сильный воин

995
Bogdan

Я хочу, чтобы клиент Linux подключался к шлюзу Linux, чтобы он мог получать доступ к хостам из этой сети (обычная установка воина дороги).

У меня есть этот конфиг на стороне сервера:

conn vpnserver-ikev2 auto=add compress=no type=tunnel keyexchange=ikev2 fragmentation=yes forceencaps=yes ike=aes256-sha512-modp4096 esp=aes256-sha512 dpdaction=clear dpddelay=300s inactivity=5s rekey=no left=%any leftid=vpn-test.nimblex.com leftcert=/etc/ipsec.d/certs/vpn-server-cert-new.pem leftsendcert=always leftsubnet=172.31.0.0/16 right=%any rightid=%any rightauth=eap-radius rightsourceip=10.10.0.1/16 rightdns=8.8.8.8 rightsendcert=never eap_identity=%identity

И это на стороне клиента:

conn ikev2-rw right=vpn-test.nimblex.com rightid=%vpn-test.nimblex.com rightsubnet=172.31.0.0/16 rightauth=pubkey leftsourceip=%config leftauth=eap eap_identity=123456789 auto=route

Аутентификация, кажется, происходит просто отлично, но когда я пытаюсь пинговать, она не работает.

Журналы на стороне сервера выглядят так, когда я пингую:

04[IKE] peer requested virtual IP %any 04[CFG] assigning new lease to '123456789' 04[IKE] assigning virtual IP 10.10.0.1 to peer '123456789' 04[IKE] CHILD_SA vpnserver-ikev2 established with SPIs c7b0a75b_i c5fed014_o and TS 172.31.0.0/16 === 10.10.0.1/32 04[CFG] sending RADIUS Accounting-Request to server '172.31.12.234' 04[CFG] received RADIUS Accounting-Response from server '172.31.12.234' 04[ENC] generating IKE_AUTH response 4 [ AUTH CPRP(ADDR DNS) SA TSi TSr N(MOBIKE_SUP) N(ADD_4_ADDR) ] 04[NET] sending packet: from 172.31.9.29[4500] to 82.76.67.8[4500] (304 bytes) 03[JOB] deleting CHILD_SA after 5 seconds of inactivity 03[IKE] closing CHILD_SA vpnserver-ikev2 with SPIs c7b0a75b_i (0 bytes) c5fed014_o (0 bytes) and TS 172.31.0.0/16 === 10.10.0.1/32 03[IKE] sending DELETE for ESP CHILD_SA with SPI c7b0a75b 03[ENC] generating INFORMATIONAL request 0 [ D ] 03[NET] sending packet: from 172.31.9.29[4500] to 82.76.67.8[4500] (96 bytes) 02[NET] received packet: from 82.76.67.8[4500] to 172.31.9.29[4500] (96 bytes) 02[ENC] parsed INFORMATIONAL response 0 [ D ] 02[IKE] received DELETE for ESP CHILD_SA with SPI c5fed014 02[IKE] CHILD_SA closed

... и на стороне клиента вот так:

09[IKE] installing DNS server 8.8.8.8 via resolvconf 09[IKE] installing new virtual IP 10.10.0.1 09[IKE] CHILD_SA ikev2-rw established with SPIs c5fed014_i c7b0a75b_o and TS 10.10.0.1/32 === 172.31.0.0/16 09[IKE] peer supports MOBIKE 07[NET] received packet: from 54.89.185.13[4500] to 192.168.1.4[4500] (96 bytes) 07[ENC] parsed INFORMATIONAL request 0 [ D ] 07[IKE] received DELETE for ESP CHILD_SA with SPI c7b0a75b 07[IKE] closing CHILD_SA ikev2-rw with SPIs c5fed014_i (0 bytes) c7b0a75b_o (0 bytes) and TS 10.10.0.1/32 === 172.31.0.0/16 07[IKE] sending DELETE for ESP CHILD_SA with SPI c5fed014 07[IKE] CHILD_SA closed 07[ENC] generating INFORMATIONAL response 0 [ D ] 07[NET] sending packet: from 192.168.1.4[4500] to 54.89.185.13[4500] (96 bytes)

Таблица маршрутизации 220 выглядит следующим образом: 172.31.0.0/16 via 192.168.1.1 dev wlp4s0 proto static src 192.168.1.4

iptables сбрасывается, а ip_forward равен 1.

При подключении с iPhone я могу пропинговать шлюз VPN, но не другие хосты в сети. При подключении с хоста linux я не могу пропинговать даже шлюз VPN.

tcpdump на шлюзе vpn при получении ping с iPhone выглядит следующим образом:

19:54:17.865831 IP (tos 0x0, ttl 1, id 51961, offset 0, flags [none], proto ICMP (1), length 84) ip-10-10-0-1.ec2.internal > vpn-test: ICMP echo request, id 37673, seq 0, length 64

... когда я пинг с iPhone другой сервер в сети:

19:55:04.220726 IP (tos 0x0, ttl 1, id 54334, offset 0, flags [none], proto ICMP (1), length 84) ip-10-10-0-1.ec2.internal > ip-172-31-15-66.ec2.internal: ICMP echo request, id 7727, seq 0, length 64

... и когда я пинг с хоста Linux, ICMP-трафик не получен на VPN-сервере.

На моем Linux-клиенте tcpdump выглядит так:

23:01:21.492340 IP (tos 0x0, ttl 64, id 62233, offset 0, flags [DF], proto ICMP (1), length 84) 10.10.0.2 > 172.31.15.66: ICMP echo request, id 21102, seq 1, length 64

Что мне не хватает?

0
Маршрут выглядит неверно (неверный IP-адрес источника, должен быть виртуальный IP-адрес), вывод tcpdump на клиенте выглядит неправильно (почему 10.10.0.2, когда 10.10.0.1 назначен как виртуальный IP-адрес). Также из-за таймаута бездействия CHILD_SA уничтожается практически сразу. ecdsa 6 лет назад 0
Это был 10.10.0.2, потому что я подключил телефон, и IP-адреса изменились, так как я копировал / вставлял tcpdump через несколько минут. Я не думаю, что имеет значение, что CHILD_SA уничтожен, потому что он воссоздается, когда есть активность. Здесь 2 основных вопроса: 1. Почему маршрут неверен в Linux? 2. Почему на iOS это только идет к маршрутизатору, и это не может достигнуть любого сервера из сети? Bogdan 6 лет назад 0
Попробуйте увеличить уровень журнала для _knl_ до 2. Также прочитайте [Пересылка и сплит-туннелирование] (https://wiki.strongswan.org/projects/strongswan/wiki/ForwardingAndSplitTunneling). ecdsa 6 лет назад 0
Как вы можете видеть в конфигурациях, я уже пытаюсь использовать раздельное туннелирование, устанавливая права подсети на шлюзе и ту же самую leftsubnet на клиенте Linux. Результат с knl, установленным в 2, таков: https://hastebin.com/abifimogec.log Bogdan 6 лет назад 0
Раньше не замечал этого, но в настоящее время вы не можете объединить `auto = route` с` leftsourceip =% config` ([# 2162] (https://wiki.strongswan.org/issues/2162)). И вы должны прочитать всю страницу, а не только заголовок. ecdsa 6 лет назад 1

1 ответ на вопрос

0
Bogdan

Как предположил ecdsa, было бы неправильно использовать auto=routeif leftsourceip=%config.

Это должно было быть auto=start.

Похожие вопросы