strongswan host 2 host ipsec vpn

01.04.2014 13:44 #374913

подскажите с маршрутизацией на ipsec ?

нужно чтобы сервер был доступен клиенту не как роутер - есть сервер с одним сетевым интерфейсом eth0 - 77.77.77.77, нужно установить на него vpn, чистым ipsec, это делается для того, чтобы работать с сервером можно было только по ikev2 сертификатам, остальные - в 'iptables' с '-j DROP'

клиент win7 прекрасно подключается к strongswan последней stable линейки, клиенту выдаётся virtual ip 10.10.3.1 (в свойствах подключения адрес клиента 10.10.3.1 и адрес сервера 0.0.0.0) отключить маршрутизацию на классе галку снял, получилась такая временная шляпа

text

10.255.255.255  255.255.255.255         On-link         10.10.3.1    276

сделал 'ip addr add 10.10.3.20 dev eth0' на vpn-сервере, чтобы сервер был с "local virtual ip", и набрал "ping 10.10.3.1"

на vpn-сервере - tcpdump '(icmp || udp port 500 || udp port 4500 || ip proto 50 || ip proto 51)' - есть движение UDP > ESP (debian wheezy)

на vpn-клиене - wireshark udp.port eq 500 or icmp or udp.port eq 4500 - есть движение UDP > ESP (win 7)

ping request от сервера судя по всему ходит на клиента в esp, tcpdump на сервере видит, ip xfrm monitor показывает работу SA, wireshark на клиенте esp видит приходящие, но почему ping echo от клиента куда то подевалось ?

text

# ipsec.conf - strongSwan IPsec configuration file
# basic configuration
config setup
        # strictcrlpolicy=yes
        # uniqueids = no
        charondebug="ike 2, knl 1, cfg 2"
# Add connections here.
conn win7
    #type=tunnel
    type=transport
    ike=aes256-sha1-modp1024!
    esp=aes256-sha1!
    dpdaction=clear
    dpddelay=300s
    left=77.77.77.77
    #leftsubnet=77.77.77.77/32
    #left=10.10.3.20
    #leftsourceip=10.10.3.22
    leftauth=pubkey
    leftcert=Cert-for-Server-Side.pem
    leftid=@vpn.server.ru
    lefthostaccess=yes
    leftfirewall=yes
    right=%any
    rightsourceip=10.10.3.0/24
    #rightsourceip=%dhcp
    #rightauth=eap-mschapv2
    #rightsendcert=never
    #eap_identity=%any
    keyexchange=ikev2
    auto=add

01.04.2014 14:03 #374914

text

root@~# ip xfrm state
src 77.77.77.77 dst 88.88.88.88
        proto esp spi 0xf4 reqid 1 mode tunnel
        replay-window 32 flag af-unspec
        auth-trunc hmac(sha1) 0x6c 96
        enc cbc(aes) 0x43
        encap type espinudp sport 4500 dport 4500 addr 0.0.0.0
src 8.8.8.8 dst 77.77.77.77
        proto esp spi 0xcc reqid 1 mode tunnel
        replay-window 32 flag af-unspec
        auth-trunc hmac(sha1) 0x3b 96
        enc cbc(aes) 0x29
        encap type espinudp sport 4500 dport 4500 addr 0.0.0.0
root@~# telnet 10.10.3.20 80
Trying 10.10.3.20...
Connected to 10.10.3.20.
Escape character is '^]'.
^C^X^V^C^C
Connection closed by foreign host.

77.77.77.77 srv, debian wheezy

88.88.88.88 cli, win 7

text

C:\Users\jeka.CORP>telnet 10.10.3.20 80
Подключение к 10.10.3.20...Не удалось открыть подключение к этому узлу, на порт
80: Сбой подключения
C:\Users\jeka.CORP>

text


root@smc:~# ip xfrm policy
src 10.10.3.1/32 dst 77.77.77.77/32
        dir fwd priority 1795 ptype main
        tmpl src 88.88.88.88 dst 77.77.77.77
                proto esp reqid 2 mode tunnel
src 10.10.3.1/32 dst 77.77.77.77/32
        dir in priority 1795 ptype main
        tmpl src 88.88.88.88 dst 77.77.77.77
                proto esp reqid 2 mode tunnel
src 77.77.77.77/32 dst 10.10.3.1/32
        dir out priority 1795 ptype main
        tmpl src 77.77.77.77 dst 88.88.88.88
                proto esp reqid 2 mode tunnel
src 0.0.0.0/0 dst 0.0.0.0/0
        socket in priority 0 ptype main
src 0.0.0.0/0 dst 0.0.0.0/0
        socket out priority 0 ptype main
src 0.0.0.0/0 dst 0.0.0.0/0
        socket in priority 0 ptype main
src 0.0.0.0/0 dst 0.0.0.0/0
        socket out priority 0 ptype main
src ::/0 dst ::/0
        socket in priority 0 ptype main
src ::/0 dst ::/0
        socket out priority 0 ptype main
src ::/0 dst ::/0
        socket in priority 0 ptype main
src ::/0 dst ::/0
        socket out priority 0 ptype main

text

root@~# ip route list table 220
10.10.3.1 via 77.77.77.1 dev eth0  proto static  src 77.77.77.77
root@~#

01.04.2014 15:00 #374921

1.

text

src 10.10.3.1/32 dst 77.77.77.77/32 uid 0
        dir fwd action allow

2.

text

src 10.10.3.1/32 dst 77.77.77.77/32 uid 0
        dir in action allow

3.

text

src 77.77.77.77/32 dst 10.10.3.1/32 uid 0
        dir out action allow

4. o____O ? dir IN action allow

http://pastebin.ru/ouXfUjDm

up

07.04.2014 11:03 #375667

забил на это неблагодарное дело, убежал к sstp