The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"nat перед ipsec"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Маршрутизаторы CISCO и др. оборудование. (VPN, VLAN, туннель)
Изначальное сообщение [ Отслеживать ]

"nat перед ipsec"  +/
Сообщение от nerik (ok) on 10-Июл-15, 13:40 
Имеется сервер на freebsd, который устанавливает ipsec-туннель с удаленным хостом в сети Интернет. За сервером есть сетка с серыми ip, сервер их натит в сеть Интернет с помощью pf. ipsec-туннель работает на racoon Правило в pf
nat pass from 192.168.1.5/32 to x.x.x.x/32 -> y.y.y.y
Почему-то трафик с внутренней сетки не заворачивается в ipsec-туннель (хост x.x.x.x как раз находится за ipsec-туннелем).
Такое впечатление, что правила spdadd срабатывают до трансляции. Нашел подобную тему dadv.livejournal.com/202710.html
Но такое впечатление, что не может быть такого у pf.
Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "nat перед ipsec"  +/
Сообщение от eRIC (ok) on 15-Июл-15, 08:26 
> Имеется сервер на freebsd, который устанавливает ipsec-туннель с удаленным хостом в сети
> Интернет. За сервером есть сетка с серыми ip, сервер их натит
> в сеть Интернет с помощью pf. ipsec-туннель работает на racoon Правило
> в pf
> nat pass from 192.168.1.5/32 to x.x.x.x/32 -> y.y.y.y
> Почему-то трафик с внутренней сетки не заворачивается в ipsec-туннель (хост x.x.x.x как
> раз находится за ipsec-туннелем).
> Такое впечатление, что правила spdadd срабатывают до трансляции. Нашел подобную тему dadv.livejournal.com/202710.html
> Но такое впечатление, что не может быть такого у pf.

зачем натить? у вас без ната должно в туннель нормально идти если в pf есть правила разрешающие прохождения туннеля туда и обратно:

Server A:

# 192.168.1.5 -->  x.x.x.x
pass out quick on $ext_if proto udp from 192.168.1.5 port = isakmp to x.x.x.x port = isakmp
pass out quick on $ext_if proto esp from 192.168.1.5 to x.x.x.x
pass out quick on $ext_if proto ipencap from 192.168.1.5 to x.x.x.x

#  x.x.x.x ---> 192.168.1.5
pass in quick on $ext_if proto udp from x.x.x.x port = isakmp to 192.168.1.5 port = isakmp
pass in quick on $ext_if proto esp from x.x.x.x to 192.168.1.5
pass in quick on $ext_if proto ipencap from x.x.x.x to 192.168.1.5


Server B (зеркальные правила):

# x.x.x.x --> 192.168.1.5
pass out quick on $ext_if proto udp from x.x.x.x port = isakmp to 192.168.1.5 port = isakmp
pass out quick on $ext_if proto esp from x.x.x.x to 192.168.1.5
pass out quick on $ext_if proto ipencap from x.x.x.x to 192.168.1.5

# 192.168.1.5 --> x.x.x.x
pass in quick on $ext_if proto udp from 192.168.1.5 port = isakmp to x.x.x.x port = isakmp
pass in quick on $ext_if proto esp from 192.168.1.5 to x.x.x.x
pass in quick on $ext_if proto ipencap from 192.168.1.5 to x.x.x.x

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру