IPSec мистерия зад NAT

[111111]

Странен проблем ми се случва
IPSec VOIP устройство (подчертавам тотално неуправляемо) седи зад микротик
там бива натнато и закачено чрез РРТР за друг микротик кадето е натнато към анонимазер услуга кадето пак е натнато
и отива към IPSEC сървъра
както се сещате дефект с лаг но работи
 
преправих системата
сега е без анонимаизер-а но неиска да се свърже на сървъра
 
плюе странни грешки 
 
 

... 
18:25:56 firewall,info forward: in:pptp out:ether1, proto UDP, 192.168.100.179:500->ИПСЕК-СЪРВЪР:500, len 368  
18:26:09 firewall,info forward: in:pptp out:ether1, proto UDP, 192.168.100.179:500->ИПСЕК-СЪРВЪР:500, len 368  
18:26:24 firewall,info forward: in:pptp out:ether1, proto UDP, 192.168.100.179:500->ИПСЕК-СЪРВЪР:500, len 368  
18:26:30 firewall,info forward: in:pptp out:ether1, proto UDP, 192.168.100.179:500->ИПСЕК-СЪРВЪР:500, NAT (192.168.100.179:500->5.172.196.41:500)->94.143.176.176:500, len 368  
18:26:36 firewall,info forward: in:pptp out:ether1, proto UDP, 192.168.100.179:500->ИПСЕК-СЪРВЪР:500, NAT (192.168.100.179:500->5.172.196.41:500)->94.143.176.176:500, len 368  
18:26:45 firewall,info forward: in:pptp out:ether1, proto UDP, 192.168.100.179:500->ИПСЕК-СЪРВЪР:500, NAT (192.168.100.179:500->5.172.196.41:500)->94.143.176.176:500, len 368 ...

това се повтаря постоянно
когато работи директно хваща на :4500

[Гост]

лога съдържа "NAT" клаузи което прилича че NAT-а на рутера генерирал лога си позволява своеволия с пакетите заради "NAT Traversal" функционалността за isakmp.

[111111]

3 операционни системи явно си го позволяват

микротик 5,26 6,7

центос 6,4 х64

убунту сървър 12,04 х64

[kokaracha]

Ако мислиш че проблема е в нат-а и имаш време,пробвай да да сложиш проблемното устройство зад openbsd/pfsense.Там с ipsec-a мисля,че няма да имаш проблеми.

Друго което се сещам е да направишв сегашната постановка е нетмап или 1:1 нат, за проба ако не си  направил до сега.

[111111]

проблема е в идентификатора на фрагментирането 

ако някой е лекувал проблема да спомене

1:1 пробвх нестава инак 

просто трябва ипсек асистънс тип сапунерка