Ike2 Firewall соединение по дефолтным настройкам

[Berlio]

Добрый вечер!
Соединил два микротика с белыми IP адресами через Ike2 по туннелю.
Порты в firewall не открывал, использовал дефолтные настройки, после сброса настроек в микротике
Порт 4500 не открывал

Не могу понять почему устанавливать туннель...

Если делаю Disable на этом правиле то туннель Ike2 не поднимается
action=accept chain=input comment=\«defconf: accept established,related,untracked» connection-state=\established,related,untracked

но это правило для уже созданных соединений и связанных соединений


Если на этом правиле убрать галку с "established" то туннель не поднимается
action=accept chain=input comment=\«defconf: accept established,related,untracked» connection-state=\established,related,untracked

Интересно это глюк в прошивке 6.45.8 микротика или так должно быть





Список Firewall
/ip firewall filter
add action=accept chain=input comment=\
«defconf: accept established,related,untracked» connection-state=\
established,related,untracked
add action=drop chain=input comment=»defconf: drop invalid» connection-state=\
invalid
add action=accept chain=input comment=»defconf: accept ICMP» protocol=icmp
add action=drop chain=input comment=»defconf: drop all not coming from LAN» \
in-interface-list=!LAN
add action=accept chain=forward comment=»defconf: accept in ipsec policy» \
ipsec-policy=in,ipsec
add action=accept chain=forward comment=»defconf: accept out ipsec policy» \
ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment=»defconf: fasttrack» \
connection-state=established,related
add action=accept chain=forward comment=\
«defconf: accept established,related, untracked» connection-state=\
established,related,untracked
add action=drop chain=forward comment=»defconf: drop invalid» \
connection-state=invalid
add action=drop chain=forward comment=\
«defconf: drop all from WAN not DSTNATed» connection-nat-state=!dstnat \
connection-state=new in-interface-list=WAN

[Chupaka]

Добрый. Может, при установлении соединения RouterOS использует 4500 как в качестве dst-port, так и в src-port? Тогда каждая сторона начинает инициировать соединение со своей стороны, получает в ответ пакет, который относит к уже установленному соединению - и файрвол пропускает эти пакеты?

[Berlio]

08:48:23 ipsec,info killing ike2 SA: 88.88.888.88[4500]-999.99.999.999[4500] spi:a1f1a10e01ca033c:a106ddc62cd873d7
08:48:24 ipsec,info new ike2 SA (R): 88.88.888.88[4500]-999.99.999.999[4500] spi:514ad4ee416ff191:ff5ab3558f9ef42f
08:48:25 ipsec,info,account peer authorized: 88.88.888.88[4500]-999.99.999.999[4500] spi:514ad4ee416ff191:ff5ab3558f9ef42f

Похоже Вы дали правильный ответ!
Спасибо за помощь!

[Chupaka]

И вам спасибо за огласку этой фишки. Удобно получается