Я настраиваю «подсеть для подсети VPN» между двумя серверами Centos 7 с помощью libreswan. На каждом сервере есть два ник, как показано на следующем изображении.
Я бы разрешил безопасную связь между подсетями 172.18.0.0/16 и 172.19.0.0/16, установив vpn с использованием сети 172.17.0.0/16, но у меня проблема с разрешением трафика между этими двумя подсетями.
Я следил за официальной документацией redhat в https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/7/html/Security_Guide/sec-Securing_Virtual_Private_Networks.html#Site-To-Site_VPN_Using_Libreswan
Фактически я остановил firewalld на обоих узлах.
Я проверил предварительные требования ipsec:
[root@node2 ~]# ipsec verify
Verifying installed system and configuration files
Version check and ipsec on-path [OK]
Libreswan 3.8 (netkey) on 3.10.0-123.el7.x86_64
Checking for IPsec support in kernel [OK]
NETKEY: Testing XFRM related proc values
ICMP default/send_redirects [OK]
ICMP default/accept_redirects [OK]
XFRM larval drop [OK]
Pluto ipsec.conf syntax [OK]
Hardware random device [N/A]
Two or more interfaces found, checking IP forwarding [OK]
Checking rp_filter [OK]
Checking that pluto is running [OK]
Pluto listening for IKE on udp 500 [OK]
Pluto listening for IKE/NAT-T on udp 4500 [OK]
Pluto ipsec.secret syntax [OK]
Checking NAT and MASQUERADEing [TEST INCOMPLETE]
Checking 'ip' command [OK]
Checking 'iptables' command [OK]
Checking 'prelink' command does not interfere with FIPSChecking for obsolete ipsec.conf options [OK]
Opportunistic Encryption [DISABLED]
Содержимое ipsec.conf:
config setup
protostack=netkey
conn mytunnel
leftid=@node1
left=172.17.0.101
leftrsasigkey=0sAQPXn...
rightid=@node2
right=172.17.0.102
rightrsasigkey=0sAQPxv...
authby=rsasig
conn mysubnet
also=mytunnel
leftsubnet=172.18.0.0/16
rightsubnet=172.19.0.0/16
auto=start
Запускаю службу ipsec на обоих узлах. Затем проверяю, что "ipsec status" (здесь вывод http://pastebin.com/LYA9uqfJ ) и я не обнаружил никаких ошибок.
Таблица маршрутизации узла 1:
[root@node1 ~]# route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
172.17.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eno16777736
172.18.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eno33554992
Если попытаться выполнить эхо-запрос с узла 1 по IP-адресу 172.19.0.101, я получаю сообщение об ошибке «подключение: сеть недоступна».
Что-то не хватает в моей конфигурации? Что я могу попытаться разрешить безопасный трафик между этими двумя подсетями?
подключиться: сеть недоступна
Только маршруты к 172.17.0.0/16
и 172.18.0.0/24
, нет конкретного пути к 172.19.0.0/16
, или маршрут по умолчанию, который будет его покрывать, поэтому вы получаете эту ошибку.
Поэтому вам нужно добавить либо конкретный маршрут к удаленной подсети, либо добавить маршрут по умолчанию на обоих хостах.
Кстати, вы должны использовать ip route
прокладывать маршруты вместо route
.
Проверьте net.ipv4.ip_forward
настройки в sysctl
.
Или вы можете попробовать запустить tcpdump с обеих сторон и посмотреть, что произойдет.
Пример:
tcpdump -n -i interface esp or udp port 500 or udp port 4500
Также попробуйте добавить такие правила iptables:
-A FORWARD -i EXTIF -o INIF -j ACCEPT
-A FORWARD -i INIF -o EXTIF -j ACCEPT
-A POSTROUTING -s YOURNET1 ! -d YOURNET2 -j MASQUERADE
Еще несколько подробностей о том, что выше:
EXTIF
это ваш интерфейс 172.17.0.0/16
INIF
это еще один 172.18.0.0 или 172.19.0.0
Я использовал это HOWTO, моя сеть работает, но не отправляет пакет keepalive. У Strongswan нет проблем