Доброго времени суток!
Задача стоит - поднятие шифрованног тунеля между двумя подсетями, с одной стороны шлюз под линуксом с ос Дебиан 6, на другой хардварный девайс Фортигейт.
Я могу настроить только линукс, а настройкой хардварного девайса занимаются другие.
Структура сети со стороны линукса:
Две локальные сети: 192.168.0.0/24, 10.2.2.0/24
Внешний айпи адресс: XX.XX.XX.XX
И со стороны хардварного девайсе:
Локальная сеть: 10.1.1.0/24
Внешний айпи адресс: YY.YY.YY.YY
Проблема :
Первая фаза поднимается, но вторая с частично и только для подсети 192.168.0.0/24. То есть с 192.168.0.0/24 пакеты заворачиваются в туннель на 10.1.1.0/24 и шифруются а с 10.2.2.0/24 нет.
Конфигурационные файлы:
ipsec-tools.conf:
flush;
spdflush;
#################################################################################
spdadd 192.168.0.0/24 10.1.1.0/24 any -P out ipsec esp/tunnel/XX.XX.XX.XX-YY.YY.YY.YY/require;
spdadd 10.1.1.0/24 192.168.0.0/24 any -P in ipsec esp/tunnel/YY.YY.YY.YY-XX.XX.XX.XX/require;
spdadd 10.2.2.0/24 10.1.1.0/24 any -P out ipsec esp/tunnel/XX.XX.XX.XX-YY.YY.YY.YY/require;
spdadd 10.1.1.0/24 10.2.2.0/24 any -P in ipsec esp/tunnel/YY.YY.YY.YY-XX.XX.XX.XX/require;
racoon.conf:
path pre_shared_key "/etc/racoon/psk.txt";
log debug2;
padding
{
maximum_length 20; # maximum padding length.
randomize off; # enable randomize length.
strict_check off; # enable strict check.
exclusive_tail off; # extract last one octet.
}
# Specify various default timers.
# if no listen directive is specified, racoon will listen on all
# available interface addresses.
listen
{
isakmp XX.XX.XX.XX [500]; # IP [port] for ISAKMP protocol
# isakmp_natt 172.16.0.1 [4500]; # IP [port] for NAT-T protocol
strict_address; # requires that all addresses must be bound.
}
remote YY.YY.YY.YY
{
my_identifier address XX.XX.XX.XX;
exchange_mode main;
initial_contact off;
doi ipsec_doi;
proposal {
encryption_algorithm des;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group 2;
lifetime time 28800 sec;
}
nat_traversal off;
generate_policy off;
}
#sainfo anonymous {
sainfo address 192.168.0.0/24 any address 10.1.1.0/24 any {
pfs_group 2;
#dh_group 2;
encryption_algorithm des;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
lifetime time 3600 sec;
}
sainfo address 10.2.2.0/24 any address 10.1.1.0/24 any {
pfs_group 2;
#dh_group 2;
encryption_algorithm des;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
lifetime time 3600 sec;
}
