oO
Уважаемые!
Подскажите пожалуйста, а при поднятии тунеля OpenSWAN IPSec должен ли подниматься какой-либо IPSe-шный сетевой интерфейс?
PS: Не предоставляю конкретики, потому как в начале вопрос принципиальный, т.к. ничего внятного в сети по этому поводу нет.
ОС: O SUSE 11.1
Openswan IPsec 2.6.23
--------------------------------------------------------------------------------------------------------
Включил английский, поманил и нашел, что с внедрения в ядро 2.6 они убрали отдельный интерфейс smile
Но теперь общая проблема:
один провайдер может предоставить доступ к некоторому web-ресурсу одной информационной организации,
мы не запитываемся интернетом этого провайдера, пользуемся другим,
если бы мы пользовались этим провайдером, то он бы нам просто открыл доступ на этот web-ресурс (дал бы адрес и всё),
но в нашем случае он предлагает эту услугу, но через предварительное vpn-соединение с ним используя нашего провайдера.
Настройки данные этим пров-ом для vpn:
P.P.P.P - vpn-шлюз пров-ра
W.W.W.W - подсеть возжелаемого web-ресурса
L.L.L.L - внутренняя подсеть с которой он хочет, чтоб мы выходили на web-ресурс
ну и наши данные:
I.I.I.I - наш внешний ip
V.V.V.V - наша внутренняя подсеть
ipsec.conf:
# right: remote
# left: local
version 2
config setup
interfaces="ipsec0=eth0"
klipsdebug=none
plutodebug=all
plutostderrlog=/root/ipsec.log
protostack=netkey
conn %default
authby=secret
type=tunnel
keyingtries=1
#keylife=1200s
#ikelifetime=1200s
conn web
keyexchange=ike
esp=3des-md5
pfs=no
auto=start
#
left=I.I.I.I
leftsubnet=L.L.L.L
#
right=P.P.P.P
rightsubnet=W.W.W.W
Тунель поднимается, всё established,
провайдер подтверждает, что тунель поднялся, но вот когда пытаюсь пинговать, выходить на этот web-ресурс - ничего, причём делал я это прямо со своего шлюза-vpn, пока не до доступа туда из нашей внутренней сети.
Провайдер говорит, что по дампу я к нему долблюсь в обход тонеля, т.е. с нашего внешнего ip I.I.I.I и его защита, естественно, не пропускает - она пустит только из под сети L.L.L.L
Я новичок в vpn и как-то думал, что если я буду пытаться долбиться в сеть W.W.W.W, то IPsec должен всё это провернуть как-будто я обращяюсь от L.L.L.L
ip форвардинг включен
чтоб не думалось на SuSEFirewall - пробовал отключать.
Просветите. Пожалуйста! :rolleyes:
---------------------------------------------------------------------------------------------
Короче, всё у меня попёрло - ступил. Нужно же, чтоб пакеты на шлюз шли из сети L.L.L.L,
которую впаривает нам этот провайдер. Просто внутреннему интерфейсу шлюза дал ещё один ip-шник из сети L.L.L.L,
прописал форвардинг на файерволе, как учит Ленин, и одной машинке во внутренней сети тоже дал ip-шник из этих L.L.L.L - всё попёрло. smile
Только вот теперь думаю как бы мне всё так завернуть, чтоб в своей внутренней сети эти L.L.L.L не использовать? oO
