Доброго дня.
Есть 2 настроенных VPN туннеля между хостом с CentOS 6.5 (openswan-2.6.49) и двумя Cisco ASA (разные страны). Все поднимается, работает. Но проходит несколько минут (10-20), когда к хостам никто не обращается и туннели отваливаются. Работает одинаково для обоих подключений.
В нормальном состоянии ipsec status показывает вот это:
000 «telenor_bd/0x1»: local_ip/32===local_ip...remote_ip===10.21.9.4/32; erouted; eroute owner: #124
000 «conn/0x1»: myip=unset; hisip=unset;
000 «conn/0x1»: ike_life: 86400s; ipsec_life: 28800s; rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0
000 «conn/0x1»: policy: PSK+ENCRYPT+TUNNEL+UP+IKEv2ALLOW+SAREFTRACK+lKOD+rKOD; prio: 32,32; interface: ppp0; kind=CK_PERMANENT
000 «conn/0x1»: newest ISAKMP SA: #0; newest IPsec SA: #124; eroute owner: #124;
000 «conn/0x1»: aliases: conn
000 «conn/0x1»: IKE algorithms wanted: AES_CBC(7)_256-SHA1(2)_000-MODP1024(2); flags=-strict
000 «conn/0x1»: IKE algorithms found: AES_CBC(7)_256-SHA1(2)_160-MODP1024(2)
000 «conn/0x1»: ESP algorithms wanted: AES(12)_256-SHA1(2)_000; flags=-strict
000 «conn/0x1»: ESP algorithms loaded: AES(12)_256-SHA1(2)_160
000 «conn/0x1»: ESP algorithm newest: AES_256-HMAC_SHA1; pfsgroup=<N/A>
000 #124: «conn/0x1»:500 IKEv1.0 STATE_QUICK_I2 (sent QI2, IPsec SA established); EVENT_SA_REPLACE in 26752s; newest IPSEC; eroute owner; isakmp#123; idle; import:admin initiate
000 #124: «conn/0x1» esp.59554b65@remote_ip esp.4393755@local_ip tun.0@remote_ip tun.0@local_ip ref=0 refhim=4294901761
Когда подключение отваливается, остается только первая часть (без последних двух строчек).
В /var/log/secure есть такие строчки:
localhost pluto[10708]: pending Quick Mode with remote_ip «conn/0x1» took too long — replacing phase 1
Конфиг такой:
conn conn
type=tunnel
authby=secret
auth=esp
ikelifetime=86400s
keylife=28800s
phase2alg=aes256-sha1
ike=aes256-sha1;modp1024
keyexchange=ike
pfs=no
left=loal+ip
leftsubnet=local_ip/32
right=remote_ip
rightsubnets={a.a.a.a/32,b.b.b.b/32,c.c.c.c/32}
dpddelay=30
dpdtimeout=60
dpdaction=restart_by_peer
auto=start
Насколько я понимаю, вот этот самый DPD должен рестартовать все SAs после того, как он решит, что удаленный пир мертв. Но он этого не делает. Админ со стороны Cisco говорит, что у него нет настроек аналогичных dpdaction.
Пробовал выставлять keep_alive в ipsec.conf - команда status говорила, что все SAs установлены, а трафик не идет.
Не подскажете, что нужно еще настроить?
