[Resolvido] Ipsec com rede alternativa

neo_X

Você terá que "natear" sua VPN.

LAN 192.168.1.0/24 traduzir para 192.168.26.0/24 destino - Rede Cliente.

Essa opção tem na versão 2.1

machadomall

Bem, estou criando um ambiente de teste do pfsense da ultima versão.

Você tem algum print de exemplo dessa regra?

Obrigado.

neo_X

Olá Márcio, essa configuração é bem tranquila. Na fase 2 você especifica:

Sua LAN: 192.168.1.0/24
Traduzir para: 192.168.26.0/24
Rede Destino: LAN Cliente

No meu caso a rede 80.0 já tinha no data center, tive que usar outra rede 172.30 para acessar o outro lado.

ipsec.jpg_thumb

machadomall

Obrigado Neo_X,
Fiz exatamente isso, mas, não consigo fechar posta da LAN: 192.168.1.0/24 e nem 192.168.26.0/24 para o server vpn do cliente 192.168.5.0/24.

Tentei fazer varias rotas das duas primeiras redes e nada.

Grato.

neo_X

O seu cliente configurou a rede de destino (que é a sua "nova rede") 192.168.26.0/24? Me passa as informações das confs e também o logs.

machadomall

Obrigado pela ajuda.
Segue prints anexo.

Fase2_IPsec.PNG_thumb

logs_ipsec.PNG_thumb

Status_IPsec.PNG_thumb

neo_X

As configurações do seu cliente estão iguais as configuradas nas fases 1 e 2 do seu firewall?

machadomall

Obrigado por responder,

Segundo o nosso cliente que estão sim corretas as configurações. (Server vpn do nosso cliente (Aker)

Quando configuro a fase 2 dessa forma,

LAN(local): 192.168.1.0/24
Traduzir para(vpn): 192.168.26.0/24
Rede Destino(cliente): 192.168.5.0/24

Dá:
racoon: [Unknown Gateway/Dynamic]: NOTIFY: no in-bound policy found: 192.168.5.0/24[0] 192.168.1.0/24[0] proto=any dir=in

![Rede Pfsense.png](/public/imported_attachments/1/Rede Pfsense.png)
![Rede Pfsense.png_thumb](/public/imported_attachments/1/Rede Pfsense.png_thumb)

neo_X

Manda as informações da fase 1.

machadomall

Segue print Fase1

Grato.

Fase1_IPsec.PNG_thumb

neo_X

Confirma se o lado do cliente está usando o PFS key Group na fase 2. Na sua conf está off.

machadomall

Oi neo_X bom dia,

Sim deve estar como OFF mesmo, se eu mudar para o grupo 1,2 ou 3 ele não conecta.

Grato.

neo_X

Olá Márcio,

Normalmente eu habilito essa opção. Bom vamos lá, a VPN está fechada agora? Na interface IPSEC tem regra liberando o acesso? Em Diagnostics: Packet Capture consegue capturar algum pacote via IpSec?

marcelloc

Márcio, veja se na console, aparece uma interface nova quando o tunel está estabelecido.

Se aparecer, rode o tcpdump nela para ver como os pacotes estão saindo do seu firewall.

Depois que tiver esta informação, passe para o responsável da ponta remota para ver se a regra que ele criou contempla o ip de saída que você está usando.

machadomall

Obrigado por responderem,
Marcelo, com a na console só aparece as duas interfaces Wan e Lan,

ipsec
racoon IPsec VPN status Running
Status Ativo

No ifconfig -a
Só aparce as duas Wan e Lan.

Dando um telnet com o tcpdump -ni em1 host 192.168.5.173

[2.1.3-RELEASE][admin@cerberus]/root(4): tcpdump -ni em1 host 192.168.5.173
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on em1, link-type EN10MB (Ethernet), capture size 96 bytes
16:13:44.254615 IP 192.168.1.50.34372 > 192.168.5.173.80: Flags ~~, seq 162296854, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
16:13:50.252556 IP 192.168.1.50.34372 > 192.168.5.173.80: Flags ~~, seq 162296854, win 65535, options [mss 1460,nop,nop,sackOK], length 0

Obs: Devo criar um ip vitual da rede 192.168.26.0/24 no pfsense?~~~~

machadomall

A minha regra da interface ipsec
IPv4 TCP * * * * * none

marcelloc

@Márcio:

Marcelo, com a na console só aparece as duas interfaces Wan e Lan,

Tem certeza que não tem uma interface gif0 por exemplo ????

@Márcio:

Devo criar um ip vitual da rede 192.168.26.0/24 no pfsense?

Sem saber o que está passando no túnel, eu não recomendo você acrescentar nenhuma configuração.

neo_X

@Márcio:

A minha regra da interface ipsec
IPv4 TCP * * * * * none

Coloque
IPv4 any * * * * * none

Não precisa criar alias para essa rede.

machadomall

Marcelo,
Será isso?

plip0: flags=8810 <pointopoint,simplex,multicast>metric 0 mtu 1500
enc0: flags=41 <up,running>metric 0 mtu 1536</up,running></pointopoint,simplex,multicast>

machadomall

Olá pessoal,

Obrigado por tudo, consegui fechar a conexão com o cliente.

Era configuração do lado dele, não estava permitindo o trafico entre as redes. :o

Mais uma vez muito obrigado a vocês.
;D