Непонятная работа маршрутов

[vs.kondr]

Добрый день.

Есть 3 CCR-1009, территориально находятся в разных филиалах по городу
CCR-HQ - 10.1.0.0/20, является L2TP-сервером для двух остальных (пул 192.168.50.0/24)
CCR-1 - 10.2.3.254, L2TP-клиент (192.168.50.143), при подключении на CCR-HQ получает ip 10.1.13.100, за ним есть хост 10.2.3.33
CCR-2 - 10.2.4.254, L2TP-клиент (192.168.50.127), при подключении на CCR-HQ получает ip 10.1.13.106, за ним есть хосты 10.2.4.101, 10.2.4.171

трассировка с CCR-1:
traceroute 10.2.4.171
10.1.13.100
192.168.50.127
10.2.4.171

трассировка с CCR-2:
traceroute 10.2.3.33
10.1.13.106
192.168.50.143
10.2.3.33

трассировка с CCR-HQ:
traceroute 10.2.3.33
192.168.50.143
10.2.3.33

traceroute 10.2.4.101
192.168.50.127
10.2.4.101

traceroute 10.2.4.171
192.168.50.127
timeout

Хосты 10.2.3.33 и 10.2.4.171 - одинаковые устройства, SIP-телефон Panasonic
Т.е. с CCR-1 связь с CCR-2 работает без проблем, как и в обратную сторону через CCR-HQ
При этом с CCR-HQ до CCR-1 связь есть, на стороне CCR-2 не получается достучаться именно до 10.2.4.171

Маршруты уже проверены раз на 30, не могу понять что происходит, при этом внутри сети 10.2.4.0/24 хост 10.2.4.171 пингуется
Подскажите, пожалуйста, это у меня лыжи не едут или у меня?)

[Chupaka]

Приветствую.

Вопрос о маршрутах, маршруты перепроверены много раз, но ни намёка ни на сами маршруты, ни на то, что именно перепроверено

Правил фильтра файрвола, мешающих связи, нет на CCR-2? Берите Tools->Torch и смотрите на CCR-2 на интерфейсе, к которому подключен телефон, какие пакеты улетают на адрес телефона и возвращаются ли какие-нибудь обратно. Если тут всё есть - идите дальше по цепочке, чтобы понять, где что-то идёт не так, как ожидается.

[vs.kondr]

Прошу прощения, виновен, маршруты то не указал.
Маршруты на CCR-2
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 ADS 0.0.0.0/0 l2tp-hq 1
1 A S 10.1.0.0/20 l2tp-hq 1
2 X S 10.1.0.0/20 sstp-hq 1
3 ADC 10.1.13.106/32 192.168.50.132 l2tp-hq 0
4 ADC 10.2.4.0/24 10.2.4.254 bridge2 0
5 A S 192.168.23.0/24 192.168.35.157 1
6 A S 192.168.35.0/24 192.168.35.157 1
7 ADS 192.168.35.10/32 192.168.35.157 0
8 ADC 192.168.35.156/30 192.168.35.158 ether6

На файрволе только правило разрешающее пинг + в NAT маскарадинг на l2tp (один в один как на CCR-1)
Возможно дело в том, что какое то время назад (3-4 месяца) на CCR-2 слетели настройки и конфиг разворачивался из бекапа CCR-HQ

На прикрепленных файлах скриншоты torch



UPD: Проблему решил связав CCR-HQ и CCR-2 EOIP-туннелем на L2, при этом в логах периодически сообщение "EOIP: bridge port received packet with own address as source address (MAC), probably loop" - прихожу к выводу что дело было именно в том что разворачивался бекап с другого микротика и были перезаписаны mac-адреса

[Chupaka]

прихожу к выводу что дело было именно в том что разворачивался бекап с другого микротика и были перезаписаны mac-адреса

Всё может быть. Именно поэтому везде пишут, что бэкап - средство восстановления на той же машине, а если нужен перенос на другую, лучше использовать вывод /export show-sensitive на чистом роутере