tinc: нет подключения

[igroykt]

Всем привет.
Имеется:
pf1 - 2.3.2-RELEASE - tinc 1.0.28_4
pf2 - 2.4.3-RELEASE - tinc 1.0.30
Логи не работают. В pf2 работает status->tinc vpn, а в pf1 нет.

pf1

settings:
local ip: локальный адрес маршрутизатора
local subnet: локальная подсеть маршрутизатора
vpn netmask: 255.255.0.0
address family: ipv4
extra tinc parameters:
mode=switch
mipher=blowfish
digest=sha1
compression=0
interface up script:
ifconfig $INTERFACE локальный адрес маршрутизатора netmask 255.0.0.0

pf2

settings:
local ip: локальный адрес маршрутизатора
local subnet: локальная подсеть маршрутизатора
vpn netmask: 255.255.0.0
address family: ipv4
extra tinc parameters:
mode=switch
mipher=blowfish
digest=sha1
compression=0
interface up script:
ifconfig $INTERFACE локальный адрес маршрутизатора netmask 255.0.0.0
hosts:
address: внешний ip адрес маршрутизатора pf1
subnet: локальная подсеть маршрутизатора pf1
connect at startup: +
extra parameters:
mode=switch
mipher=blowfish
digest=sha1
compression=0

В итоге подключения нет. В status->tinc vpn ничего не высвечивается.
Иногда если играюсь с конфигами то подключение устанавливается, но пакеты не ходят ни туда ни сюда.
В firewall->rules->tinc_pkg стоит правило any to any.
В interfaces->assign->interface groups->pkg_tinc в group members ничего не выделено.
С ключами все в поряде.
В firewall->nat есть правило проброса порта tcp/udp 655 до локальных адресов маршрутизаторов.
В system->advanced->firewall & nat->nat reflection mode for port forwards стоит disabled.
При этом openvpn работает без видимых проблем (ovpn отключаю когда экспериментирую с tinc).

У кого нить получилось заставить работать это юдо?
И почему логи то не работают (например методом тыка выяснил что tinc не работает если в name есть какие то символы. например название "pf-1" не катит, а pf1 вроде нормально хавает)?