@Andrei Agafonov

Есть ЦО где стоит циска, есть офис где микротик.
У офиса провайдер так себе поэтому канал периодически падает.
При восстановлении канала VPN не поднимается так как на циски не сбрасывается сас ключи, но после ребута микротика впн поднимается спокойно.

в связке:
ip ipsec installed-sa flush - со стороны микротик
router(config)#crypto isakmp invalid-spi-recovery со стороны циски - всё поднимается
Собственно вопрос как автоматизировать? Либо какими способами возможно решить данную проблему?

0

Jabbson

DPD, crypto isakmp keepalive

0

@Andrei Agafonov

А можно поподробней?

0

Jabbson

можно, вот

0

@Andrei Agafonov

поставил crypto isakmp keepalive 20 periodic
не помогло.

0

@MonaxGT

Andrei Agafonov, так может проблема с стороны микротика? Уберите periodic, оставьте по-умолчанию

0

@cat_driver

а какой софт у вас на микротике? погуглите по багами Ipsec возможно обновиться нужно или наоборот задаунгрейдить

0

@outl4w

Andrei Agafonov, была подобная проблема, правда между Juniper и Cisco. Как оказалось, виной были не совсем идентичные политики, а точнее lifetime на сторонах. Не факт, что проблема в том же, но проверить стоит.

0

@Andrei Agafonov

В чём проблема то я сумел понять, даже ход решения логичен и прост.
Решение примерно такое, роутеры друг друга пингуют по туннелю, и в момент когда пинг не прошёл (пусть будет 4 пакета) они выполняли команду сброса ключей. Вопрос в том как это автоматизировать и написать скриптовку (да костыль но иных идей пока что нет)
outl4w, Lifetime и с той и с другой стороны 8 часов, если сделать раз в полчаса, микротик начинает плодить ключи
cat_driver, 6.19, проблема была на 6.16 но вроде как пофиксили, новее пока что прошивки нет, а даунгредиться не понятно до какой

0

@outl4w

Если только к ip sla прикрутить event manager на сброс SA.

А туннель поднимается исключительно после ребута микротика или достаточно на кошке сделать clear cry isa и он поднимется?

0

@Andrei Agafonov

outl4w, достаточно очистить ключи на циске, то есть насколько я понимаю микротик ключи свои убивает а циска нет, в результате чего микротик ждёт конца жизни

0

@outl4w

Andrei Agafonov, а Вы не обращали внимание, SA какой фазы сбоят?
Не могли бы сделать в момент падения: sh cry isa sa и sh cry ipsec sa ?

0

@Andrei Agafonov

Собственно решил проблему, со стороны циски настраивается вот такая конфига:

event manager environment _exchserv 192.168.1.23 \\адрес почтовика
event manager environment _adminadress ito@mailhost.ru \\адрес кому присылать
event manager environment _report cisco_rep@mailhost.ru \\кто присылает

ip sla 2
icmp-echo 192.168.15.1 source-ip 192.168.0.1 \\кого пингуем, через какой интерфейс
frequency 2
ip sla schedule 2 life forever start-time now

track 2 ip sla 2 reachability
delay down 5 up 5 \\время определения канала

event manager applet host_VPN_is_down
event track 2 state down
action 1.0 mail server "$_exchserv" to "$_adminadress" from "$_report" subject "VPN ping DOWN"
action 1.1 cli command "clear crypto sa peer 86.62.120.1" \\очищает ключи конкретного пира

event manager applet host_VPN_is_up
event track 9 state up
action 1.0 mail server "$_exchserv" to "$_adminadress" from "$_report" subject "VPN ping UP"

0