Добрый день.
Помогите внести ясность в ситуацию. Настроен ipsec между двумя хостами Centos и Mikrotik. За хостами подсети. Поднимаю два тунеля.
10.0.0.0.24 <-> mikrotik <----ipsec----> Centos(openswan) <-> 192.168.90.0/24
                                                          <-> ip_host
Первый работает хост - подсеть
Второй подсеть - подсеть
Но факту реально работает только один в случайном порядке. Те при перезапуске openswan или mikrotik трафик начинает реально идти только через один.
Пинг проходит, но такое ощущение что не возвращается обратно.

Вот пример пинга до хоста и подсети с адреса 10.0.0.243

tcpdump icmp
12:02:24.970435 IP 10.0.0.243 > ip_host: ICMP echo request, id 54597, seq 1576, length 64
12:02:25.273338 IP 10.0.0.243 > 192.168.90.6: ICMP echo request, id 60229, seq 1545, length 64
12:02:25.970431 IP 10.0.0.243 > ip_host: ICMP echo request, id 54597, seq 1577, length 64
12:02:26.273310 IP 10.0.0.243 > 192.168.90.6: ICMP echo request, id 60229, seq 1546, length 64

вот пример конфига openswan

conn ipsec
   authby=secret
   auto=start
   ikelifetime=86400s
   ike=3des-sha1-modp1024
   aggrmode=no
   ## phase 1 ##
   keyexchange=ike
   ## phase 2 ##
   keylife=86400s
   phase2=esp
   phase2alg=3des-sha1
   compress=no
   pfs=yes
   type=tunnel
   left=ip_host
   #leftsourceip=ip_host
   leftsubnets={ip_host/32 192.168.90.0/24}
   leftnexthop=%defaultroute
   ## for direct routing ##
   right=ip_mikrotik
   rightsubnets={10.0.0.0/24}

Истина где то рядом, но где???

• Openswan Mikrotik,Vladimir, 13:46 , 13-Мрт-15
  • Openswan Mikrotik,shadow_alone, 01:23 , 15-Мрт-15
    • Openswan Mikrotik,suharik71, 14:17 , 19-Мрт-15

на микротик ipsec требует еще правило нат
просмотрите документацию

> на микротик ipsec требует еще правило нат
> просмотрите документацию

Не нужно никакого NAT на микротике при такой схеме.

>> на микротик ipsec требует еще правило нат
>> просмотрите документацию
> Не нужно никакого NAT на микротике при такой схеме.

Я может спрошу глупость, но вообще через голый ipsec работающий в туннельном режиме можно маршрутизировать? Вопрос появился не просто так. Пробовал реализовывать ниже приведённую схему на разном железе. И ни в одном случаи настроить маршрутизацию через ipsec не вышло. Как только в ipsec поднял GRE и начал маршрутизировать внутри GRE все заработало.
Схема:

10.0.1.0/24                                                         10.0.3.0/24
            ===>router(x.x.x.x) <----ipsec---> (y.y.y.y)router <===
10.0.2.0/24       (10.10.0.1)                        (10.10.0.2)    10.0.4.0/24  

Те получается что ipsec host to host
ip route add 10.0.3.0/24 via 10.10.0.2
ip route add 10.0.4.0/24 via 10.10.0.2
в сей туннель просто ни чего не инкапсилируется