У меня есть сайт с успешным и работающим IPSEC-туннелем к Azure, а второй IPSEC к Sonicwall на другом сайте, похоже, не получает мои пинги и, уж точно, не отправляет ответы. Я пытаюсь убедить удаленного клиента запустить tcpdump на интерфейсе, чтобы проверить, видят ли они вообще мои пинги.

Туннель, похоже, устанавливается (x.x.x.x — удаленный, y.y.y.y — локальный):

Запуск strongSwan 5.2.2 IPsec [starter]...
02[NET] получен пакет: от X.X.X.X[500] к Y.Y.Y.Y[500] (388 байт)
02[ENC] распознан запрос IKE_SA_INIT 0 [ SA KE No V ]
02[ENC] получен неизвестный Vendor ID: 2a:67:75:d0:ad:2a:a7:88:7c:33:fe:1d:68:ba:f3:08:96:6f:00:01
02[IKE] X.X.X.X инициирует IKE_SA
02[ENC] формируется ответ IKE_SA_INIT 0 [ SA KE No N(MULT_AUTH) ]
02[NET] отправка пакета: от Y.Y.Y.Y[500] к X.X.X.X[500] (384 байта)
15[NET] получен пакет: от X.X.X.X[500] к Y.Y.Y.Y[500] (380 байт)
15[ENC] распознан запрос IKE_AUTH 1 [ IDi CERTREQ AUTH SA TSi TSr N(INIT_CONTACT) ]
15[IKE] получено 8 запросов сертификатов от неизвестного CA
15[CFG] поиск конфигураций пира, подходящих под Y.Y.Y.Y[%any]...X.X.X.X[X.X.X.X]
15[CFG] выбрана конфигурация пира 'peer-X.X.X.X-tunnel-vti'
15[IKE] аутентификация 'X.X.X.X' по pre-shared ключу успешна
15[IKE] аутентификация 'Y.Y.Y.Y' (себя) по pre-shared ключу
15[IKE] IKE_SA peer-X.X.X.X-tunnel-vti[3] установлен между Y.Y.Y.Y[Y.Y.Y.Y]...X.X.X.X[X.X.X.X]
15[IKE] запланировано повторное ключевание через 27877 секунд
15[IKE] максимальное время жизни IKE_SA — 28417 секунд
15[IKE] CHILD_SA peer-X.X.X.X-tunnel-vti{2} установлен с SPIs cd9a1a7b_i 4dc81b3b_o и TS 10.10.0.0/16 === 172.16.0.0/16
15[ENC] формируется ответ IKE_AUTH 1 [ IDr AUTH SA TSi TSr ]
15[NET] отправка пакета: от Y.Y.Y.Y[500] к X.X.X.X[500] (204 байта)
13[NET] получен пакет: от X.X.X.X[500] к Y.Y.Y.Y[500] (76 байт)
13[ENC] распознан запрос INFORMATIONAL 2 [ ]
13[ENC] формируется ответ INFORMATIONAL 2 [ ]
13[NET] отправка пакета: от Y.Y.Y.Y[500] к X.X.X.X[500] (76 байт)
13[ENC] распознан запрос INFORMATIONAL 2 [ ]
13[ENC] формируется ответ INFORMATIONAL 2 [ ]

Оба туннеля УСТАНОВЛЕНЫ (A.A.B.B — мой рабочий Azure-туннель)

unifiadmin@UNIFIGW:~$ sudo swanctl --list-sas
peer-X.X.X.X-tunnel-vti: #3, УСТАНОВЛЕН, IKEv2, 8c2513b0092dca40:a6b2b0fe96dc1669
 local  'Y.Y.Y.Y' @ Y.Y.Y.Y
 remote 'X.X.X.X' @ X.X.X.X
 AES_CBC-128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_2048
 установлен 1320 секунд назад, повторное ключевание через 26557 секунд
 peer-X.X.X.X-tunnel-vti: #2, УСТАНОВЛЕН, ТУННЕЛЬ, ESP:AES_CBC-128/HMAC_SHA1_96
   установлен 1320 секунд назад, повторное ключевание через 1298 секунд, истекает через 2280 секунд
   входящий cd9a1a7b, 0 байт, 0 пакетов
   исходящий 4dc81b3b, 18144 байт, 216 пакетов
   локальный 10.10.0.0/16
   удаленный 172.16.0.0/16
peer-A.A.B.B-tunnel-vti: #1, УСТАНОВЛЕН, IKEv2, 0006ae4eb0a73af3:e0b0007b7230c536
 local  'Y.Y.Y.Y' @ Y.Y.Y.Y
 remote 'A.A.B.B' @ A.A.B.B
 AES_CBC-256/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
 установлен 1325 секунд назад, повторное ключевание через 26523 секунд
 peer-A.A.B.B-tunnel-vti: #1, УСТАНОВЛЕН, ТУННЕЛЬ, ESP:AES_CBC-256/HMAC_SHA1_96
   установлен 1325 секунд назад, повторное ключевание через 1391 секунду, истекает через 2275 секунд
   входящий c62a9bae, 2092166373 байт, 1589269 пакетов, 0 секунд назад
   исходящий ba5ed82c, 40405377 байт, 533561 пакетов, 0 секунд назад
   локальный 0.0.0.0/0
   удаленный 0.0.0.0/0

Как видите, я могу отправлять пинги, но НИЧЕГО не возвращается.

Вот как это настроено в контроллере:

Согласно ЭТОЙ информации: Policy Based имеют локальные и удалённые сети, а Dynamic Route Based настроен на 0.0.0.0/0, поэтому я думаю, что, возможно, не работает именно потому, что система думает, что используется Policy Based, но у меня нет правил брандмауэра для направления трафика. Мне нужны оба туннеля с открытым доступом ко всем сетям, обслуживаемым моим USG.

Понимаю, что где-то ошибаюсь, но не знаю где...