The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Openswan Mikrotik"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Информационная безопасность (VPN, IPSec)
Изначальное сообщение [ Отслеживать ]

"Openswan Mikrotik"  +/
Сообщение от suharik71 email(ok) on 13-Мрт-15, 10:11 
Добрый день.
Помогите внести ясность в ситуацию. Настроен ipsec между двумя хостами Centos и Mikrotik. За хостами подсети. Поднимаю два тунеля.
10.0.0.0.24 <-> mikrotik <----ipsec----> Centos(openswan) <-> 192.168.90.0/24
                                                          <-> ip_host
Первый работает хост - подсеть
Второй подсеть - подсеть
Но факту реально работает только один в случайном порядке. Те при перезапуске openswan или mikrotik трафик начинает реально идти только через один.
Пинг проходит, но такое ощущение что не возвращается обратно.

Вот пример пинга до хоста и подсети с адреса 10.0.0.243

tcpdump icmp
12:02:24.970435 IP 10.0.0.243 > ip_host: ICMP echo request, id 54597, seq 1576, length 64
12:02:25.273338 IP 10.0.0.243 > 192.168.90.6: ICMP echo request, id 60229, seq 1545, length 64
12:02:25.970431 IP 10.0.0.243 > ip_host: ICMP echo request, id 54597, seq 1577, length 64
12:02:26.273310 IP 10.0.0.243 > 192.168.90.6: ICMP echo request, id 60229, seq 1546, length 64

вот пример конфига openswan

conn ipsec
   authby=secret
   auto=start
   ikelifetime=86400s
   ike=3des-sha1-modp1024
   aggrmode=no
   ## phase 1 ##
   keyexchange=ike
   ## phase 2 ##
   keylife=86400s
   phase2=esp
   phase2alg=3des-sha1
   compress=no
   pfs=yes
   type=tunnel
   left=ip_host
   #leftsourceip=ip_host
   leftsubnets={ip_host/32 192.168.90.0/24}
   leftnexthop=%defaultroute
   ## for direct routing ##
   right=ip_mikrotik
   rightsubnets={10.0.0.0/24}

Истина где то рядом, но где???

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Openswan Mikrotik"  –1 +/
Сообщение от Vladimir (??) on 13-Мрт-15, 13:46 
на микротик ipsec требует еще правило нат
просмотрите документацию
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Openswan Mikrotik"  +/
Сообщение от shadow_alone (ok) on 15-Мрт-15, 01:23 
> на микротик ipsec требует еще правило нат
> просмотрите документацию

Не нужно никакого NAT на микротике при такой схеме.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Openswan Mikrotik"  +/
Сообщение от suharik71 email(ok) on 19-Мрт-15, 14:17 
>> на микротик ipsec требует еще правило нат
>> просмотрите документацию
> Не нужно никакого NAT на микротике при такой схеме.

Я может спрошу глупость, но вообще через голый ipsec работающий в туннельном режиме можно маршрутизировать? Вопрос появился не просто так. Пробовал реализовывать ниже приведённую схему на разном железе. И ни в одном случаи настроить маршрутизацию через ipsec не вышло. Как только в ipsec поднял GRE и начал маршрутизировать внутри GRE все заработало.
Схема:

10.0.1.0/24                                                         10.0.3.0/24
            ===>router(x.x.x.x) <----ipsec---> (y.y.y.y)router <===
10.0.2.0/24       (10.10.0.1)                        (10.10.0.2)    10.0.4.0/24  

Те получается что ipsec host to host
ip route add 10.0.3.0/24 via 10.10.0.2
ip route add 10.0.4.0/24 via 10.10.0.2
в сей туннель просто ни чего не инкапсилируется

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема


  Закладки на сайте
  Проследить за страницей
Created 1996-2018 by Maxim Chirkov  
ДобавитьПоддержатьВебмастеруГИД  
Hosting by Ihor