Доброго времени суток!

Есть cisco 1841, в нее заведены 2 канала от разных провайдеров. Так же на ней подняты 2 локальных интерфейса. Нужно организовать такую схему: все, что приходит на первый локальный интерфейс - выводится наружу через ISP1, через второй локальный интерфейс - через ISP2. Плюсом к этому: если один из провайдеров упал, то весь траф должен идти через другого.

С переключением на другого провайдера, в случае падения одного - беда, трафик с одного локального интерфейса уходит нормально, а с другого (который должен переключится на резервный канал) - зацикливается внутри циски.

Подскажите, в чем ошибка и как исправить?

конфиг:

Current configuration : 5559 bytes
!
version 12.4
!
crypto isakmp policy 5
 encr 3des
 hash md5
 authentication pre-share
 group 2
crypto isakmp key somekey address 212.45.2.67
crypto isakmp key somekey address 212.45.2.68
!
!
crypto ipsec transform-set vpn1 esp-3des esp-md5-hmac 
 mode transport
!
crypto ipsec profile myprofile
 set transform-set vpn1 
 set pfs group1
!
!         
!
!
ip scp server enable
!
track 10 ip sla 1 reachability
!
track 20 ip sla 2 reachability
!
track 30 ip sla 3 reachability
!
track 40 ip sla 4 reachability
!
!
!
interface Tunnel1
 ip address 192.168.3.1 255.255.255.252
 ip mtu 1476
 tunnel source 212.119.170.3
 tunnel destination 212.45.2.67
 tunnel protection ipsec profile myprofile
!
interface Tunnel2
 ip address 192.168.4.1 255.255.255.252
 ip mtu 1476
 tunnel source 217.170.93.158
 tunnel destination 212.45.2.68
 tunnel protection ipsec profile myprofile
!
interface FastEthernet0/0
 description <<< Lan->Eltel >>>
 ip address 192.168.1.5 255.255.255.248
 ip nat inside
 ip virtual-reassembly
 ip policy route-map eltel
 duplex auto
 speed auto
!
interface FastEthernet0/1
 description <<< Lan->Mcom >>>
 ip address 192.168.1.9 255.255.255.248
 ip accounting output-packets
 ip nat inside
 ip virtual-reassembly
 ip policy route-map mcom
 duplex auto
 speed auto
!
interface FastEthernet0/0/0
 switchport access vlan 2
!
interface FastEthernet0/0/1
 switchport access vlan 3
!
interface FastEthernet0/0/2
!
interface FastEthernet0/0/3
!
interface Vlan1
 no ip address
!
interface Vlan2
 description <<< Line to Eltel >>>
 ip address 217.170.93.158 255.255.255.248
 ip nat outside
 ip virtual-reassembly
!
interface Vlan3
 description <<< Line to Metrocom >>>
 ip address 212.119.170.3 255.255.255.240
 ip nat outside
 ip virtual-reassembly
!
ip local policy route-map lout
ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 212.119.170.1
ip route 10.0.0.0 255.0.0.0 192.168.1.6
ip route 10.0.1.0 255.255.255.0 192.168.1.10
ip route 10.0.8.0 255.255.255.0 192.168.1.10
ip route 10.0.10.0 255.255.255.0 192.168.1.10
ip route 212.45.2.67 255.255.255.255 212.119.170.1
ip route 212.45.2.68 255.255.255.255 217.170.93.153
no ip http server
no ip http secure-server
!
!
ip nat translation timeout 3600
ip nat translation tcp-timeout 3600
ip nat inside source route-map nat-eltel interface vlan2 overload
ip nat inside source route-map nat-mcom interface vlan3 overload
!
ip sla 1
 icmp-echo 192.168.3.2 source-interface Tunnel1
 timeout 1000
 threshold 40
 frequency 3
ip sla schedule 1 life forever start-time now
ip sla 2
 icmp-echo 192.168.4.2 source-interface Tunnel2
 timeout 1000
 threshold 40
 frequency 3
ip sla schedule 2 life forever start-time now
ip sla 3
 icmp-echo 212.119.170.1 source-interface Vlan3
 timeout 1000
 threshold 40
 frequency 3
ip sla schedule 3 life forever start-time now
ip sla 4
 icmp-echo 217.170.93.153 source-interface Vlan2
 timeout 1000
 threshold 40
 frequency 3
ip sla schedule 4 life forever start-time now
access-list 23 permit 10.0.0.0 0.255.255.255
access-list 24 permit 192.168.1.0 0.0.0.7
access-list 25 permit 192.168.1.8 0.0.0.7
access-list 25 permit 10.0.1.0 0.0.0.255
access-list 25 permit 10.0.10.0 0.0.0.255
access-list 25 permit 10.0.8.0 0.0.0.255
access-list 50 permit 10.0.0.0 0.0.0.255
access-list 1301 permit 10.0.0.0 0.255.255.255
access-list 1301 permit 192.168.1.0 0.0.0.255
access-list 101 permit ip any 192.168.2.0 0.0.0.255
!         
!
route-map lout permit 20
 match ip address 101
 set ip next-hop verify-availability 192.168.3.2 10 track 10
 set ip next-hop verify-availability 192.168.4.2 20 track 20
!
route-map mcom permit 10
 match ip address 101
 set ip next-hop verify-availability 192.168.3.2 10 track 10
 set ip next-hop verify-availability 192.168.4.2 20 track 20
!
route-map mcom permit 20
 set ip next-hop verify-availability 212.119.170.1 10 track 30
 set ip next-hop verify-availability 217.170.119.153 20 track 40
!
route-map nat-eltel permit 10
 match ip address 1301
 match interface Vlan2
!
route-map nat-mcom permit 10
 match ip address 1301
 match interface Vlan3
!
route-map eltel permit 10
 match ip address 101
 set ip next-hop verify-availability 192.168.3.2 10 track 10
 set ip next-hop verify-availability 192.168.4.2 20 track 20
!
route-map eltel permit 20
 set ip next-hop verify-availability 217.170.93.153 10 track 40
 set ip next-hop verify-availability 212.119.170.1 20 track 30
!

Проверяю так:
когда оба провайдера работают, пинг с 192.168.1.6 уходит через 217.170.119.153, а пинг с 192.168.1.10 уходит через 212.119.170.1 - как и должно быть.
Опускаю shutdown-ом vlan3, имитируя падение одного из провайдеров: пинг с 192,168,1,6 нормально уходит (его провайдер не затронут), а с 192,168,1,10 пинги не проходят:

traceroute to google.com (74.125.232.16) from 192.168.1.10, 64 hops max, 40 byte packets
 1  192.168.1.9 (192.168.1.9)  0.975 ms  0.873 ms  0.844 ms
 2  192.168.1.9 (192.168.1.9)  1.031 ms !H^C

хотя должны переключится на другого прова и уходить через 217,170,119,153