Добрый день.
Помогите внести ясность в ситуацию. Настроен ipsec между двумя хостами Centos и Mikrotik. За хостами подсети. Поднимаю два тунеля.
10.0.0.0.24 <-> mikrotik <----ipsec----> Centos(openswan) <-> 192.168.90.0/24
<-> ip_host
Первый работает хост - подсеть
Второй подсеть - подсеть
Но факту реально работает только один в случайном порядке. Те при перезапуске openswan или mikrotik трафик начинает реально идти только через один.
Пинг проходит, но такое ощущение что не возвращается обратно.Вот пример пинга до хоста и подсети с адреса 10.0.0.243
tcpdump icmp
12:02:24.970435 IP 10.0.0.243 > ip_host: ICMP echo request, id 54597, seq 1576, length 64
12:02:25.273338 IP 10.0.0.243 > 192.168.90.6: ICMP echo request, id 60229, seq 1545, length 64
12:02:25.970431 IP 10.0.0.243 > ip_host: ICMP echo request, id 54597, seq 1577, length 64
12:02:26.273310 IP 10.0.0.243 > 192.168.90.6: ICMP echo request, id 60229, seq 1546, length 64вот пример конфига openswan
conn ipsec
authby=secret
auto=start
ikelifetime=86400s
ike=3des-sha1-modp1024
aggrmode=no
## phase 1 ##
keyexchange=ike
## phase 2 ##
keylife=86400s
phase2=esp
phase2alg=3des-sha1
compress=no
pfs=yes
type=tunnel
left=ip_host
#leftsourceip=ip_host
leftsubnets={ip_host/32 192.168.90.0/24}
leftnexthop=%defaultroute
## for direct routing ##
right=ip_mikrotik
rightsubnets={10.0.0.0/24}Истина где то рядом, но где???
на микротик ipsec требует еще правило нат
просмотрите документацию
> на микротик ipsec требует еще правило нат
> просмотрите документациюНе нужно никакого NAT на микротике при такой схеме.
>> на микротик ipsec требует еще правило нат
>> просмотрите документацию
> Не нужно никакого NAT на микротике при такой схеме.Я может спрошу глупость, но вообще через голый ipsec работающий в туннельном режиме можно маршрутизировать? Вопрос появился не просто так. Пробовал реализовывать ниже приведённую схему на разном железе. И ни в одном случаи настроить маршрутизацию через ipsec не вышло. Как только в ipsec поднял GRE и начал маршрутизировать внутри GRE все заработало.
Схема:10.0.1.0/24 10.0.3.0/24
===>router(x.x.x.x) <----ipsec---> (y.y.y.y)router <===
10.0.2.0/24 (10.10.0.1) (10.10.0.2) 10.0.4.0/24Те получается что ipsec host to host
ip route add 10.0.3.0/24 via 10.10.0.2
ip route add 10.0.4.0/24 via 10.10.0.2
в сей туннель просто ни чего не инкапсилируется