4.0 Alpha 15 KN-1711: Не работают дополнительные подсети в site-to-site IPsec

[Marat0Sh]

Добрый день!

При настройке site-to-site IPsec не работают дополнительные подсети, работает только самая первая. Например при такой настройке:

Будет доступна только подсеть 192.168.16.0/24, но остальные доступны не будут, если поставить на первое место к примеру 192.168.12.0/24, то доступ к ней появится, но пропадёт к 192.168.16.0/24 и всем остальным и так далее, то есть доступ имеется только к той подсети, которая будет указана самой первой, остальные доступны не будут. Self-test отдельным сообщением прилагаю.

[PASPARTU]

3 часа назад, Marat0Sh сказал:

Добрый день!

При настройке site-to-site IPsec не работают дополнительные подсети, работает только самая первая. Например при такой настройке:

Будет доступна только подсеть 192.168.16.0/24, но остальные доступны не будут, если поставить на первое место к примеру 192.168.12.0/24, то доступ к ней появится, но пропадёт к 192.168.16.0/24 и всем остальным и так далее, то есть доступ имеется только к той подсети, которая будет указана самой первой, остальные доступны не будут. Self-test отдельным сообщением прилагаю.

А обратная сторона какая? там настройки такие же?

 

[Marat0Sh]

С обратной стороны доступ тоже есть, но только из подсети, которая первой указана в кинетике, стоит поставить другую и доступ пропадает. Например ставим 192.168.16.0/24 на первое место, из под неё доступы к хостам и кинетику 192.168.49.0/24 есть. Теперь ставим 192.168.12.0/24 на первое место, доступ из неё в 192.168.49.0/24 появляется, но пропадает из 192.168.16.0/24.

На той стороне стоит Kerio control, настройки такие же:

удаленные сети: 192.168.49.0/24

локальные сети: 192.168.12.0/24, 192.168.16.0/24, 192.168.100.0/24, 192.168.200.0/24

Edited March 30, 2023 by Marat0Sh

[SergeyM]

Подтверждаю, 4.0.2 KN-1810, на удаленной стороне cisco. Работает только первая (верхняя в UI) указанная удаленная подсеть. Ставишь первой другую - начинает работать она.

Если с удаленной стороны запустить обмен пакетами (ping), то начинает работать. Видимо, SA не поднимаются...

[Deadlock]

Именно, Child SA поднимается по умолчанию между первыми подсетями. 

[Deadlock]

Мне удалось решить