Добрый день,
на циске2 (основной пров USI) настроено резервирование с автоматическим поднятием канала KLON и поднятием шифрованного vpn туннеля Tunnel4 с циска1.

выяснилось такая особенность,
с такой конфигурацией туннель Tunnel3 (основной канал) с периодичностью 1 раз в 15-20 минут отваливается, т.е. внешний адрес yy.yyy.yyy.y продолжает пинговаться, а внутренний адрес 10.79.30.193 перестает быть доступным
Лечится тем, что заходим на циску по внешнему адресу yy.yyy.yyy.y шатдауним основной канал, при этом циска переключается на резервный и поднимается впн (Tunnel4). На резервном канале спустя теже 15-20 минут пинги на внутренний интерфейс пропадают.

без резервирования все работало норм

Подскажите в чем может быть проблема?

конфиги цисок

циска1
cisco2811-svoboda

track 11 ip sla 1 reachability

interface Tunnel3 (туннель с основным провайдером на cisco2811-vish)
description --- Link to Vishnevka ---
ip address 10.79.222.13 255.255.255.252
ip flow ingress
no ip route-cache cef
tunnel source xx.xxx.xxx.xxx
tunnel destination yy.yyy.yyy.y
tunnel path-mtu-discovery
tunnel protection ipsec profile TUNNEL_PROT
!
interface Tunnel4 (туннель с резервным провайдером на cisco2811-vish)
description --- Link to Vishnevka Klon---
ip address 10.79.222.17 255.255.255.252
ip flow ingress
no ip route-cache cef
tunnel source xx.xxx.xxx.xxx
tunnel destination zzz.zzz.zzz.zzz
tunnel path-mtu-discovery
tunnel protection ipsec profile TUNNEL_PROT

ip route 10.79.30.192 255.255.255.192 Tunnel3 track 11
ip route 10.79.30.192 255.255.255.192 Tunnel4 50

ip sla 1
icmp-echo yy.yyy.yyy.y source-interface Dialer1

циска2
cisco2811-vish

track 11 ip sla 1 reachability
!
interface Tunnel10 (туннель на основном провайдере)
description --- Link to Svoboda ---
bandwidth 512
ip address 10.79.222.14 255.255.255.252
ip flow ingress
no ip route-cache cef
tunnel source yy.yyy.yyy.y
tunnel destination xx.xxx.xxx.xxx
tunnel path-mtu-discovery
tunnel protection ipsec profile TUNNEL_PROT
!
interface Tunnel20 (туннель на резервном провайдере)
description ==--Link-to-Svoboda--==
bandwidth 512
ip address 10.79.222.18 255.255.255.252
ip flow ingress
no ip route-cache cef
tunnel source zzz.zzz.zzz.zzz
tunnel destination xx.xxx.xxx.xxx
tunnel path-mtu-discovery
tunnel protection ipsec profile TUNNEL_PROT
!
interface FastEthernet0/0 (основной пров - adsl)
no ip address
ip flow ingress
ip flow egress
ip nat outside
ip virtual-reassembly
load-interval 30
duplex auto
speed auto
pppoe enable group global
snmp ifindex persist
pppoe-client dial-pool-number 1
!
interface FastEthernet0/1 (локальный интерфейс)
ip address 10.79.30.193 255.255.255.192
ip nat inside
ip virtual-reassembly
ip tcp adjust-mss 1300
duplex auto
speed auto
!
interface FastEthernet0/2/0 (резервный пров)
ip address zzz.zzz.zzz.zzz 255.255.255.252
ip access-group Inet2 in
ip nat outside
ip virtual-reassembly
duplex auto
speed auto
!
interface Dialer0
no ip address
!
interface Dialer1
ip address negotiated
ip access-group Inet in
ip mtu 1492
ip flow ingress
ip flow egress
ip nat outside
ip virtual-reassembly
encapsulation ppp
no ip mroute-cache
dialer pool 1
dialer idle-timeout 0
dialer persistent
dialer-group 1
no cdp enable
ppp authentication chap pap callin
ppp chap hostname qqqqqqqqqqqqq
ppp chap password 7 qqqqqqqqqqqqqqqqqqq
ppp pap sent-username qqqqqqqqqqqqq password 7 qqqqqqqqqqqqqqqqqqqqq
!
ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 Dialer1 track 11
ip route 10.0.0.0 255.0.0.0 Tunnel10 track 11
ip route 0.0.0.0 0.0.0.0 195.161.202.129 50
ip route 10.0.0.0 255.0.0.0 Tunnel20 50
ip route 85.116.126.170 255.255.255.255 Dialer1 (маршрут на ya.ru идет через основного прова)

ip nat pool www zzz.zzz.zzz.zzz zzz.zzz.zzz.zzz prefix-length 24
ip nat pool www-usi yy.yyy.yyy.y yy.yyy.yyy.y prefix-length 24
ip nat inside source route-map KLON pool www overload
ip nat inside source route-map USI pool www-usi overload

ip sla 1
icmp-echo 85.116.126.170 (будем пинговать ya.ru)
ip sla schedule 1 life forever start-time now