Привет. Имам един работещ ipsec, но затруднения с друг. 
 Имам ipsec тунел...ip-тата са примерни, разбира се. 
 В peers имам..
 




 
 В policies Имам
 




 
 Имам правило в ip-nat
 




 В ip-filter rules
 




 
 Тунелът ми казва established, но no phase2. sa-та няма, не започва шифрирано предаване. 
 В този случай не мога да разбера 2 неща... 
 1.Директно ли ми минава трафика през wan-а и отива там некриптиран или имам тунел между 10.20.10.20 и 150.100.100.105, но е некритиран? 
 2. Защо ми казва established, но no phase2. От другата страна устройството е cisco. 
 Да разбирам, че си правя ip-nat и ip-filter rules, ipsec трябва да го прихване по зададените критерии, да установи тунел, да го шифрира. 
 Ако тунел няма ще го предаде ли директно открито или ще го дискартне?
 
Проблем с ipsec тунел - no phase2.
Има ли причина да не ползваш l2tp,
 


 който е по малко ресурсоемък има по добри параметри на пренос и по нисък лаг?
 
Най-вероятно имате разминаване в параметрите на втора фаза, за жалост това с микротика не може да се види.
 


 Вижте го от страната на cisco-то, той може да върне информация.
 
Добре, ако не стига до Фаза2, не би ли трябвало никакъв трафик да не върви между двете, които се хващат от ipsec policy-то? 
 В този вариант като няма Фаза2 установява ли се някаква връзка на Фаза1, има ли въобще тунел и как имат достъп, ако няма нищо? 
 Правилно съм си нагласил правилата, предполагам? Аз не мога да установя де факто минава ли нещо през ipsec-а от моя страна. 
 После мислех да го огранича до 2 конкретни машини във firewall-а. Да accept forward-вам само между конкретен ip от вътрешната мрежа. В момента работи нещо и има достъп. Обаче аз не мога да го установя през Микротика какво работи и как работи. Искам да се уверя, че работи защитено.
 




 Има. И аз предпочитам да имам интерфейс, към който да насочвам. Подадена ми е конфигурация. Аз я въвеждам в Микротика. 
 Сбъркал ли съм нещо? И второто - трафика откъде минава, след като не стига до Фаза2? Фаза1 очевидно я минава, щом е established.
 




 Пробвах за теста да нацъкам всичките опции. Няма Фаза 2 и това е. Подадено ми е за dh group = none. 
 Като цяло с Микротика с филтриране, l7, dst-nat правила, ip pool-ове, конфигурации на интерфейсите не срещам затруднения. 
 Тук обаче не мога да проследя какво се случва. И ако нямам phase2 не би ли следвало да не върви нищо? 
 А ако съм настроил правилата правилно спрямо тунела, което ще се радвам, ако го потвърдите, откъде минава тоя трафик? 
 Бих се радвал ако някой може да поясни.
 
Дигни си нивото на логване, свери си часовника.
 


 И кой е интерфейса при ipsec ?
 
Не ми става ясно за какъв трафик който върви говориш, моля да поясниш.
 


 Пак казвам говори с човека от другата страна да погледне при него какво не Ви е еднакво на втора фаза. 
 Пускайки всички опции не означава че ще оправиш проблема на втора фаза.
 
Аз бих отправил тези въпроси към този който е подал конфигурацията. Мултивендор ipsec-a се дебъгва достатъчно криво, а при спестена 90% от конфигурацията и без дебъг може само да се вайкаме в темата.
 
Отсрещната страна казва, че има достъп до необходимите ресурси, т.е има достъп до локалната мрежа. 
 След като съм направил ipsec с peers моето ip и тяхното ip, техният събнет и моят събнет би трябвало ipsec да го прихване, нали така? 
 Единственото друго нещо, което имам е route към техния събнет през ether1.  
 Има ли вариант при зададена ipsec policy по по-горните параметри които съм дал трафикът да я прескача и да минава през ether1, без да използва ipsec policy-то, след като съм задал изрично параметрите на връзката в него? 
 Да вкарам ли в accept rule-овете ipsec 
 
В такъв случай имате работещ ipsec и втора фаза минава, най-вероятно нещо правилата ти за трафика не са правилни.
 
Ако те го пускат само при нужда, а после го спират, ph2 count брои тоталните за established сесията, докато изтече timeout-а й или от последното успешно свързване, така че ако следващо не е успешно или се разкачат се ресетва на 0?
 
Когато няма трафик по тунела  сесията изтича и той се разпада, подновяването става автоматично когато започне да тече пак трафик.
 


  
 
Този естаблиш къде точно го четете? При site to site ipsec няма тунелен нтерфейс, а се изгражда перманентна криптирана връзка на основата на определени правила!
 