Tôi đang thiết lập VPN bằng cách sử dụng strongSwan giữa phiên bản Linux trên phiên bản Amazon EC2 và mạng từ xa thông qua bộ tập trung Cisco. Tôi cần định tuyến các gói từ bản thân Linux, một máy trong mạng con từ xa.

Kết nối được thiết lập OK, nhưng không có gói nào được định tuyến.

Tôi nghĩ rằng tôi cần phải thiết lập một số quy tắc định tuyến cụ thể, tôi nên làm thế nào để làm điều đó?

Phần mềm

• Nhân Linux 3.5.0-41,
• Ubuntu 12.10,
• strongSwan 5.1.1 (được xây dựng từ nguồn),
• iptables - không có quy tắc.

Mạng

Địa phương

• Amazon đàn hồi IP: 56.xxx
• IP LAN phải đối mặt công khai: 172.xxx
• Mạng con ảo cục bộ: 10.254.0.0/16
• IP ảo cục bộ: 10.254.5.174

Xa xôi

• IP công cộng của bộ tập trung Cisco: 62.xxx
• Mạng con từ xa: 10.192.0.0/12

Cấu hình

ipsec.conf

config setup

conn %default
    keyexchange = ikev1
    type = tunnel
    ikelifetime = 86400
    keylife = 28800
    keyingtries = %forever
    esp = 3des-sha
    ike = 3des-md5-modp1024
    forceencaps = yes
    leftauth = psk
    rightauth = psk

conn myconnection
    left = 172.x.x.x
    leftsubnet = 10.254.0.0/16
    leftsourceip = 10.254.5.174
    leftfirewall = yes
    right = 62.x.x.x
    rightsubnet = 10.192.0.0/12
    auto = route

include /var/lib/strongswan/ipsec.conf.inc

mạnh mẽ

charon {
    cisco_unity             = yes
    install_routes          = yes
    install_virtual_ip      = yes
    threads                 = 16
    plugins {
        sql {
            loglevel = -1
        }
    }

    filelog {
        /var/log/charon.log {
            time_format = %b %e %T
            default = 3
            flush_line = yes
        }
    }
}

pluto {
}

libstrongswan {
}

trạng thái ipsec

# ipsec statusall
Status of IKE charon daemon (strongSwan 5.1.1, Linux 3.5.0-41-generic, x86_64):
  uptime: 4 days, since Jan 22 14:24:08 2014
  malloc: sbrk 270336, mmap 0, used 222672, free 47664
  worker threads: 11 of 16 idle, 5/0/0/0 working, job queue: 0/0/0/0, scheduled: 3445
  loaded plugins: charon aes des rc2 sha1 sha2 md5 random nonce x509 revocation constraints pubkey pkcs1 pkcs7 pkcs8 pkcs12 pgp dnskey sshkey pem fips-prf gmp xcbc cmac hmac attr kernel-netlink resolve socket-default stroke updown xauth-generic
Listening IP addresses:
  172.x.x.x
  54.x.x.x
Connections:
    smsbrick:  172.x.x.x...62.x.x.x  IKEv1
    smsbrick:   local:  [172.x.x.x] uses pre-shared key authentication
    smsbrick:   remote: [62.x.x.x] uses pre-shared key authentication
    smsbrick:   child:  10.254.0.0/16 === 10.192.0.0/12 TUNNEL
Routed Connections:
    smsbrick{1}:  ROUTED, TUNNEL
    smsbrick{1}:   10.254.0.0/16 === 10.192.0.0/12 
Security Associations (1 up, 0 connecting):
    smsbrick[8150]: ESTABLISHED 1 second ago,    172.x.x.x[172.x.x.x]...62.x.x.x[62.x.x.x]
    smsbrick[8150]: IKEv1 SPIs: xxxxxxxxxxxxxx_i* xxxxxxxxxxxxx_r, pre-shared key reauthentication in 23 hours
    smsbrick[8150]: IKE proposal: 3DES_CBC/HMAC_MD5_96/PRF_HMAC_MD5/MODP_1024
    smsbrick[8150]: Tasks queued: QUICK_MODE 
    smsbrick[8150]: Tasks active: MODE_CONFIG

ip xfrm

# ip xfrm policy
src 10.192.0.0/12 dst 10.254.0.0/16 
        dir fwd priority 3987 
        tmpl src 62.x.x.x dst 172.x.x.x
                proto esp reqid 1 mode tunnel
src 10.192.0.0/12 dst 10.254.0.0/16 
        dir in priority 3987 
        tmpl src 62.x.x.x dst 172.x.x.x
                proto esp reqid 1 mode tunnel
src 10.254.0.0/16 dst 10.192.0.0/12 
        dir out priority 3987 
        tmpl src 172.x.x.x dst 62.x.x.x
                proto esp reqid 1 mode tunnel
src 0.0.0.0/0 dst 0.0.0.0/0 
        socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
        socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
        socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
        socket out priority 0 
src ::/0 dst ::/0 
        socket in priority 0 
src ::/0 dst ::/0 
        socket out priority 0 
src ::/0 dst ::/0 
        socket in priority 0 
src ::/0 dst ::/0 
        socket out priority 0

Xin lỗi vì không cần thiết về chủ đề này, không có nhiều thông tin ngoài kia ở một nơi trên cấu hình cụ thể này về mặt khắc phục sự cố.

Cấu hình của tôi:

• AWS: Strongswan 5.1.3
• Corp: Cisco ASA5520 8.4 (4) 1

Triệu chứng:

1. Có thể khởi tạo đường hầm và ping từ LAN riêng của Cisco ASA sang LAN riêng AWS luôn.

2. Khi hết thời gian chờ / khởi động lại đường hầm, tôi không thể khởi tạo hoặc ping từ AWS sang Cisco ASA trừ khi / cho đến khi lưu lượng được tạo từ phía Cisco ASA. IPSEC STATUSALLtiết lộ

   Tasks active: MODE_CONFIG
   Tasks queued: QUICK_MODE
   

Tôi thấy rằng với modeconfig=pushvà leftsourceip=cả hai cấu hình, nó đã bị kẹt tại:

Tasks active: MODE_CONFIG
Tasks queued: QUICK_MODE

Loại bỏ modeconfig=pushtrái nó bị mắc kẹt tại:

Tasks active: MODE_CONFIG

Loại bỏ leftsourceip=đã làm các mẹo và tất cả mọi thứ đã lên và ổn định cả hai cách.

Tôi cho rằng hai cái đó là cần thiết bởi PIX, có thể là một phiên bản cũ hơn của ASA nhưng không phải là phiên bản này.