Есть центральный Mikrotik CCR1016(6.42) XX.XXX.XX.XX и клиентский Mikrotik hAP lite(6.46) YY.YYY.YY.YY
Понадобилось прицепить к существующей VPN сети, еще одну подсеть.
Ну, чего там, это не первый клиент к основной сети, трудностей быть не должно.
Прописал все по шаблону...
Поднимаю IPSec - не поднялся
Стопор на Phase 2.В логах на центральном роутере:
22:14:33 ipsec,error YY.YYY.YY.YY failed to pre-process ph2 packet.
22:14:35 ipsec,error YY.YYY.YY.YY peer sent packet for dead phase2
22:14:37 ipsec,error YY.YYY.YY.YY peer sent packet for dead phase2
22:14:39 ipsec,error YY.YYY.YY.YY peer sent packet for dead phase2
После долгих мудрствований и копания в правилах, решил включить дебаг IPSEC на клиентском микроте:
И тут:
MikroTik] >
(90 messages discarded)
22:16:05 echo: ipsec,debug,packet IPSEC: HASH with:
22:16:05 echo: ipsec,debug,packet IPSEC: a9c39377 0000000c 00100001 0100000e
22:16:05 echo: ipsec,debug,packet IPSEC: hmac(hmac_sha1)
22:16:05 echo: ipsec,debug,packet IPSEC: HASH computed:
22:16:05 echo: ipsec,debug,packet IPSEC: bfc62501 5ea25fed 64849a4a 2ecb45aa 37c5c863
22:16:05 echo: ipsec,debug IPSEC: hash validated.
22:16:05 echo: ipsec,debug IPSEC: begin.
22:16:05 echo: ipsec,debug IPSEC: seen nptype=8(hash) len=24
22:16:05 echo: ipsec,debug IPSEC: seen nptype=11(notify) len=12
22:16:05 echo: ipsec,debug IPSEC: succeed.
22:16:05 echo: ipsec,debug IPSEC: XX.XXX.XX.XX notify: NO-PROPOSAL-CHOSEN
22:16:05 echo: ipsec IPSEC: XX.XXX.XX.XX fatal NO-PROPOSAL-CHOSEN notify messsage, phase1 should be deleted.
Ну думаю, конечно же мой косяк, лезу сравнивать IPSEC - Proposals на обоих микротах:
Сервер:
/ip ipsec proposal
add enc-algorithms=aes-128-cbc name=PROPOSAL-IPSEC-MAIN pfs-group=none
Клиент:
/ip ipsec proposal
add enc-algorithms=aes-128-cbc name=PROPOSAL-IPSEC-MAIN pfs-group=none
Различий нет, куда копать непонятно.
Может быть дело в различиях прошивки на центральном 6.42.3 и клиентском 6.46 роутерах?
Или, может на клиенте поднят еще l2tp, он мешает?
Может сталкивался кто с таким, подскажите пожалуйста?