nat local network to vti interface ip

[sergiybt]

@Konstanti
Вот если брать и делать пинг с 10.255.2.142 на 141

Если я пинг делаю с 192.168.101.1 на 141 не проходит
, правило нат перевёл вручную ниже

[Konstanti]

Исходящий NAT не работает
Надо подумать.
Как вариант, попросить партнёра, чтобы он у себя прописал Вашу 192.х.х.х сеть в таблице маршрутизации

[Konstanti]

@sergiybt можете показать содержимое файла /tmp/rules.debug? То что касается раздела NAT.
Outbound NAT rules
Или вывод команды
pfctl -s nat

[werter]

@sergiybt

Таблицу марш-ции с пф покажите при поднятом туннеле.

Очень странная ситуация так как и интерфейса VTI пинг проходит и порты открываются.
Если я пинг делаю с 192.168.101.1 на 141 не проходит

И не будет проходить ping. Вы правило fw на ЛАН добавьте, о к-ом я говорил. Только выше всех его вклячьте. И проверьте. Пф же все ваши пакеты сует в дефолтный GW согласно правилу fw на ЛАН. И туннельный gw точно не является дефолтным для пф.

В вашем случае и интерфейсы явно для ipsec создавать и НАТить, возможно, не надо.

Зы. У вас пф как ВМ живет? Если да, то чего кошерный virtio не пользуете для сетевых?

[sergiybt]

@werter Добрый.
Так да виртуальная машина что сделал и чего добился
1 прописал нат правильный, перевёл нат в ручной режим как везде советуют.

Дальше пробовал сделать тест порта отрабатывает ли правило NAT и вот что получается, что правило отрабатывает на VTI интерфейсе

Но получается что пакеты не проходят.
Ещё читал что есть баги в версии 2.4.4 у меня она именно и стоит.
Вот правила лан

[sergiybt]

Может где галочку какую надо поставить ума не приложу.

[werter]

@sergiybt

Так. Давайте разбираться.
Вы открыли только TCP в правиле для туннеля и пытаетесь пользовать ping (ICMP) для проверки доступности? Откройте всё (на время). И проверяйте.

Зы. Переведите НАТ в Авто. Не трогайте вы его.

[sergiybt]

@werter Уже и так и сяк пробовал и как только не пробовал. Вы не подумайте я немного соображаю и пересмотрел кучу видео но он не взлетает.

[werter]

@sergiybt
Отписал в чат.

[Konstanti]

@sergiybt Если пинги идут , а tcp не работает
и у Вас виртуальная ам - отключайте расчет контрольных сумм tcp пакетов адаптером (пусть этим ядро занимается )
то что Вы показали (вывод tcpdump ) говорит о том , что SYN пакеты идут , а ответа нет ( NAT Outbound работает ) - самая вероятная причина - это неверная контрольная сумма tcp пакета (опять же , при условии , что второй участник соединения открыл порт 10080 для соединения)
покажите вывод команды
ifconfig -m