Forum Debian Users Gang

czadman · 2007-09-27 23:09:25

Mam do rozwiązania problem z IPsec. Skonfigurowałem sobie połączenie net-to-net. Połączenie jest zestawione. Wygląda to mniej więcej tak. Robiłem wg receptury jak w linku.
[url=http://www.linuxhomenetworking.com/wiki/index.php/Quick_HOWTO_:_Ch35_:_Configuring_Linux_VPNs#How_to_get_Openswan_Started][img]http://www.linuxhomenetworking.com/wiki/images/f/f3/Freeswan.gif[/img][/url]

Po jednej stronie jest wszystko w porządku. Jak z prawej strony pinguję sieć po lewej stronie tunelu to jest ok. Na interfejsie zewnętrznym na lewym końcu tulnelu stwierdzam taki ruch:

Kod:

# tcpdump -v -i eth0 -n -p esp
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
22:46:36.087462 IP (tos 0x0, ttl  57, id 0, offset 0, flags [DF], length: 152) 89.79.xxx.xxx > 80.48.xxx.xxx: ESP(spi=0x16f8e3f7,seq=0x18c)
22:46:36.087734 IP (tos 0x0, ttl  64, id 51356, offset 0, flags [none], length: 152) 80.48.xxx.xxx > 89.79.xxx.xxx: ESP(spi=0xfc754b67,seq=0x504)

Kod:

# tcpdump -v -i eth0 -n -p icmp
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
22:46:22.091565 IP (tos 0x0, ttl  63, id 0, offset 0, flags [DF], length: 84) 192.168.22.127 > 192.168.0.10: icmp 64: echo request seq 6
22:46:23.088015 IP (tos 0x0, ttl  63, id 0, offset 0, flags [DF], length: 84) 192.168.22.127 > 192.168.0.10: icmp 64: echo request seq 7

Pakiety są dekodowane i dalej sobie idą tak jak powinny i pingi wracają. Natomiast kiedy pinguję z lewej strony prawą, to na zewnętrznym interfejsie na prawym końcu tunelu pojawiają się tylko pakiety esp, pakietów icmp już nie stwierdzam, no i pingi nie wracają.

Kod:

# tcpdump  -n -i dialog -p esp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on dialog, link-type EN10MB (Ethernet), capture size 96 bytes
22:56:45.139963 IP 80.48.xxx.xxx > 89.79.xxx.xxx: ESP(spi=0xfc75cf29,seq=0x7c3d0775), length 132
22:56:46.141805 IP 80.48.xxx.xxx > 89.79.xxx.xxx: ESP(spi=0xfc75cf29,seq=0x7c3d0776), length 132

Dodam, że politykę iptables na rozważanym interfejsie mam na ACCEPT.
Gdzie może leżeć błąd albo przyczyna?

zlyZwierz · 2007-09-27 23:15:01

U mnie to był lipny routing ... nawet nie tyle routing co lejm admin :)

- urządzenia, które odpowiadały mi po jednej stronie miały wpisaną domyślną bramę , natomiest te które nie chciały w drugą stronę odpowadać (identyczna sytuacja jak u Ciebie) owej domyślnej bramy wpisanej nie miały :)

czadman · 2007-09-27 23:52:18

Analizowałem routing parę razy. Może coś jest nie tak. Tak wygląda na tej bramce, po której stronie jest cisza:

Kod:

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.22.0    0.0.0.0         255.255.255.0   U     0      0        0 do_mnie
192.168.1.0     0.0.0.0         255.255.255.0   U     0      0        0 duzy
192.168.0.0     89.79.xxx.1     255.255.255.0   UG    0      0        0 dialog
89.79.xxx.0      0.0.0.0         255.255.255.0   U     0      0        0 dialog
0.0.0.0         89.79.xxx.1      0.0.0.0         UG    0      0        0 dialog

a tak na maszynie docelowej:

Kod:

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.22.0    0.0.0.0         255.255.255.0   U     0      0        0 eth0
0.0.0.0         192.168.22.1    0.0.0.0         UG    0      0        0 eth0

Wydaje mi się, że jest dobrze, ale o tej porze mam już zlasowane fałdy pod przykryciem

czadman · 2007-10-01 13:04:58

Ostatecznie skonfigurowałem dostęp do sieci przez IPsec/L2TP. Jednak jest jeszcze, ostatnio popularne, rozwiązanie OpenVPN, bazowane na SSL. Jakie są Wasze opinie na temat obu technologii, którą stosujecie i dlaczego?

kayo · 2007-10-01 14:13:53

Ostatecznie skonfigurowałem dostęp do sieci przez IPsec/L2TP. Jednak jest jeszcze, ostatnio popularne, rozwiązanie OpenVPN, bazowane na SSL. Jakie są Wasze opinie na temat obu technologii, którą stosujecie i dlaczego?[/quote]
Ja stosuje OpenVPN. Nie ma z nim żadnych problemów. Konfiguracja jest banalna.

Having a Windows 95 box hooked to the internet is akin to walking naked into a prison carrying a carton of cigarettes.
-----------------
jid: kayo77//gmail.com gg #1046710

Time (s)	Query
0.00013	SET CHARSET latin2
0.00005	SET NAMES latin2
0.00093	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='18.224.31.82' WHERE u.id=1
0.00068	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '18.224.31.82', 1732539078)
0.00057	SELECT * FROM punbb_online WHERE logged<1732538778
0.00073	DELETE FROM punbb_online WHERE ident='185.191.171.7'
0.00077	SELECT topic_id FROM punbb_posts WHERE id=73962
0.00008	SELECT id FROM punbb_posts WHERE topic_id=9222 ORDER BY posted
0.00080	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=9222 AND t.moved_to IS NULL
0.00008	SELECT search_for, replace_with FROM punbb_censoring
0.00257	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=9222 ORDER BY p.id LIMIT 0,25
0.00073	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=9222
Total query time: 0.00812 s

Forum Debian Users Gang

Ogłoszenie

#1 2007-09-27 23:09:25

czadman - Bicycle repairman

IPsec/OpenVPN

Kod:

Kod:

Kod:

#2 2007-09-27 23:15:01

zlyZwierz - Moderator

Re: IPsec/OpenVPN

#3 2007-09-27 23:52:18

czadman - Bicycle repairman

Re: IPsec/OpenVPN

Kod:

Kod:

#4 2007-10-01 13:04:58

czadman - Bicycle repairman

Re: IPsec/OpenVPN

#5 2007-10-01 14:13:53

kayo - Członek DUG

Re: IPsec/OpenVPN

#6 2007-10-01 14:19:02

czadman - Bicycle repairman

Re: IPsec/OpenVPN

#7 2007-10-01 14:41:51

kayo - Członek DUG

Re: IPsec/OpenVPN

#8 2007-10-02 12:14:35

czadman - Bicycle repairman

Re: IPsec/OpenVPN

#9 2007-10-02 13:01:07

kayo - Członek DUG

Re: IPsec/OpenVPN

#10 2007-10-02 14:07:01

czadman - Bicycle repairman

Re: IPsec/OpenVPN

#11 2007-10-02 14:41:32

kayo - Członek DUG

Re: IPsec/OpenVPN

Kod:

#12 2007-10-05 07:27:13

czadman - Bicycle repairman

Re: IPsec/OpenVPN

#13 2007-10-05 08:06:23

kayo - Członek DUG

Re: IPsec/OpenVPN

#14 2007-10-28 18:48:42

HunteR - DUG

Re: IPsec/OpenVPN

#15 2007-10-28 20:40:46

czadman - Bicycle repairman

Re: IPsec/OpenVPN

#16 2007-10-28 20:59:46

BaB - Członek DUG

Re: IPsec/OpenVPN

#17 2007-10-28 21:02:32

cthulhu - Członek DUG

Re: IPsec/OpenVPN

#18 2007-10-31 14:11:37

blink - Użytkownik

Re: IPsec/OpenVPN

#19 2007-10-31 15:38:22

czadman - Bicycle repairman

Re: IPsec/OpenVPN

Stopka forum

Informacje debugowania