Добрый день, многоуважаемый All. Необходимо включить несколько 871 цисок через интернет. Для этого на двух рутерах в центре подняты туннели DMVPN и к ним цепляются заначенные spoke-точки (т.е. на каждом споке поднято 2 туннеля в центр + оспф). В принципе схема и конфиг отработаны на провайдерских IP VPN'ах, отличия проблемного включения - нат и произвольно включенный интернет.
конфиг на на хабах абсолютно идентичен (проверено построчно, разница только в адресах) и выглядит так:
interface Tunnel2
ip address 192.168.0.1 255.255.255.128
no ip redirects
ip mtu 1400
ip nhrp authentication ZZZ
ip nhrp map multicast dynamic
ip nhrp network-id 1
ip virtual-reassembly
ip tcp adjust-mss 1460
ip ospf network broadcast
ip ospf priority 3
tunnel source X.X.X.X
tunnel mode gre multipoint
tunnel key 1000
tunnel protection ipsec profile PROFILE
Туннели на споках так же настроены одинаково:
interface Tunnel0
ip address 192.168.0.7 255.255.255.128
ip mtu 1400
ip nhrp authentication ZZZ
ip nhrp map 192.168.0.1 X.X.X.X
ip nhrp network-id 1
ip nhrp nhs 192.168.0.1
ip virtual-reassembly
ip ospf network broadcast
ip ospf priority 0
tunnel source Fa4
tunnel destination X.X.X.X
tunnel key 1000
tunnel protection ipsec profile PROFILE
Если бы оно вообще не работало - было бы еще не плохо... )) но туннели на один из цетральных рутеров поднимаются влет, а вот на второй категорически на желают. и с рутингом/фаерволом это никак не связано: если убрать с интерфейсов проблемного туннеля крипто-профиль, то на центральном рутере по sh ip nhrp br появляется вот такая вот запись:
Target Via NBMA Mode Intfc Claimed
192.168.0.7/32 192.168.0.7 Y.Y.Y.Y dynamic Tu2 10.0.0.A
где 10.0.0.A - фактический адрес 871 циски в локалке за натом, а Y.Y.Y.Y - внешний адрес, которым она натится. При этом пинги не ходят, ospf не срастается.
На втором рутере записи выглядят немного иначе:
192.168.0.135/32 192.168.0.135 10.0.0.А dynamic Tu2 < >
Почему может возникать такая фигня? Куда смотреть? Спасибо.