Исходное сообщение
"nat перед ipsec" Отправлено eRIC, 15-Июл-15 08:26
> Имеется сервер на freebsd, который устанавливает ipsec-туннель с удаленным хостом в сети > Интернет. За сервером есть сетка с серыми ip, сервер их натит > в сеть Интернет с помощью pf. ipsec-туннель работает на racoon Правило > в pf > nat pass from 192.168.1.5/32 to x.x.x.x/32 -> y.y.y.y > Почему-то трафик с внутренней сетки не заворачивается в ipsec-туннель (хост x.x.x.x как > раз находится за ipsec-туннелем). > Такое впечатление, что правила spdadd срабатывают до трансляции. Нашел подобную тему dadv.livejournal.com/202710.html > Но такое впечатление, что не может быть такого у pf. зачем натить? у вас без ната должно в туннель нормально идти если в pf есть правила разрешающие прохождения туннеля туда и обратно: Server A: # 192.168.1.5 -->  x.x.x.x pass out quick on $ext_if proto udp from 192.168.1.5 port = isakmp to x.x.x.x port = isakmp pass out quick on $ext_if proto esp from 192.168.1.5 to x.x.x.x pass out quick on $ext_if proto ipencap from 192.168.1.5 to x.x.x.x #  x.x.x.x ---> 192.168.1.5 pass in quick on $ext_if proto udp from x.x.x.x port = isakmp to 192.168.1.5 port = isakmp pass in quick on $ext_if proto esp from x.x.x.x to 192.168.1.5 pass in quick on $ext_if proto ipencap from x.x.x.x to 192.168.1.5 Server B (зеркальные правила): # x.x.x.x --> 192.168.1.5 pass out quick on $ext_if proto udp from x.x.x.x port = isakmp to 192.168.1.5 port = isakmp pass out quick on $ext_if proto esp from x.x.x.x to 192.168.1.5 pass out quick on $ext_if proto ipencap from x.x.x.x to 192.168.1.5 # 192.168.1.5 --> x.x.x.x pass in quick on $ext_if proto udp from 192.168.1.5 port = isakmp to x.x.x.x port = isakmp pass in quick on $ext_if proto esp from 192.168.1.5 to x.x.x.x pass in quick on $ext_if proto ipencap from 192.168.1.5 to x.x.x.x

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> Имеется сервер на freebsd, который устанавливает ipsec-туннель с удаленным хостом в сети >> Интернет. За сервером есть сетка с серыми ip, сервер их натит >> в сеть Интернет с помощью pf. ipsec-туннель работает на racoon Правило >> в pf >> nat pass from 192.168.1.5/32 to x.x.x.x/32 -> y.y.y.y >> Почему-то трафик с внутренней сетки не заворачивается в ipsec-туннель (хост x.x.x.x как >> раз находится за ipsec-туннелем). >> Такое впечатление, что правила spdadd срабатывают до трансляции. Нашел подобную тему dadv.livejournal.com/202710.html >> Но такое впечатление, что не может быть такого у pf. > зачем натить? у вас без ната должно в туннель нормально идти если > в pf есть правила разрешающие прохождения туннеля туда и обратно: > Server A: > # 192.168.1.5 --> x.x.x.x > pass out quick on $ext_if proto udp from 192.168.1.5 port = isakmp > to x.x.x.x port = isakmp > pass out quick on $ext_if proto esp from 192.168.1.5 to x.x.x.x > pass out quick on $ext_if proto ipencap from 192.168.1.5 to x.x.x.x > # x.x.x.x ---> 192.168.1.5 > pass in quick on $ext_if proto udp from x.x.x.x port = isakmp > to 192.168.1.5 port = isakmp > pass in quick on $ext_if proto esp from x.x.x.x to 192.168.1.5 > pass in quick on $ext_if proto ipencap from x.x.x.x to 192.168.1.5 > Server B (зеркальные правила): > # x.x.x.x --> 192.168.1.5 > pass out quick on $ext_if proto udp from x.x.x.x port = isakmp > to 192.168.1.5 port = isakmp > pass out quick on $ext_if proto esp from x.x.x.x to 192.168.1.5 > pass out quick on $ext_if proto ipencap from x.x.x.x to 192.168.1.5 > # 192.168.1.5 --> x.x.x.x > pass in quick on $ext_if proto udp from 192.168.1.5 port = isakmp > to x.x.x.x port = isakmp > pass in quick on $ext_if proto esp from 192.168.1.5 to x.x.x.x > pass in quick on $ext_if proto ipencap from 192.168.1.5 to x.x.x.x
	Введите код, изображенный на картинке: