[Resolvido] Ipsec com rede alternativa
-
Olá Machado,
Essa nova rede que o cliente solicitou é por que ele já possui uma rede igual a da sua LAN?
-
Isso mesmo.
-
Tentando dar um Telnet no ip do cliente na porta 80.
[2.0.2-RELEASE][root@firewall]/(51): tcpdump -i em1 host 192.168.5.173 ###host do cliente da outra ponta####
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on em1, link-type EN10MB (Ethernet), capture size 96 bytes
11:34:48.040403 IP 192.168.26.50.23874 > 192.168.5.173.http: Flags, seq 1106851181, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
11:34:51.049875 IP 192.168.26.50.23874 > 192.168.5.173.http: Flags, seq 1106851181, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
11:34:57.066926 IP 192.168.26.50.23874 > 192.168.5.173.http: Flags, seq 1106851181, win 8192, options [mss 1460,nop,nop,sackOK], length 0 -
sua interface esta com Block private networks desmarcada?
-
Sim, esta desmarcada.
-
Você terá que "natear" sua VPN.
LAN 192.168.1.0/24 traduzir para 192.168.26.0/24 destino - Rede Cliente.
Essa opção tem na versão 2.1
-
Bem, estou criando um ambiente de teste do pfsense da ultima versão.
Você tem algum print de exemplo dessa regra?
Obrigado.
-
Olá Márcio, essa configuração é bem tranquila. Na fase 2 você especifica:
Sua LAN: 192.168.1.0/24
Traduzir para: 192.168.26.0/24
Rede Destino: LAN ClienteNo meu caso a rede 80.0 já tinha no data center, tive que usar outra rede 172.30 para acessar o outro lado.
-
Obrigado Neo_X,
Fiz exatamente isso, mas, não consigo fechar posta da LAN: 192.168.1.0/24 e nem 192.168.26.0/24 para o server vpn do cliente 192.168.5.0/24.Tentei fazer varias rotas das duas primeiras redes e nada.
Grato.
-
O seu cliente configurou a rede de destino (que é a sua "nova rede") 192.168.26.0/24? Me passa as informações das confs e também o logs.
-
Obrigado pela ajuda.
Segue prints anexo.
-
As configurações do seu cliente estão iguais as configuradas nas fases 1 e 2 do seu firewall?
-
Obrigado por responder,
Segundo o nosso cliente que estão sim corretas as configurações. (Server vpn do nosso cliente (Aker)
Quando configuro a fase 2 dessa forma,
LAN(local): 192.168.1.0/24
Traduzir para(vpn): 192.168.26.0/24
Rede Destino(cliente): 192.168.5.0/24Dá:
racoon: [Unknown Gateway/Dynamic]: NOTIFY: no in-bound policy found: 192.168.5.0/24[0] 192.168.1.0/24[0] proto=any dir=in![Rede Pfsense.png](/public/imported_attachments/1/Rede Pfsense.png)
![Rede Pfsense.png_thumb](/public/imported_attachments/1/Rede Pfsense.png_thumb) -
Manda as informações da fase 1.
-
Segue print Fase1
Grato.
-
Confirma se o lado do cliente está usando o PFS key Group na fase 2. Na sua conf está off.
-
Oi neo_X bom dia,
Sim deve estar como OFF mesmo, se eu mudar para o grupo 1,2 ou 3 ele não conecta.
Grato.
-
Olá Márcio,
Normalmente eu habilito essa opção. Bom vamos lá, a VPN está fechada agora? Na interface IPSEC tem regra liberando o acesso? Em Diagnostics: Packet Capture consegue capturar algum pacote via IpSec?
-
Márcio, veja se na console, aparece uma interface nova quando o tunel está estabelecido.
Se aparecer, rode o tcpdump nela para ver como os pacotes estão saindo do seu firewall.
Depois que tiver esta informação, passe para o responsável da ponta remota para ver se a regra que ele criou contempla o ip de saída que você está usando.
-
Obrigado por responderem,
Marcelo, com a na console só aparece as duas interfaces Wan e Lan,ipsec
racoon IPsec VPN status Running
Status AtivoNo ifconfig -a
Só aparce as duas Wan e Lan.Dando um telnet com o tcpdump -ni em1 host 192.168.5.173
[2.1.3-RELEASE][admin@cerberus]/root(4): tcpdump -ni em1 host 192.168.5.173
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on em1, link-type EN10MB (Ethernet), capture size 96 bytes
16:13:44.254615 IP 192.168.1.50.34372 > 192.168.5.173.80: Flags ~~, seq 162296854, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
16:13:50.252556 IP 192.168.1.50.34372 > 192.168.5.173.80: Flags ~~, seq 162296854, win 65535, options [mss 1460,nop,nop,sackOK], length 0Obs: Devo criar um ip vitual da rede 192.168.26.0/24 no pfsense?~~~~