Назад | Перейти на главную страницу

Пул IP-адресов файла конфигурации IKEV2

У меня проблемы с настройкой VPN с помощью IKEV2. Вот мой файл конфигурации сервера

config setup

    #  Uncomment to allow few simultaneous connections with one user account.
    #  By default only one active connection per user allowed.
    # uniqueids=no

    # Increase debug level
    # charondebug = ike 3, cfg 3

conn %default

    # More advanced ciphers. Uncomment if you need it.
    # Default ciphers will works on most platforms.
    # ike=aes256gcm16-aes256gcm12-aes128gcm16-aes128gcm12-sha256-sha1-modp2048-modp4096-modp1024,aes256-aes128-sha256-sha1-modp2048-modp4096-modp1024,3des-sha1-modp1024!
    # esp=aes128gcm12-aes128gcm16-aes256gcm12-aes256gcm16-modp2048-modp4096-modp1024,aes128-aes256-sha1-sha256-modp2048-modp4096-modp1024,aes128-sha1-modp2048,aes128-sha1-modp1024,3des-sha1-modp1024,aes128-aes256-sha1-sha256,aes128-sha1,3des-sha1!

    # Dead peer detection will ping clients and terminate sessions after timeout
    dpdaction=clear
    dpddelay=35s
    dpdtimeout=2000s

    keyexchange=ikev2
    auto=add
    rekey=no
    reauth=no
    fragmentation=yes
    #compress=yes

    # left - local (server) side
    leftcert=mydomain.net.crt # Filename of certificate located at /etc/ipsec.d/certs/
    leftsendcert=always
    # Routes pushed to clients. If you don't have ipv6 then remove ::/0
    leftsubnet=0.0.0.0/0

    # right - remote (client) side
    eap_identity=%identity
    # ipv4 and ipv6 subnets that assigns to clients. If you don't have ipv6 then remove it
    rightsourceip=192.168.0.0/24
    rightdns=192.168.0.1,8.8.8.8

# Windows and BlackBerry clients usually goes here
conn ikev2-mschapv2
    rightauth=eap-mschapv2

# Apple clients usually goes here
conn ikev2-mschapv2-apple
    rightauth=eap-mschapv2
    leftid=mydomain.net

Проблема в том, что я указал rightsourceip=192.168.0.0/24 так что каждый новый клиент получит IP в этой сети, но, конечно, у меня уже есть компьютеры в моей локальной сети.

И когда я пытаюсь подключиться к своей VPN, он подключается, но клиент получает IP-адрес 192.168.0.1, который является IP-адресом маршрутизатора.

Кроме того, у меня есть другие устройства и ПК в этой сети, поэтому клиент получит существующие проблемы с IP.

Мои маршрутизаторы действуют как DHCP-сервер и имеют IP-адрес 192.168.0.1.

Я попытался найти правильную конфигурацию пула IP-адресов, но не нашел никакой информации.

Я не уверен, возможно ли это, но было бы здорово, если бы я мог направить аренду IP-адреса на мой маршрутизатор вместо аренды адресов VPN-сервером (насколько я могу догадаться, пожалуйста, поправьте меня, если я ошибаюсь).

Пожалуйста, помогите мне решить эту проблему. Спасибо.

У вас есть несколько вариантов, которые также описаны на сайте strongSwan Перенаправление и раздельное туннелирование страница вики:

  1. Настройте другую подсеть для виртуальные IP-адреса (например, 192.168.100.0/24), а затем либо правильно маршрутизируют трафик (чтобы хосты в локальной сети сервера не отправляли пакеты, адресованные этой подсети, на свой шлюз по умолчанию, а на сервер VPN), либо NAT трафика клиентов на собственный IP-адрес сервера (поэтому другим хостам кажется, что трафик исходит от VPN-сервера, и они могут легко на него ответить).
  2. Назначьте адреса из подсети 192.168.0.0/24, которую вы зарезервировали для этого и не используете для других хостов в локальной сети сервера (например, 192.168.0.192/26, если она достаточно велика и выходит за пределы диапазона DHCP и не используется для статических назначенные адреса).
  3. Использовать dhcp плагин для запроса виртуальных IP-адресов из 192.168.0.0/24 для ваших клиентов с существующего DHCP-сервера.

Последние два варианта требуют использования фарп плагин поскольку вы назначаете IP-адреса из той же подсети, к которой подключены хосты на стороне сервера.