а среда как разделяется? Несколько антенн там?

Это может быть из-за несогласованности авторизации и шифрования. Нужно выкатить proposal на MT и его аналогию на Cisco и просто сравнить.

Сравнивал, на мой уставший взгляд все один в один. Мне кажется, что они даже первую фазу не могут пройти, но не понятно из-за чего. Кстати, две циски с этими настройками зацепились...

Сделай экспорт с обеих железок и покажи нам. Мало ли где ошибся

Сделай экспорт с обеих железок и покажи нам. Мало ли где ошибся

Конфиг циски полностью или только кусок IPsec-GRE?

Конфиг циски полностью или только кусок IPsec-GRE?

давай начнём с куска

давай начнём с куска

Ну вот смотри, сразу вопросы по МТ

/ip ipsec proposal add enc-algorithms=3des name=test

У тебя есть proposal, но ты не указал в нём алгоритм аутентификации

а что в этом случае мт использует? null?

Есть, но в экспорт не попадает

а что в этом случае мт использует? null?

не знаю если честно

а PFS на циске включен?

если нет - со стороны мт тоже убрать надо

а PFS на циске включен?

crypto ipsec profile IPsecProfile set transform-set ESP-3DES-SHA set pfs group2 !

crypto isakmp policy 1 encr 3des authentication pre-share group 2

а хэш где?

у циски такого нет, чтобы настройка была, а в конфиге ее не было видно

лайфтайм у циски сутки, емнип

для связи с микротиками надо прописывать с обеих сторон явно

Да, PFS отрубить надо.

У МТ же тоже сутки по дефолту

я не знаю точно, но могу предположить, что вот тут задается лайфтайм для фазы1

и он тут задан 30 минут

Да, к слову об этом. Он по умолчанию раз в 30 минут ключи меняет?

и он тут задан 30 минут

А proposals - это не PH2?

я не настолько микротиковод :)

у циски фаза1 - сутки, фаза2 - час

помню, что когда мт с циской дружил, лайфтаймы прописывал жестко

Я так понимаю, что Peer - это PH1, а proposals - 2

Но если у циски дефолт час, то уже неправильная настройка

и еще там на циске, опять же если память не изменяет, лайфтайм у фазы2 еще и в байтах дополнительно задается

но может быть, что это у меня глюки

не, не глюки

3600 seconds (one hour) and 4,608,000 kilobytes (10 megabits per second for one hour).

не знаю как сейчас, а раньше микротик в пересогласование са по достижению объема трафика не мог

Интересно, где это в МТ

crypto ipsec security-association lifetime seconds 2700 crypto ipsec security-association lifetime kilobytes 2304000

на циске

Я что-то не вижу в циске режим работы IPSec, имеется ввиду транспортный а не туннельный

Я что-то не вижу в циске режим работы IPSec, имеется ввиду транспортный а не туннельный

что именно вы пытаетесь добиться, задав транспортный режим?

что именно вы пытаетесь добиться, задав транспортный режим?

я не помню идеалогии цисок, но в Linux и у МТ он в туннельном режиме не создаёт интерфейса, и если с одной стороны один режим а с другой дргой - не подниметься ведь

айписец в циске никогда не создает интерфейс

Я что-то не вижу в циске режим работы IPSec, имеется ввиду транспортный а не туннельный

Прописал, видимо, удалил когда ковырял ночью

вы можете создать отдельно туннельный интерфейс и отдельно применить к нему правила трансформации

не знаю как сейчас, а раньше в микротике была такая же логика

Посто по идее если речь идёт о GRE поверх которого накатывается IPSec, обычно это называют шифрованием в транспортном режиме, когда IPsec занимается только шифрованием трафика. Но IPSec вроде можно настроить и в туннельном режиме, но интерфейсов всё равно не будет.

Тут то ли экспорт не полный, то ли много параметров не задано

Я сам сто лет назад их дружил, и вроде бы по первому попавшемуся мануалу, и всё взлетело.

дружить надо не по мануалу, а по пониманию процесса :(

на все случаи жизни мануалов не будет

дружить надо не по мануалу, а по пониманию процесса :(

все начинают дружить по мануалу, а потом приходит понимание процесса и грабельки)

иногда мне лучше жевать, чем говорить, особенно обнимая собственный самовар в Туле :)

иногда мне лучше жевать, чем говорить, особенно обнимая собственный самовар в Туле :)

слишком глубокая мысль (стыдно, не понял)...

сорян, я просто очень сильно аггрюсь на "делать по мануалу"

а если агриться слишком сильно, то меня отсюда погонят ссаными тряпками

это, понятно, была бы реклама курса по цискосекурити

так что я лучше посижу, помолчу

В общем судя по тому, что две циски с этим конфигом дружились (исключая transport и PFS-group, это все по невнимательности), можно сделать вывод, что несхождение по дефолту где-то лепится. Значит, нужно курить IPsec циски, читать чем он отличается

ну вот лайфтаймы курите, там точно несовпадение, я его помню

плюс хэширование в полиси не прописано

плюс хэширование в полиси не прописано

В МТ?

в циске

crypto isakmp policy 1 encr 3des authentication pre-share group 2

^

Ааа

^

Оно почему-то не прописывает его. Может, по дефолту там и есть sha1, вот и не отображает в конфиге?

может быть

Да, так и есть. md5 отображает

Всем спасибо за наводку, буду курить дальше.

у циски такого нет, чтобы настройка была, а в конфиге ее не было видно

Дефолтные значения в экспорт не попадают. Хотим получить инфу и о них – экспорт вербоз нам поможет

а, ок

А proposals - это не PH2?

Вроде она, да

Я что-то не вижу в циске режим работы IPSec, имеется ввиду транспортный а не туннельный

В политиках это

#поразмятьмозги #лабауровняmtctce Создайте правила(в пустом фаерволле), которые откроют на 1 минуту возможность подключения по SSH после того, как в течении минуты будет попытка подключиться по портам: 1234, 2345, 3456. Попытка подключения должна быть в любой последовательности. Т. е. не зависимо от порядка, в котором порты перебирались должен быть открыт доступ. Между попытками подключения должно пройти не более 20 секунд. Задача решается с помощью PSD.

сижу размышляю о смысле жизни, думюа возможно ли такое :)

а что такое PSD?

port scan detection

а что такое PSD?

поддерживаю вопрос

айписец в циске никогда не создает интерфейс

За это и не люблю туннельный режим. Неочевидная нелепая фигня.