Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Ipsec будь он не ладен.

    Scheduled Pinned Locked Moved Russian
    27 Posts 2 Posters 2.5k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • D
      DIMADUR @Konstanti
      last edited by

      @Konstanti
      Да я вижу что какие то пакеты ходят. Но складвается ощущения что в Ipsec ничего не заходит.
      rule.PNG 1231.PNG

      K 1 Reply Last reply Reply Quote 0
      • K
        Konstanti @DIMADUR
        last edited by

        @DIMADUR
        М-да , странная ситуация ( по выводу )

        попробуйте посмотреть , что происходит на нужном внутреннем интерфейсе в момент пинга

        tcpdump -netti имя_интерфейса net 10.100.100.0/24

        так Вы сможете увидеть , приходят ли пакеты от сети за Микротиком к нужному хосту , и что происходит дальше ( есть ли ответ)

        покажите , Пожалуйста , вывод команды
        ifconfig enc0

        и вот такой команды

        sysctl -a | grep net.enc

        D 2 Replies Last reply Reply Quote 0
        • D
          DIMADUR @Konstanti
          last edited by

          @Konstanti said in Ipsec будь он не ладен.:

          tcpdump -netti имя_интерфейса net 10.100.100.0/24

          так Вы сможете увидеть , приходят ли пакеты от сети за Микротиком к нужному хосту , и что происходит дальше ( есть ли ответ)

          А тут можно поподробнее. Мне нужно указать интерфейс сети 10.168.45.0/24 на пф сенс ? И пинг дать на адрес 10.100.100.0/24 за микротиком?

          D 1 Reply Last reply Reply Quote 0
          • D
            DIMADUR @Konstanti
            last edited by

            @Konstanti said in Ipsec будь он не ладен.:

            sysctl -a | grep net.enc

            [2.7.1-RELEASE][admin@хххх]/root: ifconfig enc0
            enc0: flags=1000041<UP,RUNNING,LOWER_UP> metric 0 mtu 1536
            options=0
            groups: enc
            nd6 options=21<PERFORMNUD,AUTO_LINKLOCAL>
            [2.7.1-RELEASE][admin@хххх]/root: sysctl -a | grep net.enc
            net.enc.out.ipsec_bpf_mask: 1
            net.enc.out.ipsec_filter_mask: 1
            net.enc.in.ipsec_bpf_mask: 2
            net.enc.in.ipsec_filter_mask: 2

            1 Reply Last reply Reply Quote 0
            • D
              DIMADUR @DIMADUR
              last edited by

              @DIMADUR
              сделал пинг в обе стороны. статистика появилась после пинга с пфсенса в сторону микротика. интерфейс указал wan

              [2.7.1-RELEASE][admin@xxxx/root: tcpdump -netti re0 net 10.100.100.0/24
              tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
              listening on re0, link-type EN10MB (Ethernet), snapshot length 262144 bytes
              1703547494.593567 XxXXXXXXce:89 > XxXXXXXX8d:49, ethertype IPv4 (0x0800), length x.x.10.1 > 10.100.100.1: ICMP echo request, id 64059, seq 0, length 64
              1703547495.596239 XxXXXXXXce:89 > XxXXXXXX8d:49, ethertype IPv4 (0x0800), length x.x.10.1 > 10.100.100.1: ICMP echo request, id 64059, seq 1, length 64
              1703547496.596807 XxXXXXXXce:89 > XxXXXXXX8d:49, ethertype IPv4 (0x0800), length x.x.10.1 > 10.100.100.1: ICMP echo request, id 64059, seq 2, length 64
              1703547514.342681 XxXXXXXXce:89 > XxXXXXXX8d:49, ethertype IPv4 (0x0800), length x.x.10.1 > 10.100.100.1: ICMP echo request, id 46576, seq 0, length 64
              1703547515.343637 XxXXXXXXce:89 > XxXXXXXX8d:49, ethertype IPv4 (0x0800), length x.x.10.1 > 10.100.100.1: ICMP echo request, id 46576, seq 1, length 64
              1703547516.349042 XxXXXXXXce:89 > XxXXXXXX8d:49, ethertype IPv4 (0x0800), length x.x.10.1 > 10.100.100.1: ICMP echo request, id 46576, seq 2, length 64

              D 1 Reply Last reply Reply Quote 0
              • D
                DIMADUR @DIMADUR
                last edited by

                К стати, со стороны микротика при попытки пинговать в его сторону тишина на всех интерфейсах

                K 1 Reply Last reply Reply Quote 0
                • K
                  Konstanti @DIMADUR
                  last edited by Konstanti

                  @DIMADUR
                  Вопрос , что это за адрес
                  x.x.10.1 ?
                  и какое он отношение имеет к туннелю ? Если у Вас в фазе-2 указаны другие селекторы трафика

                  Попробуйте пинговать с какого-нибудь хоста за PF из сети 10.168.45.0/24 в сторону любого хоста за Микротиком из сети 10.10.100.0/24 и посмотрите , что будет

                  в идеале , Вы должны видеть вот такую картину

                  tcpdump -netti enc0 host 192.168.200.155 and icmp
                  tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
                  listening on enc0, link-type ENC (OpenBSD encapsulated IP), capture size 262144 bytes
                  1703566012.657462 (authentic,confidential): SPI 0x0b98061a: 192.168.1.99 > 192.168.200.155: ICMP echo request, id 7536, seq 11, length 64
                  1703566012.724823 (authentic,confidential): SPI 0xc1d54f20: 192.168.200.155 > 192.168.1.99: ICMP echo reply, id 7536, seq 11, length 64
                  1703566013.662409 (authentic,confidential): SPI 0x0b98061a: 192.168.1.99 > 192.168.200.155: ICMP echo request, id 7536, seq 12, length 64
                  1703566013.698169 (authentic,confidential): SPI 0xc1d54f20: 192.168.200.155 > 192.168.1.99: ICMP echo reply, id 7536, seq 12, length 64
                  1703566014.666981 (authentic,confidential): SPI 0x0b98061a: 192.168.1.99 > 192.168.200.155: ICMP echo request, id 7536, seq 13, length 64
                  1703566014.703726 (authentic,confidential): SPI 0xc1d54f20: 192.168.200.155 > 192.168.1.99: ICMP echo reply, id 7536, seq 13, length 64

                  D 1 Reply Last reply Reply Quote 0
                  • D
                    DIMADUR @Konstanti
                    last edited by

                    @Konstanti said in Ipsec будь он не ладен.:

                    Вопрос , что это за адрес
                    x.x.10.1 ?

                    Это WAN адрес пфсенса

                    D K 2 Replies Last reply Reply Quote 0
                    • D
                      DIMADUR @DIMADUR
                      last edited by

                      Да и я на сколько понимаю , что должен быть какой то маршут? . я просто не вижу его нигде .

                      K 1 Reply Last reply Reply Quote 0
                      • K
                        Konstanti @DIMADUR
                        last edited by Konstanti

                        @DIMADUR
                        и куда , по-вашему, должен отправлять пакеты WAN интерфейс PF согласно таблиц маршрутизации .....?

                        судя по всему ,Вы это видите на интерфейсе re0 ( куда-то наружу )

                        повторюсь (ключевое выделю)

                        попробуйте посмотреть , что происходит на нужном внутреннем интерфейсе в момент пинга

                        tcpdump -netti имя_интерфейса net 10.100.100.0/24

                        Попробуйте пинговать с какого-нибудь хоста за PF из сети 10.168.45.0/24 в сторону любого хоста за Микротиком из сети 10.10.100.0/24 и посмотрите , что будет

                        D 1 Reply Last reply Reply Quote 0
                        • K
                          Konstanti @DIMADUR
                          last edited by

                          @DIMADUR неправильно понимаете

                          IPSec не работает на основе таблиц маршрутизации ...

                          1 Reply Last reply Reply Quote 0
                          • D
                            DIMADUR @Konstanti
                            last edited by DIMADUR

                            @Konstanti said in Ipsec будь он не ладен.:

                            что происходит на нужном внутреннем интерфейсе в момент пинга

                            tcpdump -netti имя_интерфейса net 10.100.100.0/24

                            [2.7.1-RELEASE][admin@neo-sedova.neoprof.inc]/root: tcpdump -netti re1net 10.100.100.0/24
                            tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
                            listening on re1, link-type EN10MB (Ethernet), snapshot length 262144 bytes
                            1703573846.642944 74:56:3c:cf:03:4f > e0:d5:5e:94:ce:88, ethertype IPv4 (0x0800), length 74: 10.168.45.56 > 10.100.100.1: ICMP echo request, id 1, seq 7, length 40
                            1703573851.338612 74:56:3c:cf:03:4f > e0:d5:5e:94:ce:88, ethertype IPv4 (0x0800), length 74: 10.168.45.56 > 10.100.100.1: ICMP echo request, id 1, seq 8, length 40
                            1703573856.338487 74:56:3c:cf:03:4f > e0:d5:5e:94:ce:88, ethertype IPv4 (0x0800), length 74: 10.168.45.56 > 10.100.100.1: ICMP echo request, id 1, seq 9, length 40
                            1703573861.339303 74:56:3c:cf:03:4f > e0:d5:5e:94:ce:88, ethertype IPv4 (0x0800), length 74: 10.168.45.56 > 10.100.100.1: ICMP echo request, id 1, seq 10, length 40

                            Вот вывод, re1 это лан пфсенса.

                            K D 2 Replies Last reply Reply Quote 0
                            • K
                              Konstanti @DIMADUR
                              last edited by Konstanti

                              @DIMADUR а теперь все тоже самое
                              только для enc0 интерфейса

                              tcpdump -netti enc0 net 10.100.100.0/24

                              пинг запускаете с хоста 10.168.45.56 ( только измените хост назначения ) , Любой из сети 10.100.100.0/24 ( не 10.100.100.1)

                              1 Reply Last reply Reply Quote 0
                              • D
                                DIMADUR @DIMADUR
                                last edited by

                                @Konstanti said in Ipsec будь он не ладен.:

                                @DIMADUR а теперь все тоже самое
                                только для enc0 интерфейса

                                tcpdump -netti enc0 net 10.100.100.0/24

                                пинг запускаете с хоста 10.168.45.56 ( только измените хост назначения ) , Любой из сети 10.100.100.0/24 ( не 10.100.100.1)

                                Есть одна проблема. В сетке 10.100.100.0/24 пока что только один хост.

                                K D 2 Replies Last reply Reply Quote 0
                                • K
                                  Konstanti @DIMADUR
                                  last edited by

                                  @DIMADUR

                                  тогда что происходит на enc0 интерфейсе в момент пинга 10.100.100.1 с хоста 10.168.45.56 ?

                                  1 Reply Last reply Reply Quote 0
                                  • D
                                    DIMADUR @DIMADUR
                                    last edited by

                                    @DIMADUR
                                    tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
                                    listening on enc0, link-type ENC (OpenBSD encapsulated IP), snapshot length 262144 bytes
                                    1703574850.387134 (authentic,confidential): SPI 0x0045cb6e: 10.168.45.56 > 10.100.100.1: ICMP echo request, id 1, seq 11, length 40
                                    1703574855.328818 (authentic,confidential): SPI 0x0045cb6e: 10.168.45.56 > 10.100.100.1: ICMP echo request, id 1, seq 12, length 40
                                    1703574860.324632 (authentic,confidential): SPI 0x0045cb6e: 10.168.45.56 > 10.100.100.1: ICMP echo request, id 1, seq 13, length 40
                                    1703574865.327731 (authentic,confidential): SPI 0x0045cb6e: 10.168.45.56 > 10.100.100.1: ICMP echo request, id 1, seq 14, length 40

                                    D 1 Reply Last reply Reply Quote 0
                                    • D
                                      DIMADUR @DIMADUR
                                      last edited by

                                      @DIMADUR
                                      На сколько я понял пакет ушел в IPsec

                                      K 1 Reply Last reply Reply Quote 0
                                      • K
                                        Konstanti @DIMADUR
                                        last edited by

                                        @DIMADUR
                                        Туннель рабочий ( я считаю)

                                        Разбирайтесь с микротиком ..... почему он не отвечает ( а лучше , добавьте хост в сеть 10.100.100.0/24 и тогда проверяйте работу туннеля )

                                        D 1 Reply Last reply Reply Quote 0
                                        • D
                                          DIMADUR @Konstanti
                                          last edited by

                                          @Konstanti said in Ipsec будь он не ладен.:

                                          @DIMADUR
                                          Туннель рабочий ( я считаю)

                                          Разбирайтесь с микротиком ..... почему он не отвечает ( а лучше , добавьте хост в сеть 10.100.100.0/24 и тогда проверяйте работу туннеля )

                                          Согласен. со стороны пфсенса все в норме.
                                          Пойду докапаюсь на форум микротика :-)
                                          Спасибо!

                                          D 1 Reply Last reply Reply Quote 0
                                          • D
                                            DIMADUR @DIMADUR
                                            last edited by

                                            @DIMADUR
                                            В общем все завелось, если кратко то на форуме микротик меня послали "дали ссылку на манул". хорошо что в догонку поддали где смотреть.
                                            я вычитал что в микротике если создаешь правило в firewall/nat типа accept и оно после правила маскарада, то оказывается либо удалить все соеденения либо перезагрузить микротик. после этого все завелось.
                                            Но, у меня остался один вопрос. В связи с тем что я не до конца понимаю принцип IPsec.
                                            Я поднял между этими Пфсенс и Микротик gre тунель.
                                            На пф сенс. повесил интерфейс OPT который у меня gre.
                                            Сделал Gateway этого интерфейса. И нужной мне локальной сети , назначил его по умолчанию. Для того что бы тарфик в интернет этой сети ходил через микротик.
                                            Все работает. Но я не понимаю , в итоге трафик летит через ipsec или через gre или gre весь идет через ipsec.
                                            В вообщем трафик который идет через gre он шифруется?
                                            И что будет если упадет Ipsec а gre будет работать?

                                            Можно по идее посмотреть так же tcpdump -netti enc0, но мне бы на пальцах если можно :-)

                                            K 1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.