Пинг в подсеть на хосте IPsec работает только с параметром -I - PullRequest
Новая
       28

Пинг в подсеть на хосте IPsec работает только с параметром -I

0 голосов
/ 30 мая 2011

У меня следующая ситуация.Два хоста соединяют две подсети через Интернет, используя Strongswan IpSec

  • Хост 1, маршрутизатор для подсети 10.13.0.0/24
  • Хост 2 арендован выделенным сервером Ubuntu без подсети (ifconfig говоритsubmask is Mask: 255.255.255.255)
  • Хост 2 также размещает другую подсеть, используя OpenVpn.Эта подсеть имеет вид 192.168.23.0/24
  • Хост 2 имеет 192.168.23.1 в качестве Ip в этой подсети.

Когда выполняется ping -I 192.168.23.1 10.23.23.23 Я могу связаться сдругой сервер.когда я пинг 10.23.23.23 это не работает.На всех других клиентах в сети 192.168.0./24 пинг работает.

Какую запись маршрутизации мне нужно добавить, чтобы она работала?Потому что теперь сам хост не может связаться с клиентами на другой стороне.

Дополнительная информация: хост2 имеет два интерфейса: eth0 и tun0 (для openvpn)

ipconfig на хосте2 выглядит следующим образом: 

charonstart=yes
plutostart=yes
left=host2externalIp
leftsubnet=192.168.23.0/24
leftnexthop=host2router
right=remoteIp
rightsubnet=10.13.0.0/24

Нашел ответ здесь: http://www.freeswan.org/freeswan_trees/freeswan-1.99/doc/adv_config.html#multitunnel

Возможно, с какой-то дополнительной настройкой.К сожалению, я не контролирую конфигурацию на другой стороне, поэтому она не работает для меня.

Ответы [ 2 ]

1 голос
/ 27 января 2013

он не пингует, потому что при пинге с хоста2 ping использует ваш общедоступный IP-адрес (из eth0) в качестве источника.

правила ядра для IPSec говорят, что только трафик с 192.168.23.0/24 => 10.13.0.0/24 проходит через этот туннель.

вам нужно добавить NAT, чтобы он заработал, что-то вроде: 

iptables -t nat -A POSTROUTING ! -s 192.168.23.0/24 -d 10.13.0.0/24 -j SNAT --to-source 192.168.23.1
0 голосов
/ 23 сентября 2016

Мигк прибил проблему, но пошёл не в том направлении, чтобы найти решение (или, может быть, 3 года назад было слишком трудно найти правильное направление).

Проблема: вы уже настроили свой брандмауэр так, чтобы разрешать исходящие пакеты на шлюз по умолчанию, НО вы не включили конечную точку, которая является этим конечным интерфейсом, в ваш список сетей.

Решение: Добавьте IP-адрес восходящей линии связи (адрес, который маршрутизатор использует для связи со шлюзом по умолчанию) в список левых / правых сетей через маскированную сеть / 32 или / 128.

...