Проблемы с маршрутизацией, звезда с VPN

[Bit]

Доброго времени суток.
Проблема такая: с центральным микротиком все филлиалы работают нормально, но вот транзитом - один филлиал с другим через центр - нет ни пинга, ни traceroute.
Действующие лица:

Центр: RB1200 (1), филлиалы 1,2,3 на RB450G (2,3,4 соответственно).

Интернет:
1,2 - оптика, один провайдер
3-PPPoE
4 - оптика, другой провайдер.

VPN
1-2: провайдерский VLAN, кабель из сплиттера в отдельный порт микротика.
1-3: PPTP, 1-сервер, 3-клиент.
1-4: PPTP, 1-сервер, 4-клиент.

Сети:
1-192.168.4.0/22
2-192.168.0.0/22
3-192.168.8.0/22
4-192.168.12.0/22

Интерфейсы и маршруты, (1)

1 ip, routes.jpg

(116.4 КБ) 351 скачивание

(2)

2 ip.jpg (73.46 КБ) 3620 просмотров

2-route.jpg (53.69 КБ) 3620 просмотров

(4)

4 IP,routes.png

(52.32 КБ) 351 скачивание

(3) пока не рассматриваем.

В итоге имеем:

Из филлиала (4) легко контачим с центром (1)

4-1.jpg

(133.11 КБ) 351 скачивание

[Bit]

Но периферия друг с другом не дружит (4-2):

4-2.jpg

(116.58 КБ) 349 скачиваний

и аналогично в обратном направлении (2-4):

2-4.jpg

(136.76 КБ) 349 скачиваний

Ну и с (3) аналогичная ситуация, с центром дружим, с остальными нет. На данный момент нет возможности выложить скрины.

Подскажите, где же грабли, сами уже замучались. Логика подсказывает, что что-то с маршрутами, но фантазия на исходе.

[simpl3x]

нарисовал картинку по вашим сумбурным скриншотам. вроде как проблем с маршрутизацией у вас нет. как минимум на участке 4-1-2 в обе стороны. так что попробуйте в фаервол добавить такое правило:

Код: Выделить всё

ip firewall filter add chain=forward protocol=icmp action=accept

и поставьте его первым в списке. тем самым уберем возможность ограничения фаерволом.

[Bit]

Добавил. Первым стоит правило drop пакетов с state = invalid, пробовал его отключать - картина не меняется.
На скрине пинг из 4 в 2

4.jpg

(224.42 КБ) 333 скачивания

[iSupport]

у вас проблема с маршрутизацией

роуты до 0.0.0.0/0 должны иметь мансимальный Distance (= 10 и более)

Роуты по локалке ( тоннели) должны иметь distance меньше чем у 0.0.0.0/0

упорядочите маргруты по параметру Distance

сразу будет видно что куда полетело

[Bit]

Добавил distance к нулевым маршрутам, ситуация не изменилась.
В приложении export фаервола сетей 1 и 2 на всякий случай.

[Abus56]

попробуй на клиентах маскарадинг включить
ip firewall nat add action=masquerade chain=srcnat out-interface=pptp-client

[leshik]

Nat для локальных сетей это не выход, есть ли другое решение?

[simpl3x]

Nat для локальных сетей это не выход, есть ли другое решение?

это откуда такие выводы?

[Abus56]

тогда переводи на EOIP.