[Resolvido] Ipsec com rede alternativa

[machadomall]

Tcpdump nas duas interfaces para o host do cliente do outro lado da ponta vpn.

host do cliente: 192.168.5.173
em1 = lan
[2.0.2-RELEASE][root@firewall]/(31): tcpdump -ni em1 host 192.168.5.173
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on em1, link-type EN10MB (Ethernet), capture size 96 bytes

em0 = wan
[2.0.2-RELEASE][root@firewall]/(30): tcpdump -ni em0 host 192.168.5.173
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on em0, link-type EN10MB (Ethernet), capture size 96 bytes

[neo_X]

Olá Machado,

Essa nova rede que o cliente solicitou é por que ele já possui uma rede igual a da sua LAN?

[machadomall]

Isso mesmo.

[machadomall]

Tentando dar um Telnet no ip do cliente na porta 80.

[2.0.2-RELEASE][root@firewall]/(51): tcpdump -i em1 host 192.168.5.173  ###host do cliente da outra ponta####
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on em1, link-type EN10MB (Ethernet), capture size 96 bytes
11:34:48.040403 IP 192.168.26.50.23874 > 192.168.5.173.http: Flags , seq 1106851181, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
11:34:51.049875 IP 192.168.26.50.23874 > 192.168.5.173.http: Flags , seq 1106851181, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
11:34:57.066926 IP 192.168.26.50.23874 > 192.168.5.173.http: Flags , seq 1106851181, win 8192, options [mss 1460,nop,nop,sackOK], length 0

[lucaspolli]

sua interface esta com Block private networks desmarcada?

[machadomall]

Sim, esta desmarcada.

[neo_X]

Você terá que "natear" sua VPN.

LAN 192.168.1.0/24 traduzir para 192.168.26.0/24  destino - Rede Cliente.

Essa opção tem na versão 2.1

[machadomall]

Bem, estou criando um ambiente de teste do pfsense da ultima versão.

Você tem algum print de exemplo dessa regra?

Obrigado.

[neo_X]

Olá Márcio, essa configuração é bem tranquila.  Na fase 2 você especifica:

Sua LAN: 192.168.1.0/24
Traduzir para: 192.168.26.0/24
Rede Destino:  LAN Cliente

No meu caso a rede 80.0 já tinha no data center, tive que usar outra rede 172.30 para acessar o outro lado.

[machadomall]

Obrigado Neo_X,
Fiz exatamente isso, mas, não consigo fechar posta da LAN: 192.168.1.0/24 e nem 192.168.26.0/24 para o server vpn do cliente 192.168.5.0/24.

Tentei fazer varias rotas das duas primeiras redes e nada.

Grato.

[neo_X]

O seu cliente configurou a rede de destino (que é a sua "nova rede") 192.168.26.0/24? Me passa as informações das confs e também o logs.

[machadomall]

Obrigado pela ajuda.
Segue prints anexo.

[neo_X]

As configurações do seu cliente estão iguais as configuradas nas fases  1 e 2 do seu firewall?

[machadomall]

Obrigado por responder,

Segundo o nosso cliente que estão sim corretas as configurações. (Server vpn do nosso cliente (Aker)

Quando configuro a fase 2  dessa forma,

LAN(local): 192.168.1.0/24
Traduzir para(vpn): 192.168.26.0/24
Rede Destino(cliente):  192.168.5.0/24

Dá:
racoon: [Unknown Gateway/Dynamic]: NOTIFY: no in-bound policy found: 192.168.5.0/24[0] 192.168.1.0/24[0] proto=any dir=in


[neo_X]

Manda as informações da fase 1.

[machadomall]

Segue print Fase1

Grato.

[neo_X]

Confirma se o lado do cliente está usando o PFS key Group na fase 2. Na sua conf está off.

[machadomall]

Oi neo_X bom dia,

Sim deve estar como OFF mesmo, se eu mudar para o grupo 1,2 ou 3 ele não conecta.

Grato.

[neo_X]

Olá Márcio,

Normalmente eu habilito essa opção.  Bom vamos lá, a VPN está fechada agora? Na interface IPSEC tem regra liberando o acesso? Em Diagnostics: Packet Capture consegue capturar algum pacote via IpSec?

[marcelloc]

Márcio, veja se na console, aparece uma interface nova quando o tunel está estabelecido.

Se aparecer, rode o tcpdump nela para ver como os pacotes estão saindo do seu firewall.

Depois que tiver esta informação, passe para o responsável da ponta remota para ver se a regra que ele criou contempla o ip de saída que você está usando.