Регистрация Войти
Рейтинг:2
avatar Server

Проблема с маршрутизацией VPN-трафика между двумя VPN-подключениями — AWS и Generic IKEv2 / libreswan

флаг cn
GioMac

Есть несколько сайтов, один из них выступает в роли промежуточного маршрутизатора между двумя:

  1. АМС ВКК (10.10.0.0/24)
  2. VPN-сервер Libreswan (10.20.0.0/24)
  3. Микротик VPN-маршрутизатор (10.30.0.0/24)

хост1 находится в AWS VPC, хост2 подключен к микротику

VPN работает, каждое соединение работает отдельно, статусы выглядят нормально.

host2 пингует host1, пакеты приходят через libreswan на host1, host1 отвечает, все пакеты приходят на libreswan, но не передаются на host2. Кроме того, пакеты, инициированные с хоста 2, могут достигать libreswan, но не передаются на хост 1. Я полагаю, что для ipsec все без гражданства и это та же проблема.

iptables nat (ручная настройка):

-A ОТПРАВКА -j ПРИНЯТЬ -d 10.10.0.0/24
-A ОТПРАВКА -j ПРИНЯТЬ -d 10.20.0.0/24

Фильтр iptables (ручная настройка):

-A ВПЕРЕД -j ПРИНЯТЬ

таблица маршрутизации @libreswan (IP-маршрут, добавленный libreswan):

10.10.0.0/24 dev eth0 ссылка на область видимости mtu 1436
10.20.0.0/24 dev eth0 ссылка на область видимости mtu 1436

Подобные подключения с множеством комбинаций к другим сайтам работают нормально в любом случае - разница заключается в VPN-подключении AWS-Libreswan.

Есть ли что-то, что я упускаю? Где я должен искать?

571
0 + 5
флаг cn
GioMac
(и получается практически то же самое с strongswan, CentOS 8)
0
Ответить
bocian85 avatar
флаг cn
bocian85
AWS имеет довольно обширную систему брандмауэра, возможно, проблема заключается в маршрутизации пакетов GRE.Это протокол 47, а не порт 47, можете ли вы предоставить информацию о настройке брандмауэра на этом экземпляре AWS? Также это какой-то плавающий IP или просто общедоступный.
0
Ответить
флаг cn
GioMac
@ bocian85 нет экземпляра aws, он не имеет ничего общего с брандмауэрами
0
Ответить
bocian85 avatar
флаг cn
bocian85
AWS VPC без инстансов? Хорошо, я вижу, если вы можете предоставить какой-нибудь график, чтобы лучше описать эту инфраструктуру, вы ссылаетесь на host1 host2 и site1 site2 site3, я просто предполагаю, что host1 находится на site1 или что-то в этом роде. Разработайте подробнее пожалуйста. Но из того, что я здесь вижу, проблема, скорее всего, либо в асимметричной маршрутизации, либо где-то в брандмауэре.
0
Ответить
флаг cn
GioMac
это не асимметричная маршрутизация. брандмауэра нигде нет. это не проблема в общей маршрутизации. это проблема конкретного хоста libreswan, и брандмауэр может действовать как переводчик или что-то в этом роде...
0
Ответить
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.