Разрешить трафик между OpenVpn, IpSec и локальной сетью
-
вот кусок старого конфига:
ipsec.conf - strongSwan IPsec configuration file
basic configuration
config setup
strictcrlpolicy=yes
uniqueids = no
Add connections here.
conn %default
type=tunnel
ikelifetime=60m
keylife=20m
rekeymargin=3m
keyingtries=1
keyexchange=ikev2
leftauth=psk
dpdaction=clear
dpddelay=300s
leftid=vpnserver1@jelen.tzb
auto=add
rightdns=8.8.8.8left=192.168.6.3
leftsubnet=0.0.0.0/0
right=%any
conn stanislavskogo # Магазин. Станиславского. Для роутера Zyxel Keenetic Lite III. Можно использовать как шаблон.
rightauth=psk
rightid=stanislavskogo@video.jelen.tzb
rightsubnet=10.0.2.0/24conn tzb
rightauth=psk
rightid=tzb@video.jelen.tzbrightsubnet=10.0.1.0/24
conn vasnecova
rightauth=psk
rightid=vasnecova@video.jelen.tzbrightsubnet=10.0.9.0/24
conn luch
rightauth=psk
rightid=luch@video.jelen.tzbrightsubnet=10.0.15.0/24
conn apteka
rightauth=psk
rightid=apteka@video.jelen.tzbrightsubnet=10.0.10.0/24
conn ryabina
rightauth=psk
rightid=ryabina@video.jelen.tzb -
@dimm56
Вот и сравните Ваши
right, leftid,rightid,auto,leftsubnet с такими же настройками в файле
Напишите Ваш е-мейл
я пришлю свое видение настроек , часа через 2 -
@Konstanti said in Разрешить трафик между OpenVpn, IpSec и локальной сетью:
1 Не вижу right = %any
2 rightsubnet - ошибка , скорее всего 10.0.44.0/24 должно быть так
3 посмотрите Ваш файл (параметры leftid,rightid)
4 auto = add ( должно быть так)-
Скорее всего он тут должен был появиться после того как мы изменили содержимое /etc/inc/vpn.inc. Правильно?
-
Да поправил.
-
leftid=vpnserver1@jelen.tzb т.е. email. pfsense не дает выбрать e-mail идентификатором, поэтому оставил, то что есть. Тем более что на модеме идентификатор удаленного шлюза стоит - любой.
-
Как это сделать? Где это auto прячется))))
-
-
shibanov@mail.ru
-
@dimm56 все пришлю, поясню
Какая у Вас версия pf? -
2.4.4-RELEASE-p1 (amd64)
-
@dimm56 На почте
с файлом vpn.inc -
Вообщем файлик заменил. все прошло гладко. "any" теперь прописывается в файле конфигурации.
Создал одну точку. Ф1 и Ф2. Как рекомендовали.
В целом добился максимального сходства умершего конфига с действующим. И вот что получилось...
Такое чувство, что все точки теперь пытаются через этот тоннель подключиться)))
Вроде бы и радоваться надо, но монитор говорить что тоннель не активен. Пинги в него не проходят...помогайте, в голове вообще каша после всего этого....
-
@dimm56 Попробуйте Правило создать на IPSEC интерфейсе ( разрешить все)
И откуда и куда пинги не ходят ??
-
@dimm56
Покажите полностью картинку /status/ipsec
Здесь не видно , поднялась фаза 2 или нет ? (пока меня интересует только та , точка про которую говорили - станиславского) -
А скажите мне пожалуйста надо создавать данные в разделе "Предварительно созданные ключи"? А то я там наделал все свои точки... Может быть это и не надо было делать...
-
@dimm56 Не знаю , что Вы сделали и зачем
я рекомендовал начать настройку с одной точки
покажите мне полностью картинку с /status/ipsec ( полностью по ширине ,я не вижу 2 полей и не вижу , поднялась ли фаза 2 или нет ) -
в данный момент все выглядит вот так
-
Вот... вот с этой точкой поживее будет...
Давайте от нее отталкиваться:
-
@dimm56 Ваша задача сейчас сделать так , чтобы соединение могла установить только одна точка ( Станиславского ) , потом уже будет понятно , поднялась фаза 2 или нет . если нет , смотрим логи и выясняем причину
Когда у Вас каким-то образом инициируется несколько соединений , то найти ошибку очень сложно .
Напомню , что в итоге у Вас должно получиться 1 точка -> 1 туннель ( те на каждую точку своя фаза1 и своя фаза2)Я , к примеру , не совсем понимаю , как energetik1 смог соединиться , когда я Вам для него не давал настроек
-
Да, я вас понял. Сейчас точка energetik1@video.jelen.tzb стабильно висит в статусе, как подключенная. Я звонил вчера предыдущему админу, с его слов все точки настроены одинаково, поэтому настройки и подошли. Как проверить фазу 2. Куда дальше копать? Что проверять?
-
@dimm56 Как они могут быть настроены одинаково , если у них разные rightid и возможно разные preshared key?
для поиска ошибок Вам надо изучать /status/system logs/ipsec и искать ошибки фазы 2. -
rightid все у меня есть. presharedkey то же. rightsubnet тоже есть данные.
-
@dimm56 Не совсем понял ответа
И так было понятно , что у Вас все есть
Повторю в очередной раз
Для отладки !!!
Надо создать настройки только для одного туннеля ( например , Станиславского)
в фазе 1 вбить его key,rightid
в фазе 2 указать его rightsubnet
Тогда другие точки не смогут подключиться , при условии что у них настройки этих параметров другие -
Да, я эту задачу понял. Так и сделал, как Вы сказали. Сейчас есть единственный настроенный на своих параметрах в Ipsec тоннель energetik1@video.jelen.tzb, других нет. Работает только он.