6.45.6 запрос на учебник по ipsec site to site

Сэр, я пытаюсь следовать примеру здесь: https://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Site_to_Site_GRE_tunnel_over_IPsec_.28IKEv2.29_using_DNS Но это невозможно заставить работать, уроки по Mikrotik всегда неполные и просто ужасно бес frustrирующие. Все, что я пытаюсь сделать, это очень простая VPN-сеть "точка-точка" с двумя роутерами Mikrotik. Но в учебнике игнорируются стандартные правила брандмауэра Mikrotik. Я подозреваю, что что-то в стандартной конфигурации брандмауэра блокирует доступ, но я не знаю что. Не могли бы вы, пожалуйста, написать, какие строки нам нужно добавить, чтобы получить рабочую VPN "точка-точка" между двумя роутерами Mikrotik HAP AC2 в их стандартной конфигурации?

Я обновил оба Mikrotik HAP AC2 до последней стабильной версии (6.48.1). Вот соответствующая конфигурация в Mikrotik Site1 (Штаб-квартира):  
/interface bridge add name=blankbridge1  
/interface gre add local-address=192.168.99.1 name=gre-tunnel1 remote-address=192.168.99.2  

/ip ipsec mode-config add address=192.168.99.2 address-prefix-length=32 name=cfg1 split-include=192.168.99.1/32  
/ip ipsec policy group add name=group1  
/ip ipsec profile add dh-group=modp1024 enc-algorithm=aes-128 lifetime=8h name=profile1  
/ip ipsec peer add name=peer1 passive=yes profile=profile1 send-initial-contact=no  
/ip ipsec proposal add enc-algorithms=aes-256-cbc,aes-128-cbc lifetime=8h name=proposal1 pfs-group=none  
/ip ipsec identity add auth-method=pre-shared-key-xauth generate-policy=port-strict mode-config=cfg1 password=blablabla peer=peer1 policy-template-group=group1 secret=blablapsk username=user1  
/ip ipsec policy add dst-address=192.168.99.2/32 group=group1 proposal=proposal1 src-address=192.168.99.1/32 template=yes  

/ip route add distance=1 dst-address=192.168.9.0/24 gateway=172.16.1.2  

/ip address add address=192.168.99.1 interface=blankbridge1 network=192.168.99.1  
/ip address add address=192.168.8.1/24 comment=defconf interface=bridge network=192.168.8.0  
/ip address add address=172.16.1.1/30 interface=gre-tunnel1 network=172.16.1.0  

/ip firewall filter add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked  
/ip firewall filter add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid  
/ip firewall filter add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp  
/ip firewall filter add action=accept chain=input protocol=ipsec-esp  
/ip firewall filter add action=accept chain=input protocol=gre  
/ip firewall filter add action=accept chain=input dst-port=500,4500 in-interface-list=WAN protocol=udp  
/ip firewall filter add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN  
/ip firewall filter add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec  
/ip firewall filter add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec  
/ip firewall filter add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related disabled=yes  
/ip firewall filter add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked  
/ip firewall filter add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid  
/ip firewall filter add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN  

/ip firewall nat add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN  

А вот соответствующая конфигурация в Mikrotik Site 2 (Филиал):  
/interface gre add local-address=192.168.99.2 name=gre-tunnel1 remote-address=192.168.99.1  

/ip ipsec mode-config add name=cfg1 responder=no use-responder-dns=no  
/ip ipsec policy group add name=group1  
/ip ipsec profile add dh-group=modp1024 enc-algorithm=aes-128 lifetime=8h name=profile1  
/ip ipsec peer add address=blablabla.sn.mynetname.net name=peer1 profile=profile1  
/ip ipsec proposal add enc-algorithms=aes-256-cbc,aes-128-cbc lifetime=8h name=proposal1 pfs-group=none  
/ip ipsec identity add auth-method=pre-shared-key-xauth generate-policy=port-strict mode-config=cfg1 password=blablabla peer=peer1 policy-template-group=group1 secret=blablapsk username=user1  
/ip ipsec policy add dst-address=192.168.99.1/32 group=group1 proposal=proposal1 src-address=192.168.99.2/32 template=yes  

/ip route add distance=1 dst-address=192.168.8.0/24 gateway=172.16.1.1  

/ip address add address=192.168.9.1/24 comment=defconf interface=bridge network=192.168.9.0  
/ip address add address=172.16.1.2/30 interface=gre-tunnel1 network=172.16.1.0  

/ip firewall filter add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked  
/ip firewall filter add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid  
/ip firewall filter add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp  
/ip firewall filter add action=accept chain=input protocol=ipsec-esp  
/ip firewall filter add action=accept chain=input protocol=gre  
/ip firewall filter add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN  
/ip firewall filter add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec  
/ip firewall filter add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec  
/ip firewall filter add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related disabled=yes  
/ip firewall filter add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked  
/ip firewall filter add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid  
/ip firewall filter add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN  

/ip firewall nat add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN  

К сожалению, это не работает. У меня есть соединение IPSec, но GRE-каналы не работают, и маршруты недоступны.

Я тоже пробовал с IPIP, но результаты такие же, как и с GRE. Должно быть, что-то в стандартной конфигурации Firewall, но что именно? Я уже отключил FastTrack. Стоит попробовать подправить NAT??? Я думал, что GRE-туннели позволят мне избежать странных трюков с NAT.

Да, ты прав. Добавление этого правила и перезагрузка обоих роутеров решило проблему! Я смог вернуться к GRE-туннелям, и они тоже работают корректно! Я понимаю, что у GRE-туннелей больше накладных расходов, чем у IPIP, но они поддерживают IPv6. Честно говоря, мне сейчас IPv6 не очень нужен, но, думаю, лучше настроить GRE-туннели, чтобы быть готовым к будущему, когда вдруг понадобится IPv6. В любом случае, большое спасибо. Меня сильно расстраивает текущая (старая) вики Mikrotik. Я понимаю, что вся информация там есть, но она разбросана по разным главам и очень трудно найти. Это исключительно сложно для новичков!

@pe1chl, проблема была в другом - это транспортные (GRE или IPIP) пакеты, которые получили src-nation, а не полезная нагрузка. Транспортные пакеты маршрутизируются через WAN до того, как политика их переадресует.