Регистрация Войти
Рейтинг:0
Gnujeremie avatar Server

Исходный IP-адрес NAT в Strongswan IPSEC VPN на Amazon EC2

флаг in
Gnujeremie

Хорошо, во-первых, нетворкинг не моя сильная сторона...

У меня есть экземпляр Amazon Linux EC2 с IP-адресом 172.31.46.176, подключенный к IPSEC VPN с помощью strongswan:

подключение aws к другому
        тип=туннель
        авто=старт
        обмен ключами=ikev2
        авторизация = секрет
        # сервер локали IP
        слева=172.31.46.176
        # Публичный IP-сервер
        левый ID=ХХ.ХХ.ХХ.ХХ
        # Sous réseau местный
        левая подсеть = 10.255.254.0/24
        # Публичный удаленный IP
        справа = ГГ.ГГ.ГГ.ГГ
        # Sous réseau далекий
        правая подсеть = 172.16.91.0/24
        ike=aes256-sha2_256-modp2048!
        esp=aes256-sha256-modp2048!
        агрессивный = нет
        keyingtries=%навсегда
        ikelifetime=86400с
        срок службы = 3600 с
        dpddelay=30s
        dpdtimeout = 120 с
        dpdaction=перезагрузка

Ссылка активна и подключена.

Другой хост также использует IP-адреса 172.16.X.X. Чтобы связаться с его машиной с IP-адресом 172.16.91.213, я должен настроить правило NAT, чтобы оно отображалось так, как будто мой IP-адрес ОТ 10.255.254.0/24.

До сих пор :

  • Я включил переадресацию IP (/proc/sys/net/ipv4/ip_forward)

  • Я отключил проверку источника/получателя в конфигурации сети инстанса EC2.

  • Я пытался iptables -t nat -A POSTROUTING -s 10.255.254.0/24 -o eth0 -m policy --dir out --pol ipsec -j ACCEPT iptables -t nat -A POSTROUTING -s 10.255.254.0/24 -o eth0 -j МАСКАРАД от https://wiki.strongswan.org/projects/strongswan/wiki/ForwardingAndSplitTunneling

  • Я игрался с правилами iptables, но пока не очень хорошо.

Я в растерянности, если кто-нибудь может указать мне в любом направлении, я был бы очень благодарен.

Спасибо

243
0 + 1
флаг cn
ecdsa
Правила NAT на этой странице и те, которые вы разместили выше, предназначены для трафика NAT из определенной подсети (`-s ...`) на физический IP-адрес сервера (`-j MASQUERADE`). Вам определенно нужно изменить или удалить параметр `-s` (вы можете использовать свою локальную подсеть `172.16.x.x/x`), и вы, вероятно, захотите использовать что-то вроде `-j SNAT --to-source 10.255.254.1` ( т. е. транслировать весь трафик на один IP-адрес в туннелируемой подсети). В качестве альтернативы вы можете использовать цель NETMAP для сопоставления IP-адресов из вашей подсети 172.16.x.x с подсетью 10.255.254.0/24.
0
Ответить
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.