http://mikrotik.moscow Новое в теме IPsec: через несколько часов фаза 2 не запускается [6.40.4] форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Fri, 31 Jul 2026 05:43:13 -0400 IPsec: через несколько часов фаза 2 не запускается [6.40.4] RouterOS в форуме RouterOS.
Похоже, ты обновил не ту тему?
22.03.2025 13:42:00, sindy.]]> http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378489 http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378489 Sat, 22 Mar 2025 13:42:00 -0400 RouterOS IPsec: через несколько часов фаза 2 не запускается [6.40.4] RouterOS в форуме RouterOS.
Ок, короткое обновление: после изменения группы PFS на «none» в стандартном предложении IPSEC туннель начинает переходить в состояние «established» без настройки mode-config. Но это ничего не меняет: я вижу исходящие пакеты, но входящих нет. Кроме того, туннель словно дергается и примерно каждые десять секунд сбрасывается.
21.03.2025 22:42:00, mtest001.]]> http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378488 http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378488 Fri, 21 Mar 2025 22:42:00 -0400 RouterOS IPsec: через несколько часов фаза 2 не запускается [6.40.4] RouterOS в форуме RouterOS.
@subway Спасибо за отличное объяснение!!! Это именно про меня. И всего лишь мои пять копеек: мы можем очистить это состояние, то есть недоступную для удаления динамическую политику (без перезагрузки), зайдя в Installed SA → Flush > All и, конечно, создать отдельную политику, как вы объяснили.
01.10.2020 14:53:00, minks.]]> http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378487 http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378487 Thu, 01 Oct 2020 14:53:00 -0400 RouterOS IPsec: через несколько часов фаза 2 не запускается [6.40.4] RouterOS в форуме RouterOS.
Просто дополню эту тему: проблема с «no phase2» связана с «особым» поведением Mikrotik — когда для одних и тех же двух конечных точек настроено несколько подсетей с политикой маршрутизации, Mikrotik использует одни и те же SA вместо того, чтобы создавать уникальные SA для каждой политики. Через какое-то время у некоторых политик с этими же конечными точками может показываться «no phase», и флаг «Active» может пропадать. При этом трафик продолжает передаваться даже для таких «no phase2» политик. И даже если трафик есть, политика всё равно может не показывать активный статус и «no phase2». Чтобы решить это очень раздражающее поведение, нужно в настройках всех политик поставить параметр «unique». Тогда у каждой политики появляется отдельный SA для каждого направления, и проблема исчезает. Вторая часть моей проблемы была в том, что я сталкивался с ситуациями, когда трафик вообще не передавался, пока не перезагрузишь главный роутер. За последние два месяца на нашем основном роутере случилось несколько паник ядра, и я почти уверен, что железо начинает сбоить (кстати, CCR1072). И эта проблема не связана с версией софта — все остальные роутеры с IPsec у нас на версии 6.41, и у них таких симптомов нет. Вот такие у меня выводы на данный момент, надеюсь, это кому-то поможет.
01.01.2018 18:13:00, subway.]]> http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378486 http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378486 Mon, 01 Jan 2018 18:13:00 -0500 RouterOS IPsec: через несколько часов фаза 2 не запускается [6.40.4] RouterOS в форуме RouterOS.
Проблема в том, что это не работает правильно, даже если устройство от того же производителя. В нашем случае задействованы только роутеры Mikrotik, никаких устройств сторонних производителей. Было бы здорово получить ответ на мой вопрос из первого сообщения и/или, возможно, у кого-то есть другое мнение по этой проблеме. С уважением,
28.10.2017 19:38:00, subway.]]> http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378485 http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378485 Sat, 28 Oct 2017 19:38:00 -0400 RouterOS IPsec: через несколько часов фаза 2 не запускается [6.40.4] RouterOS в форуме RouterOS.
Да, но когда вы измените топологию, этой проблемы больше не будет, потому что не понадобится использовать столько сложных политик на каждого пира, которые так трудно настроить правильно между разными поставщиками. Выбор за вами.
28.10.2017 06:23:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378484 http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378484 Sat, 28 Oct 2017 06:23:00 -0400 RouterOS IPsec: через несколько часов фаза 2 не запускается [6.40.4] RouterOS в форуме RouterOS.
Мне не нужно менять топологию, мне нужно это починить.
27.10.2017 20:49:00, airwolf.]]> http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378483 http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378483 Fri, 27 Oct 2017 20:49:00 -0400 RouterOS IPsec: через несколько часов фаза 2 не запускается [6.40.4] RouterOS в форуме RouterOS.
Привет! После того как я обновил наш основной маршрутизатор с версии 6.36.4 до 6.40.4, заметил, что спустя несколько часов нормальной работы (иногда 10–12, иногда 14 часов) маршрутизатор начинает показывать «no phase» для некоторых политик, и трафик перестаёт проходить. Странно то, что это происходит не со всеми политиками, и туннели при этом остаются активными (рабочие политики продолжают пропускать трафик). Мы используем sha1/aes-128 для обеих фаз — 1 и 2, между роутерами Mikrotik (никакие сторонние вендоры не участвуют). До обновления такая конфигурация работала без проблем сотни дней.

Я уже открыл тикет в Mikrotik. Хотел уточнить следующее: я читал в некоторых обсуждениях, что при использовании мульти-сетевых политик для одного туннеля нужно выставлять Action → Level в Unique, а не Require, но это якобы нужно только если соединение между Mikrotik и другим вендором (например, Cisco). Вопрос: надо ли ставить Action в Unique, если я использую только роутеры Mikrotik в мульти-сетевой политике?

Вот конфигурация IPsec: mikrotik_ipsec.png  
А вот как это выглядит при ошибке: mt_fail_ipsec.png

Я уже откатился назад на 6.36.4, и теперь всё работает нормально снова. Другие роутеры Mikrotik у нас работают на разных версиях (один из них тоже 6.40.4), и ни один из них такой проблемы не показывает. Единственное решение этой проблемы — перезагрузка основного маршрутизатора, сброс ключей или принудительное закрытие соединений не помогало.

Спасибо!
13.10.2017 10:30:00, subway.]]> http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378482 http://mikrotik.moscow/forum/forum57/83627-ipsec_-cherez-neskolko-chasov-faza-2-ne-zapuskaetsya-_6.40.4/message378482 Fri, 13 Oct 2017 10:30:00 -0400 RouterOS