Tôi đang cố gắng thiết lập kết nối VPN IPSec giữa mạng công ty của chúng tôi và Đám mây riêng ảo của Amazon, sử dụng hệ thống VPN của họ và máy chủ Linux. Thật không may, hướng dẫn duy nhất tôi tìm thấy thảo luận về cách thiết lập đường hầm bằng máy chủ Linux và đưa máy linux đó truy cập vào các phiên bản VPC, nhưng không có cuộc thảo luận nào tôi có thể tìm thấy trực tuyến về cách lấy ví dụ để truy cập mạng công ty (hoặc phần còn lại của internet thông qua mạng đó).
Thông tin mạng
Local subnet: 10.3.0.0/25
Remote subnet: 10.4.0.0/16
Tunnel 1:
Outside IP Addresses:
- Customer Gateway: : 199.167.xxx.xxx
- VPN Gateway : 205.251.233.121
Inside IP Addresses
- Customer Gateway : 169.254.249.2/30
- VPN Gateway : 169.254.249.1/30
Tunnel 2:
Outside IP Addresses:
- Customer Gateway: : 199.167.xxx.xxx
- VPN Gateway : 205.251.233.122
Inside IP Addresses
- Customer Gateway : 169.254.249.6/30
- VPN Gateway : 169.254.249.5/30
Đây là /etc/ipsec-tools.conf:
flush;
spdflush;
spdadd 169.254.249.2/30 169.254.249.1/30 any -P out ipsec
esp/tunnel/199.167.xxx.xxx-205.251.233.121/require;
spdadd 169.254.249.1/30 169.254.249.2/30 any -P in ipsec
esp/tunnel/205.251.233.121-199.167.xxx.xxx/require;
spdadd 169.254.249.6/30 169.254.249.5/30 any -P out ipsec
esp/tunnel/199.167.xxx.xxx-205.251.233.122/require;
spdadd 169.254.249.5/30 169.254.249.6/30 any -P in ipsec
esp/tunnel/205.251.233.122-199.167.xxx.xxx/require;
spdadd 169.254.249.2/30 10.4.0.0/16 any -P out ipsec
esp/tunnel/199.167.xxx.xxx-205.251.233.121/require;
spdadd 10.4.0.0/16 169.254.249.2/30 any -P in ipsec
esp/tunnel/205.251.233.121-199.167.xxx.xxx/require;
spdadd 169.254.249.6/30 10.4.0.0/16 any -P out ipsec
esp/tunnel/199.167.xxx.xxx-205.251.233.122/require;
spdadd 10.4.0.0/16 169.254.249.6/30 any -P in ipsec
esp/tunnel/205.251.233.122-199.167.xxx.xxx/require;
Đây là /etc/racoon/racoon.conf:
remote 205.251.233.122 {
exchange_mode main;
lifetime time 28800 seconds;
proposal {
encryption_algorithm aes128;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group 2;
}
generate_policy off;
}
remote 205.251.233.121 {
exchange_mode main;
lifetime time 28800 seconds;
proposal {
encryption_algorithm aes128;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group 2;
}
generate_policy off;
}
sainfo address 169.254.249.2/30 any address 169.254.249.1/30 any {
pfs_group 2;
lifetime time 3600 seconds;
encryption_algorithm aes128;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
}
sainfo address 169.254.249.6/30 any address 169.254.249.5/30 any {
pfs_group 2;
lifetime time 3600 seconds;
encryption_algorithm aes128;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
}
BGP đang hoạt động tốt, vì vậy tôi sẽ không đăng những cấu hình đó.
Đây là những gì hoạt động
- Từ hộp Linux, tôi có thể ping các điểm cuối cục bộ (169.254.249.2/169.254.249.6) và các điểm tương đương từ xa của chúng (169.254.249.1/169.254.249.5).
- Tôi cũng có thể ping các thể hiện trong VPC, SSH cho họ, v.v.
- Từ các phiên bản từ xa trong VPC, tôi cũng có thể ping các điểm cuối cục bộ và từ xa
- Tôi không thể ping máy chủ cục bộ trên mạng con 10.3.0.0/25
Tôi cho rằng tôi đang thiếu một cái gì đó đơn giản, nhưng tôi đã thử thêm các mục vào ipsec-tools.conf để phản chiếu {điểm cuối cục bộ} <-> {mạng con từ xa}, sử dụng {mạng con cục bộ} <-> {điểm cuối từ xa}, nhưng nó dường như không hoạt động.
Khi tôi ping từ {thể hiện từ xa} đến {máy chủ cục bộ}, thời gian chờ ping. Các gói được hiển thị trên giao diện eth0 (mặc dù mạng cục bộ nằm trên eth1).
Google đã giúp đỡ rất ít; nó chỉ hiển thị những người đang cố gắng sử dụng OpenSwan hoặc gặp sự cố tương tự nhưng với bộ định tuyến phần cứng hoặc sử dụng các công cụ cũ hơn.