LINUX.ORG.RU
Форум — Admin  

ipsec+openswan centos 7 хосты сетей не пингуют друг друга

 , , , ,


0

1

Здравствуйте! Долго гуглил, но так и не решил проблему сам. Может быть здесь кто что подскажет. Итак. Жили-были два шлюза каждый из которых отапливал инетом маленькую сеть. Понадобилось эти сети соединить в одну (через инет соотвественно). Поставил openswan, поднял туннель, а хосты данных сетей не пингуют друг друга. Но не всё так плохо. Хосты одной сети пингуют шлюз другой. Это касается обоих сеток. Пинги со шлюза А до хостов сети B не идут. Пинги со шлюза на шлюз идут. Привожу настройки сервера А. Интерфейсы: enp2s3=инет, enp2s1=локалко 192.168.0.0/24. Сеть А: 192.168.0.0/24 (gw 192.168.0.1), Сеть B (другого шлюза): 172.17.1.0/24 (gw 172.17.1.254) Пинг ходит с хоста 192.168.0.20 на 172.17.1.254 (gw), а на хост, например 172.17.1.1, уже нет. То же самое и со стороны сети B. Моя задача в целом поднять классический vpn site-2-site c простой авторизацией по psk, но у меня не получается. Мозгов не хватает. Очень прошу более умных людей помочь мне. Это боевой проект, который нужно сдавать в эксплуатацию. Если нужно выложу настройки ipsec.

Содержимое iptables: 

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22347 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A INPUT  -p udp --sport 500 --dport 500 -j ACCEPT
-A INPUT  -p udp --sport 4500 --dport 4500 -j ACCEPT
-A OUTPUT -p udp --sport 500 --dport 500 -j ACCEPT
-A OUTPUT -p udp --sport 4500 --dport 4500 -j ACCEPT
-A INPUT  -p 50 -j ACCEPT
-A OUTPUT -p 50 -j ACCEPT
-A INPUT -j ACCEPT --source 172.17.1.0/24
-A FORWARD -i enp2s3 -o enp2s1 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i enp2s1 -o enp2s3 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -p all -s 192.168.0.0/24 -d 172.17.1.0/24 -j ACCEPT
-A FORWARD -p all -s 172.17.1.0/24 -d 192.168.0.0/24 -j ACCEPT
COMMIT
# Completed on Sun Aug 16 18:34:00 2015
# Generated by iptables-save v1.4.21 on Sun Aug 16 18:34:00 2015
*nat
:PREROUTING ACCEPT [1906587:150963102]
:INPUT ACCEPT [1572:105074]
:OUTPUT ACCEPT [2008:565933]
:POSTROUTING ACCEPT [630:206640]
#-A POSTROUTING -o enp2s3 -j MASQUERADE
#-A POSTROUTING -o enp2s3 -s 192.168.0.0/24 ! -d 172.17.1.0/24 -j MASQUERADE
-A POSTROUTING -o enp2s3 -s 192.168.0.0/24 -d 172.17.1.0/24 -j ACCEPT
-A POSTROUTING -o enp2s3 -s 192.168.0.0/24 -j MASQUERADE




А вот что говорит ipsec status:


000 using kernel interface: netkey
000 interface lo/lo 127.0.0.1@4500
000 interface lo/lo 127.0.0.1@500
000 interface enp2s1/enp2s1 192.168.0.1@4500
000 interface enp2s1/enp2s1 192.168.0.1@500
000 interface enp2s3/enp2s3 80.250.236.106@4500
000 interface enp2s3/enp2s3 80.250.236.106@500
000  
000  
000 fips mode=disabled;
000 SElinux=disabled
000  
000 config setup options:
000  
000 configdir=/etc, configfile=/etc/ipsec.conf, secrets=/etc/ipsec.secrets, ipsecdir=/etc/ipsec.d, dumpdir=/var/run/pluto/, statsbin=unset
000 sbindir=/usr/sbin, libexecdir=/usr/libexec/ipsec
000 pluto_version=3.12, pluto_vendorid=OE-Libreswan-3.12
000 nhelpers=-1, uniqueids=yes, force-busy=no
000 ikeport=500, strictcrlpolicy=no, crlcheckinterval=0, listen=<any>
000 secctx-attr-value=32001
000 myid = (none)
000 debug none
000  
000 nat-traversal=yes, keep-alive=20, nat-ikeport=4500
000 virtual-private (%priv):
000 - allowed subnets: 10.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12, 25.0.0.0/8, 100.64.0.0/10, fd00::/8, fe80::/10
000  
000 ESP algorithms supported:
000  
000 algorithm ESP encrypt: id=3, name=ESP_3DES, ivlen=8, keysizemin=192, keysizemax=192
000 algorithm ESP encrypt: id=6, name=ESP_CAST, ivlen=8, keysizemin=128, keysizemax=128
000 algorithm ESP encrypt: id=11, name=ESP_NULL, ivlen=0, keysizemin=0, keysizemax=0
000 algorithm ESP encrypt: id=12, name=ESP_AES, ivlen=8, keysizemin=128, keysizemax=256
000 algorithm ESP encrypt: id=13, name=ESP_AES_CTR, ivlen=8, keysizemin=128, keysizemax=256
000 algorithm ESP encrypt: id=14, name=ESP_AES_CCM_A, ivlen=8, keysizemin=128, keysizemax=256
000 algorithm ESP encrypt: id=15, name=ESP_AES_CCM_B, ivlen=8, keysizemin=128, keysizemax=256
000 algorithm ESP encrypt: id=16, name=ESP_AES_CCM_C, ivlen=8, keysizemin=128, keysizemax=256
000 algorithm ESP encrypt: id=18, name=ESP_AES_GCM_A, ivlen=8, keysizemin=128, keysizemax=256
000 algorithm ESP encrypt: id=19, name=ESP_AES_GCM_B, ivlen=12, keysizemin=128, keysizemax=256
000 algorithm ESP encrypt: id=20, name=ESP_AES_GCM_C, ivlen=16, keysizemin=128, keysizemax=256
000 algorithm ESP encrypt: id=22, name=ESP_CAMELLIA, ivlen=8, keysizemin=128, keysizemax=256
000 algorithm ESP encrypt: id=252, name=ESP_SERPENT, ivlen=8, keysizemin=128, keysizemax=256
000 algorithm ESP encrypt: id=253, name=ESP_TWOFISH, ivlen=8, keysizemin=128, keysizemax=256
000 algorithm AH/ESP auth: id=1, name=AUTH_ALGORITHM_HMAC_MD5, keysizemin=128, keysizemax=128
000 algorithm AH/ESP auth: id=2, name=AUTH_ALGORITHM_HMAC_SHA1, keysizemin=160, keysizemax=160
000 algorithm AH/ESP auth: id=5, name=AUTH_ALGORITHM_HMAC_SHA2_256, keysizemin=256, keysizemax=256
000 algorithm AH/ESP auth: id=6, name=AUTH_ALGORITHM_HMAC_SHA2_384, keysizemin=384, keysizemax=384
000 algorithm AH/ESP auth: id=7, name=AUTH_ALGORITHM_HMAC_SHA2_512, keysizemin=512, keysizemax=512
000 algorithm AH/ESP auth: id=8, name=AUTH_ALGORITHM_HMAC_RIPEMD, keysizemin=160, keysizemax=160
000 algorithm AH/ESP auth: id=9, name=AUTH_ALGORITHM_AES_XCBC, keysizemin=128, keysizemax=128
000 algorithm AH/ESP auth: id=251, name=AUTH_ALGORITHM_NULL_KAME, keysizemin=0, keysizemax=0
000  
000 IKE algorithms supported:
000  
000 algorithm IKE encrypt: v1id=0, v1name=0??, v2id=16, v2name=AES_CCM_C, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: v1id=0, v1name=0??, v2id=15, v2name=AES_CCM_B, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: v1id=0, v1name=0??, v2id=14, v2name=AES_CCM_A, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: v1id=5, v1name=OAKLEY_3DES_CBC, v2id=3, v2name=3DES, blocksize=8, keydeflen=192
000 algorithm IKE encrypt: v1id=24, v1name=OAKLEY_CAMELLIA_CTR, v2id=24, v2name=CAMELLIA_CTR, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: v1id=8, v1name=OAKLEY_CAMELLIA_CBC, v2id=23, v2name=CAMELLIA_CBC, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: v1id=20, v1name=OAKLEY_AES_GCM_C, v2id=20, v2name=AES_GCM_C, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: v1id=19, v1name=OAKLEY_AES_GCM_B, v2id=19, v2name=AES_GCM_B, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: v1id=18, v1name=OAKLEY_AES_GCM_A, v2id=18, v2name=AES_GCM_A, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: v1id=13, v1name=OAKLEY_AES_CTR, v2id=13, v2name=AES_CTR, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: v1id=7, v1name=OAKLEY_AES_CBC, v2id=12, v2name=AES_CBC, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: v1id=65004, v1name=OAKLEY_SERPENT_CBC, v2id=65004, v2name=SERPENT_CBC, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: v1id=65005, v1name=OAKLEY_TWOFISH_CBC, v2id=65005, v2name=TWOFISH_CBC, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: v1id=65289, v1name=OAKLEY_TWOFISH_CBC_SSH, v2id=65289, v2name=TWOFISH_CBC_SSH, blocksize=16, keydeflen=128
000 algorithm IKE hash: id=1, name=OAKLEY_MD5, hashlen=16
000 algorithm IKE hash: id=2, name=OAKLEY_SHA1, hashlen=20
000 algorithm IKE hash: id=4, name=OAKLEY_SHA2_256, hashlen=32
000 algorithm IKE hash: id=5, name=OAKLEY_SHA2_384, hashlen=48
000 algorithm IKE hash: id=6, name=OAKLEY_SHA2_512, hashlen=64
000 algorithm IKE hash: id=9, name=DISABLED-OAKLEY_AES_XCBC, hashlen=16
000 algorithm IKE dh group: id=2, name=OAKLEY_GROUP_MODP1024, bits=1024
000 algorithm IKE dh group: id=5, name=OAKLEY_GROUP_MODP1536, bits=1536
000 algorithm IKE dh group: id=14, name=OAKLEY_GROUP_MODP2048, bits=2048
000 algorithm IKE dh group: id=15, name=OAKLEY_GROUP_MODP3072, bits=3072
000 algorithm IKE dh group: id=16, name=OAKLEY_GROUP_MODP4096, bits=4096
000 algorithm IKE dh group: id=17, name=OAKLEY_GROUP_MODP6144, bits=6144
000 algorithm IKE dh group: id=18, name=OAKLEY_GROUP_MODP8192, bits=8192
000 algorithm IKE dh group: id=22, name=OAKLEY_GROUP_DH22, bits=1024
000 algorithm IKE dh group: id=23, name=OAKLEY_GROUP_DH23, bits=2048
000 algorithm IKE dh group: id=24, name=OAKLEY_GROUP_DH24, bits=2048
000  
000 stats db_ops: {curr_cnt, total_cnt, maxsz} :context={0,2,64} trans={0,2,6144} attrs={0,2,4096} 
000  
000 Connection list:
000  
000 "tunnel": 192.168.0.0/24===80.250.236.106<80.250.236.106>...80.250.236.107<80.250.236.107>===172.17.1.0/24; erouted; eroute owner: #4
000 "tunnel":     oriented; my_ip=192.168.0.1; their_ip=172.17.1.254
000 "tunnel":   xauth info: us:none, them:none,  my_xauthuser=[any]; their_xauthuser=[any]
000 "tunnel":   modecfg info: us:none, them:none, modecfg policy:push, dns1:unset, dns2:unset, domain:unset, banner:unset;
000 "tunnel":   labeled_ipsec:no, loopback:no; 
000 "tunnel":    policy_label:unset; 
000 "tunnel":   ike_life: 3600s; ipsec_life: 28800s; rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0;
000 "tunnel":   sha2_truncbug:no; initial_contact:no; cisco_unity:no; send_vendorid:no;
000 "tunnel":   policy: PSK+ENCRYPT+TUNNEL+PFS+UP+IKEV2_ALLOW+SAREF_TRACK+IKE_FRAG_ALLOW; 
000 "tunnel":   conn_prio: 24,24; interface: enp2s3; metric: 0; mtu: unset; sa_prio:auto;
000 "tunnel":   newest ISAKMP SA: #1; newest IPsec SA: #4; 
000 "tunnel":   IKE algorithms wanted: AES_CBC(7)_256-SHA1(2)_000-MODP2048(14)
000 "tunnel":   IKE algorithms found:  AES_CBC(7)_256-SHA1(2)_160-MODP2048(14)
000 "tunnel":   IKE algorithm newest: AES_CBC_256-SHA1-MODP2048
000 "tunnel":   ESP algorithms wanted: AES(12)_256-SHA1(2)_000; pfsgroup=MODP2048(14)
000 "tunnel":   ESP algorithms loaded: AES(12)_256-SHA1(2)_000
000 "tunnel":   ESP algorithm newest: AES_256-HMAC_SHA1; pfsgroup=MODP2048
000  
000 Total IPsec connections: loaded 1, active 1
000  
000 State list:
000  
000 #4: "tunnel":500 STATE_QUICK_I2 (sent QI2, IPsec SA established); EVENT_SA_REPLACE in 27728s; newest IPSEC; eroute owner; isakmp#1; idle; import:admin initiate
000 #4: "tunnel" esp.1d4896fd@80.250.236.107 esp.76119a5a@80.250.236.106 tun.0@80.250.236.107 tun.0@80.250.236.106 ref=0 refhim=4294901761 Traffic: ESPin=5KB ESPout=5KB! ESPmax=4194303B 
000 #1: "tunnel":500 STATE_MAIN_I4 (ISAKMP SA established); EVENT_SA_REPLACE in 2287s; newest ISAKMP; lastdpd=-1s(seq in:0 out:0); idle; import:admin initiate
000 #3: "tunnel":500 STATE_QUICK_R2 (IPsec SA established); EVENT_SA_REPLACE in 28205s; isakmp#2; idle; import:not set
000 #3: "tunnel" esp.61505ddb@80.250.236.107 esp.60fd857c@80.250.236.106 tun.0@80.250.236.107 tun.0@80.250.236.106 ref=0 refhim=4294901761 Traffic: ESPin=0B ESPout=0B! ESPmax=4194303B 
000 #2: "tunnel":500 STATE_MAIN_R3 (sent MR3, ISAKMP SA established); EVENT_SA_REPLACE in 3005s; lastdpd=-1s(seq in:0 out:0); idle; import:not set


Последнее исправление: aganemlin (всего исправлений: 4)

сети соединить в одну

соединяешь опенвпн-ом только шлюзы, на клиентах прописываешь маршруты в удаленные подсети, профит.

axelroot ★
()

Пинг ходит с 192.168.0.20 на 172.17.1.254 (шлюз), а на хост, например 172.17.1.1, уже нет

а маршруты туда-обратно есть?

а 172.17.1.1 знает по какому маршруту, через какой гейт отвечать в сеть 192.168.0

axelroot ★
()

-A POSTROUTING -o enp2s3 -s 192.168.0.0/24 -d 172.17.1.0/24 -j ACCEPT

ты че натом разруливаешь хождение между локалками? жесть. откуда вы такие беретесь.

axelroot ★
()
Ответ на: комментарий от axelroot

Запилил в iptables, теперь так В целом картина не поменялась. Хосты не пингуют друг друга 

*nat
:PREROUTING ACCEPT [1906587:150963102]
:INPUT ACCEPT [1572:105074]
:OUTPUT ACCEPT [2008:565933]
:POSTROUTING ACCEPT [630:206640]
#-A POSTROUTING -o enp2s3 -j MASQUERADE
#-A POSTROUTING -o enp2s3 -s 192.168.0.0/24 ! -d 172.17.1.0/24 -j MASQUERADE
#-A POSTROUTING -o enp2s3 -s 192.168.0.0/24 -d 172.17.1.0/24 -j ACCEPT
#-A POSTROUTING -o enp2s3 -s 192.168.0.0/24 -j MASQUERADE
-A POSTROUTING -s 192.168.0.0/24 ! -d 172.17.1.0/24 -j SNAT --to-source 80.250.236.106
-A POSTROUTING -s 80.250.236.106 -d 172.17.1.0/24 -j SNAT --to-source 192.168.0.1

aganemlin
() автор топика
Ответ на: комментарий от aganemlin

при использовании openswan ничего не надо маршрутизировать

По ссылке:

Также не надо эти пакеты пытаться НАТить и т.д.

Что ты героически делаешь...

Pinkbyte ★★★★★
()
Ответ на: комментарий от Pinkbyte

По активной строчке с маскарадинг пинки хост-хост по прежнему лежат. Ребят, подскажите плиз что конкретно надо сделать. 

 -A POSTROUTING -o enp2s3 -s 192.168.0.0/24 ! -d 172.17.1.0/24 -j MASQUERADE

aganemlin
() автор топика

Кстати откуда в centos 7 openswan? Там должен быть libreswan.

Disova ★
()
18 мая 2017 г.
Ответ на: комментарий от Disova

проблема openswan

день добрый, увидел ваше сообщение, про помощь. если не затруднит, было бы очень в тему. хоть и понимаю, что сообщению уже пару лет и мне не адресовано. но суть проблемы почти такая же. есть openswan на kubuntu, есть два тунеля к цискам. если пинговать из вне, то пинги проходят, а если с самой кубунты, то пинги не идут. тунели естестевенно подниманиются. с радостью бы пообщался по скайпу, но че-то не найти по данному нику. мой skype: loginmur (Сергей Мур)

loginmur
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin