
(в документации написано - для того что-бы избежать заморочек при объединении сетей, в общем в данном контексте это не важно)
так вот, в схеме с двумя ванами, можно присвоить маршруту вана (который мониторится) IP
и если у нас два ipsec тунеля и надо мониторить уже маршруты lan1-lan2 до конечных сетей через эти тунели, то мониторим через IP присвенные wan маршрутам
в этом случае переключение тунулей и восстановление отрабатывает мгновенно

Счастье было недолгим. Если туннель сделать disabled, то все отрабатывает как надо и в ту (переключение на резерв) и в другую (возврат на основной) сторону. Но с нашим провайдером происходит такое отключение, что перестает работать моя схема. В статусе я вижу, что туннель активен, а маршрут через этот туннель - нет. Помогает disable/enable маршрута, после чего пинги начинают идти. Маршрут мониторится по пингу удаленного DFL, как мне советовали выше. Куда копать?



Спасибо. Возможно, это мой случай. А в каком месте присваивается IP маршрутам?

во вкладке general