http://mikrotik.moscow Новое в теме Лучшие практики обнаружения недоступного узла в IPsec форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sat, 01 Aug 2026 03:08:33 -0400 Лучшие практики обнаружения недоступного узла в IPsec RouterOS в форуме RouterOS.
О, это очень интересно. Спасибо, что поделились!
09.11.2023 18:17:00, Deantwo.]]> http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382192 http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382192 Thu, 09 Nov 2023 18:17:00 -0500 RouterOS Лучшие практики обнаружения недоступного узла в IPsec RouterOS в форуме RouterOS.
Нормально. С тех пор уже много дождей было. Спасибо, что ответил!
08.11.2023 10:01:00, wispmikrotik.]]> http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382191 http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382191 Wed, 08 Nov 2023 10:01:00 -0500 RouterOS Лучшие практики обнаружения недоступного узла в IPsec RouterOS в форуме RouterOS.
Извини, но моя память уже не та, что раньше…
08.11.2023 09:17:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382190 http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382190 Wed, 08 Nov 2023 09:17:00 -0500 RouterOS Лучшие практики обнаружения недоступного узла в IPsec RouterOS в форуме RouterOS.
Привет! Извини, что «воскресил» эту старую тему. В RFC я не увидел, что обязательным условием является одинаковый DPD с обеих сторон. Согласно пункту 5 RFC 3706 про протокол DPD: каждый пир может иметь разные требования к определению живости соединения. Например, пир A может требовать быстрого переключения при сбое, а пир B – более спокойного подхода к освобождению ресурсов. В DPD каждый пир задаёт свой собственный «порог тревоги» — интервал, определяющий срочность обмена DPD. Продолжая пример: пир A задаёт интервал DPD в 10 секунд. Если пир A отправляет IPSec трафик, но не получает входящий трафик в течение 10 секунд, он может инициировать обмен DPD.

Пир B, наоборот, задаёт менее срочный интервал DPD — 5 минут. Если сессия IPSec простаивает 5 минут, пир B может инициировать обмен DPD при следующей отправке пакетов IPSec к A. Более того, на стороне macOS при DeadPeerDetectionRate = Disabled и на стороне Mikrotik с включённым DPD (60 сек., 3 попытки) DPD-сообщения доходят до macOS-клиента, и он отвечает на них корректно. RFC действительно указывает, что на эти сообщения нужно отвечать. @pe1chl, ты сталкивался с проблемами из-за разных способов настройки DPD? С уважением,
08.11.2023 08:17:00, wispmikrotik.]]> http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382189 http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382189 Wed, 08 Nov 2023 08:17:00 -0500 RouterOS Лучшие практики обнаружения недоступного узла в IPsec RouterOS в форуме RouterOS.
Не совсем понимаю, какое это имеет значение в вопросе о лучшей практике. Но ладно, центральный маршрут такой: RB1100AHx2. Спутниковые роутеры в основном состоят из: RB750, RB2011iL.
23.06.2016 12:54:00, Deantwo.]]> http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382188 http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382188 Thu, 23 Jun 2016 12:54:00 -0400 RouterOS Лучшие практики обнаружения недоступного узла в IPsec RouterOS в форуме RouterOS.
Как у вас обстоят дела с производительностью на канале Ipsec? Какую модель центрального роутера используете? Отправлено с моего iPhone через Tapatalk
19.06.2016 09:49:00, kujo.]]> http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382187 http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382187 Sun, 19 Jun 2016 09:49:00 -0400 RouterOS Лучшие практики обнаружения недоступного узла в IPsec RouterOS в форуме RouterOS.
У меня в сети много IPsec-туннелей, которые состоят только из роутеров MikroTik. Обычно это построено по схеме «центральный роутер», к которому подключаются «спутниковые» роутеры. Существуют разные способы настройки IPsec — например, динамические политики и прочее. Я несколько времени назад решил настроить всё с помощью статических политик и пиров, управляя этим с помощью нескольких скриптов и DNS-сервера. Всё работает нормально, но есть вопросы по оптимальному управлению.

Главный вопрос — как лучше настроить DPD (Dead Peer Detection). По умолчанию стоит 120 секунд с 5 неудачами. Кажется, это слишком долго, и, в теории, я не хочу, чтобы центральный роутер поддерживал туннели живыми, я хочу, чтобы это делали «спутниковые» роутеры. Сейчас у меня DPD на центральном роутере отключён, а на «спутниковых» настроен интервал 20 секунд и максимум 1 неудача. Цель — быстро обнаруживать проблемы в IPsec-туннеле и быстро восстанавливать соединение.

dpd-interval=disable-dpd  
dpd-maximum-failures=1  
dpd-interval=20s  
dpd-maximum-failures=1  

Итак, каков же лучший подход для настройки DPD? Почему в настройках по умолчанию такой большой интервал? Не слишком ли мало 1 максимальное число неудач? Должны ли настройки быть одинаковыми на обеих сторонах? Или допустим односторонний DPD? В мануале об этом мало информации, возможно, я просто недостаточно знаю. Всё, что я там вижу:
30.05.2016 11:34:00, Deantwo.]]> http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382186 http://mikrotik.moscow/forum/forum57/83994-luchshie-praktiki-obnaruzheniya-nedostupnogo-uzla-v-ipsec/message382186 Mon, 30 May 2016 11:34:00 -0400 RouterOS