Здрасти, никога не съм конфигурирал IPSec на линукс машини , но ето моето мнение. Според мен грешката е вярна :)До колкото разбирам , искаш да изградиш ESP тунел между 2 машини посредством ISAKMP/IKE (или както там се казва). Няколко основни фази , който протичат в изграждането на една ipsec свързаност:
1. *организиране на интересен трафик* 2. IKE Фаза 1 (dh key exchange) 3. IKE Фаза 2 (остановяване на така наречените SA за вход/изход) 4. Изграждане на криптиран канал за преносили накратко казано , за да работи криптото , трябва да си определил интересния трафик който да бъде криптиран. Което ще рече че при теб ситуацията е работеща , след като имаш пинг от 192.168.1.1 (който ти влиза в интересния трафик) до дестинация 10.0.0.89. Всичко останало което НЕ си описал като интересен трафик за криптото , няма да ти се криптира , съответно и няма да премине през ЕСП тунела (освен ако не си оказал изрично че искаш трафика който не е интересен да минава през тунела БЕЗ да се криптира) Както се вижда по-долу , IKE-то успешно е изградило SA's и би трябвало всичко да е наред.
Това е според мен разбира се , има вероятност да не съм разбрал правилно въпроса ти и/или да пропускам нещо!
Поздрави, Данаил Петров Alexander Iliev wrote:
Добър вечер. Първо искам да се извиня за дългото писмо. Сега за проблема - опитвам се да пусна ESP тунел между Fedora Core 4 и OpenBSD 3.9. Ситуацията е следната - Linux-а е зад SNAT, OpenBSD-то е с публичен адрес. Адреса на Linux-а от NAT-натата мрежа е 10.0.0.89. От другата страна също има вътрешна мрежа - 192.168.1/24. Имам малко притеснение, понеже се опитвам да пусна тунела м/у именно тези две мрежи - 10.0/16 и 192.168.1/24. Притеснението ми е, че от страната на Fedora-та адреса е част от мрежата, която се опитвам да прекарам през самия тунел. Не знам дали изобщо се прави така, ако може някой да ме осветли? :) Проблемът с тунела е, че от машините от 192.168.1/24 няма достъп до 10.0/16 мрежата, с изключение на IPsec gateway-а (OpenBSD-то). Т.е. при 'ping 10.0.0.89' от произволна машина от 192.168.1/16 няма отговор, при 'ping -I 192.168.1.1 10.0.0.89' от машината с OpenBSD няма проблем (192.168.1.1 е адреса на OpenBSD машината от вътрешната мрежа). От другата страна няма проблем, т.е. ако от 10.0.0.89 пусна пинг до коя да е машина от 192.168.1/16 си връща отговори. Конфигурацията е с pre-shared keys, ето подробностите: ---- racoon.conf ---- path include "/etc/racoon"; path pre_shared_key "/etc/racoon/psk.txt"; sainfo anonymous { pfs_group 2; lifetime time 1 hour ; encryption_algorithm 3des, blowfish 448, rijndael ; authentication_algorithm hmac_sha1, hmac_md5 ; compression_algorithm deflate ; } remote anonymous { exchange_mode main; my_identifier address; nat_traversal on; proposal { encryption_algorithm 3des; hash_algorithm sha1; authentication_method pre_shared_key; dh_group 2; } } ---- /racoon.conf ---- ---- setkey.conf ---- #! /sbin/setkey -f flush; spdflush; spdadd 192.168.1.0/24 10.0.0.0/16 any -P in ipsec esp/tunnel/W.Z.Y.Z-10.0.0.89/require; spdadd 10.0.0.0/16 192.168.1.0/24 any -P out ipsec esp/tunnel/10.0.0.89-W.X.Y.Z/require; ---- /setkey.conf ---- ---- isakmpd.conf ---- [General] Listen-On= W.X.Y.Z [Phase 1] P.Q.R.S= peer-machine [Phase 2] Passive-connections= VPN [peer-machine] Phase= 1 Transport= udp Address= P.Q.R.S Configuration= Default-main-mode Authentication= <secret> [VPN] Phase= 2 ISAKMP-peer= peer-machine Configuration= Default-quick-mode Local-ID= local-internal-network Remote-ID= remote-internal-network [local-internal-network] ID-type= IPV4_ADDR_SUBNET Network= 192.168.1.0 Netmask= 255.255.255.0 [remote-internal-network] ID-type= IPV4_ADDR_SUBNET Network= 10.0.0.0 Netmask= 255.255.0.0 [Default-main-mode] DOI= IPSEC EXCHANGE_TYPE= ID_PROT Transforms= 3DES-SHA,BLF-SHA [Default-quick-mode] DOI= IPSEC EXCHANGE_TYPE= QUICK_MODE Suites= QM-ESP-3DES-SHA-SUITE ---- /isakmpd.conf ---- ---- isakmpd.policy ---- Keynote-version: 2 Authorizer: "POLICY" Conditions: app_domain == "IPsec policy" && esp_present == "yes" && esp_enc_alg != "null" -> "true"; ---- /isakmpd.policy ---- W.X.Y.Z е публичният адрес на OpenBSD машината, P.Q.R.S е адресът, с който излиза 10.0.0.89 към интернет. В допълнение само да кажа, че имам 'no nat' правило за пакетите от 192.168.1/16, пускам всичко на enc0 и пускам udp/500 и udp/4500 на външния интерфейс на OpenBSD машината. Много благодаря на всички, които благоволят да прочетат наистина дългото обяснение. :) Поздрави,
-- Danail Petrov Network Administrator Evolink, Sofia +359(2)9691650 www.evolink.com icq uin 989677
smime.p7s
Description: S/MIME Cryptographic Signature