Mikrotik.moscow [тема: IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят.]

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят.

Fri, 28 Jul 2023 12:39:00 -0400

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят. RouterOS в форуме RouterOS.
Привет! Я пока новичок в Mikrotik, но, кажется, у меня такая же проблема. Кто-нибудь может подсказать, как добавить маршрут к удалённой подсети с pref-src=<внутренний адрес маршрутизатора>? Заранее спасибо!
28.07.2023 12:39:00, pcp.

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят.

Mon, 14 Nov 2022 05:31:00 -0500

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят. RouterOS в форуме RouterOS.
Спасибо большое за ваш ответ. У меня всё сработало, это лучшее решение из всех!
14.11.2022 05:31:00, pashew.

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят.

Thu, 09 Jun 2022 11:04:00 -0400

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят. RouterOS в форуме RouterOS.
Я столкнулся с той же проблемой. В моём случае решение заключалось в добавлении статического маршрута для удалённой сети. Взяв адреса из этой темы, для сайта A это будет: /ip route add gateway=10.1.10.11 dst-address=192.168.88.0/24
09.06.2022 11:04:00, soulreaver1.

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят.

Thu, 02 Jun 2022 14:31:00 -0400

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят. RouterOS в форуме RouterOS.
Краткое замечание спустя несколько лет. Убедитесь, что любое правило NAT - Маскарад на исходящем интерфейсе WAN не применяется к IPSEC-трафику. (Дополнительно - Политика IPsec: исходящая: нет)
02.06.2022 14:31:00, eddulh.

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят.

Sun, 06 Sep 2020 00:30:00 -0400

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят. RouterOS в форуме RouterOS.
Спасибо, Соб, ты прав, маршрут отсутствовал (на самом деле он был деактивирован, когда я туда-сюда колдовал с настройками и конфигурациями). Я создал маршрут с удалённой подсетью LAN и шлюзом в виде моста. Теперь всё работает.
06.09.2020 00:30:00, LittleMan.

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят.

Sun, 06 Sep 2020 00:07:00 -0400

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят. RouterOS в форуме RouterOS.
Секрета тут нет, текущий стандартный файрвол по умолчанию пропускает туннелированный трафик, ничего дополнительно добавлять не нужно. Твоя проблема с пингом, скорее всего, связана с тем, что ты просто делаешь «ping», и роутер выбирает «не тот» исходящий адрес, из-за чего политика IPSec не совпадает. Если хочешь просто проверить, что всё работает, добавь к пинг-команде src-address=<внутренний адрес роутера>. Если хочешь, чтобы всё работало автоматически, добавь маршрут к удалённой подсети с pref-src=<внутренний адрес роутера>. Немного больше про IPSec и маршруты можно найти здесь.
06.09.2020 00:07:00, Sob.

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят.

Sun, 06 Sep 2020 00:07:00 -0400

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят. RouterOS в форуме RouterOS.
Хорошо, предложение использовать вкладку "Connections" было очень полезным, так как я заметил, что мой пинг на самом деле шел с WAN-адреса на LAN-адрес удаленного роутера. Чтобы сделать пинг между двумя роутерами, нужно либо указать интерфейс (в моем случае это bridge-интерфейс, так как именно на нем находится IP-шлюз LAN), либо правильный исходящий IP-адрес, потому что приложение для пинга не понимает, что вы хотите выйти/проверить через туннель, и по умолчанию выбирает WAN (или, скорее всего, первый найденный интерфейс).
06.09.2020 00:07:00, LittleMan.

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят.

Sat, 05 Sep 2020 23:40:00 -0400

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят. RouterOS в форуме RouterOS.
Отличная работа, @6string! Не могу понять, почему руководство по настройке и пример на сайте Mikrotik такой неполный. Без правил prerouting в raw вообще ничего не работает. Честно говоря, я не представляю, как остальные люди это настраивают, похоже, что этот «последний шаг» тщательно скрыт от простых смертных экспертами (наверное, так они и зарабатывают на жизнь). Но у меня осталось одно последнее дело: я не могу пропинговать LAN-IP каждого из роутеров между собой. С удалённой машины в LAN я могу пинговать роутеры по их LAN-адресам, но сами роутеры между собой пинги не проходят. Что я тут упускаю?
05.09.2020 23:40:00, LittleMan.

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят.

Fri, 21 Sep 2018 07:45:00 -0400

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят. RouterOS в форуме RouterOS.
Зарегистрировался здесь, чтобы сказать спасибо — это решило мою проблему!
21.09.2018 07:45:00, eifelis.

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят.

Mon, 18 Jun 2018 10:56:00 -0400

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят. RouterOS в форуме RouterOS.
Я уже успешно настроил конфигурацию site-to-site в Mikrotik, но не могу пропинговать удалённый сайт с обеих сторон, хотя пишет, что соединение установлено. Помогите, пожалуйста, с этой настройкой.
18.06.2018 10:56:00, zubaid.

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят.

Wed, 18 Jan 2017 21:26:00 -0500

IPSEC соединение Site to Site активно, но пинги до удалённых устройств не проходят. RouterOS в форуме RouterOS.
Я новичок в Mikrotik, так что, надеюсь, это что-то простое, что я упустил. Провёл несколько часов, пытаясь найти ответ, прежде чем написать это.

Использую 2 Mikrotik 9B951G с версией v6.38.1stable. Оба сайта имеют доступ в интернет. Я настроил простой тестовый IPSEC site-to-site в офисе, но пока никак не могу правильно всё сделать.

Удалённые пиры показывают статус "установлено", я вижу установленные SA. Пингуется удалённый роутер с обеих сторон. Проблема в том, что я не могу пропинговать никакие устройства, кроме удалённых роутеров.

Сайт A
Wan: 10.1.10.10
Lan: 10.192.103.0/24
Policy: Src 10.192.103.0/24, Dst 192.168.88.0/24
SA: Src 10.1.10.10, Dst 10.1.10.11
Peer: 10.1.10.11
Preshared Key: ****
Sha1, aes-256, modo1024
Proposal: sha1, aes-256 cbc, aes-256 ctr

Сайт B
Wan: 10.1.10.11
Lan: 192.168.88.0/24
Policy: Src 192.168.88.0/24, Dst 10.192.103.0/24
SA: Src 10.1.10.11, Dst 10.1.10.10
Peer: 10.1.10.10
Preshared Key: ****
Sha1, aes-256, modo1024
Proposal: sha1, aes-256 cbc, aes-256 ctr

Добавил 3 правила в самый верх правил файрвола и вижу трафик на портах 50 и 500 на обоих роутерах:
Accept Input 50 ipsec esp
51 ipsec ah
500 udp

Добавил правило NAT в самый верх таблицы NAT:
Сайт A: Accept srcnat с Src 10.192.103.0/24 на Dest 192.168.88.0/24
Сайт B: Accept srcnat с Src 192.168.88.0/24 на Dest 10.192.103.0/24

Также сбрасываю SA при внесении изменений.

Пробовал добавлять IP/маршруты (на самом деле несколько вариантов), например на сайте A:
Dst 192.168.88.0/24 Gateway 10.1.10.11

Кто-нибудь может подсказать, что я упускаю? Большое спасибо!
18.01.2017 21:26:00, 6string.