При подключении филиалов с динамическими белыми IP-адресами (DHCP, PPPoE) фиксируются проблемы:

• После переподключения провайдера на Spoke/клиенте туннель не поднимается до перезагрузки оборудования.
• На центральном шлюзе (Hub) остаются «зомби-сессии» (Stale SA) со старым IP-адресом удаленного узла.
• Односторонний пропуск трафика после смены IP (Headend отправляет шифрованные пакеты на старый адрес).
• Ошибки IKEv2 DPD timeout и сбои согласования Identity (ID_FQDN vs ID_IPV4_ADDR).

1. Использование протокола MOBIKE (IKEv2 Mobility and Multihoming - RFC 4555)

MOBIKE позволяет клиенту изменить свой внешний IP-адрес без полного разрыва и повторного согласования IKE SA и Child SA. Поддерживается нативными клиентами Windows 10/11, macOS, iOS и StrongSwan:

# Включение MOBIKE в Cisco IOS-XE:
crypto ikev2 profile IKEV2_DYNAMIC_PROFILE
 match identity remote fqdn branch1.dynamic-ip.net
 dpd 10 2 periodic
 mobike

# В StrongSwan (/etc/swanctl/swanctl.conf):
connections {
   s2s {
      mobike = yes
      dpd_delay = 10s
      dpd_timeout = 30s
   }
}

2. Настройка Dead Peer Detection (DPD) на центральном шлюзе

DPD оперативно обнаруживает потерю связи и удаляет зависшие SA сессии из памяти:

# Настройка агрессивного DPD для быстрого сброса старых сессий:
crypto ikev2 profile IKEV2_DYNAMIC_PROFILE
 dpd 10 3 on-demand

# В MikroTik RouterOS v7:
/ip ipsec profile set [find name=default] dpd-interval=10s dpd-maximum-failures=3

3. Конфигурация Dynamic Crypto Map (Cisco IOS) для клиентов без фиксированного IP

# Создание динамической карты для приема любых адресов (0.0.0.0):
crypto dynamic-map DYN_MAP 10
 set ikev2-profile IKEV2_DYNAMIC_PROFILE
 set transform-set TSET_AES_GCM
 reverse-route

# Привязка динамической карты к статической:
crypto map STATIC_MAP 10 ipsec-isakmp dynamic DYN_MAP

interface GigabitEthernet0/0
 crypto map STATIC_MAP

4. Команды для ручной очистки зависших сессий

# Очистить конкретную сессию по IP:
clear crypto ikev2 sa 198.51.100.5
clear crypto ipsec sa peer 198.51.100.5

# Проверить актуальный сокет подключения:
show crypto session detail