IPSEC с облаком Oracle — поймите настройки

Что насчет избыточности туннелей? Возможно ли создать такую конфигурацию? Oracle Cloud IPSEC предоставляет вам 2 конечные точки (по типу AWS) для маршрутизированного VPN, а не для политического IPSEC VPN.

Предложение от AWS — это ужасное (но хитрое) решение отсутствия IPsec VTI в RouterOS. IP-адреса, которые они используют в примере, могут быть привязаны к любому интерфейсу, а не только к WAN, и всё будет работать так же. Дело в том, что трафик BGP для каждого из этих двух адресов обрабатывается соответствующей политикой на стороне Mikrotik, которая связана только с одним из пиров, и таким образом он выходит из соответствующего VTI на стороне облака. Однако с версии 6.36 было внесено много изменений в обработку IPsec. Теперь в версии 6.45.7, если у вас есть две политики с точно таким же селектором трафика, и только одна из них может быть активна в одно время, а пир, к которому подключена активная политика, становится недоступным, другая политика не активируется автоматически, и вам нужно вручную отключить ту, что привязана к мёртвому пиру. Плюс неактивная политика не ведёт переговоры о селекторе трафика с пиром, поэтому, пока оба пира работают, облачная сторона может предпочесть ту, с которой RouterOS не вёл переговоры о селекторе трафика, и трафик не дойдёт (или дойдёт, но не будет принят на стороне RouterOS, потому что не пришёл через правильное SA, я не могу протестировать этот случай без VTI на удалённой стороне). Так что в любом случае, чтобы обеспечить автоматический переход на резервный вариант, вам нужен периодически запускаемый скрипт, который проверяет состояние предпочтительного пира и активирует обе политики (одну для полезной нагрузки и одну для BGP) только на пире, который должен использоваться.

Я буду приятно удивлён, если это сработает. На мой взгляд, согласоваться с RFC по IPsec при использовании VTI не так просто, поскольку RFC требует, чтобы входящий трафик, соответствующий зеркальному селектору трафика любой политики с action=encrypt, принимался только в том случае, если он поступает через SA, связанную с этой политикой, тогда как селектор трафика, лежащий в основе VTI, может фактически быть любым: любой:любой->любой:любой (или, правильнее сказать, должен быть таким, если вы хотите, чтобы это не мешало «нормальному способу» маршрутизации). Так что даже если разработчики решат отложить соответствие RFC в сторону при использовании VTI, им придётся делать это выборочно, то есть настраивать поведение в зависимости от режима («обычный IPsec» против VTI).

Я составил правила в политике только так, чтобы IPSEC не осуществлял трафик. Не могли бы вы мне помочь?

Возможно ли опубликовать вашу рабочую конфигурацию для обучения? Спасибо.

@hcuk94, у меня нет рабочей настройки, но, возможно, я смогу что-то увидеть из твоего экспортированного конфигурационного файла и журнала отладки. Также, @mlonigro, между прочим, Mikrotik внедрил политику с двойным подключением — ты можешь настроить два пира для одной политики, и переключение происходит автоматически. Ты заметил это и пробовал?