У меня в сети много IPsec-туннелей, которые состоят только из роутеров MikroTik. Обычно это построено по схеме «центральный роутер», к которому подключаются «спутниковые» роутеры. Существуют разные способы настройки IPsec — например, динамические политики и прочее. Я несколько времени назад решил настроить всё с помощью статических политик и пиров, управляя этим с помощью нескольких скриптов и DNS-сервера. Всё работает нормально, но есть вопросы по оптимальному управлению.
Главный вопрос — как лучше настроить DPD (Dead Peer Detection). По умолчанию стоит 120 секунд с 5 неудачами. Кажется, это слишком долго, и, в теории, я не хочу, чтобы центральный роутер поддерживал туннели живыми, я хочу, чтобы это делали «спутниковые» роутеры. Сейчас у меня DPD на центральном роутере отключён, а на «спутниковых» настроен интервал 20 секунд и максимум 1 неудача. Цель — быстро обнаруживать проблемы в IPsec-туннеле и быстро восстанавливать соединение.
dpd-interval=disable-dpd
dpd-maximum-failures=1
dpd-interval=20s
dpd-maximum-failures=1
Итак, каков же лучший подход для настройки DPD? Почему в настройках по умолчанию такой большой интервал? Не слишком ли мало 1 максимальное число неудач? Должны ли настройки быть одинаковыми на обеих сторонах? Или допустим односторонний DPD? В мануале об этом мало информации, возможно, я просто недостаточно знаю. Всё, что я там вижу:
Главный вопрос — как лучше настроить DPD (Dead Peer Detection). По умолчанию стоит 120 секунд с 5 неудачами. Кажется, это слишком долго, и, в теории, я не хочу, чтобы центральный роутер поддерживал туннели живыми, я хочу, чтобы это делали «спутниковые» роутеры. Сейчас у меня DPD на центральном роутере отключён, а на «спутниковых» настроен интервал 20 секунд и максимум 1 неудача. Цель — быстро обнаруживать проблемы в IPsec-туннеле и быстро восстанавливать соединение.
dpd-interval=disable-dpd
dpd-maximum-failures=1
dpd-interval=20s
dpd-maximum-failures=1
Итак, каков же лучший подход для настройки DPD? Почему в настройках по умолчанию такой большой интервал? Не слишком ли мало 1 максимальное число неудач? Должны ли настройки быть одинаковыми на обеих сторонах? Или допустим односторонний DPD? В мануале об этом мало информации, возможно, я просто недостаточно знаю. Всё, что я там вижу:
