Openswan kết nối với nhiều mạng con bên phải không hoạt động

Tôi đang cố gắng sử dụng Openswan (phiên bản 2.6.37) để kết nối VPN IPsec từ mạng cục bộ của tôi với một trang web từ xa. Mọi thứ hoạt động tốt khi tôi chỉ muốn kết nối với một mạng con duy nhất trên trang web từ xa. Tuy nhiên, trang web từ xa cũng có thêm một mạng con mà tôi muốn truy cập.

Đây là cấu hình của tôi:

conn myConn
        type=tunnel
        left=192.168.139.14
        leftsubnet=192.168.139.0/24
        leftxauthclient=yes
        right=X.X.X.X
        rightsubnet=172.16.1.0/24
        keyexchange=ike
        auth=esp
        authby=secret
        phase2alg=3des-sha1
        pfs=yes

Khi tôi thay thế rightsubnetbằng rightsubnets, như vậy:

rightsubnets={172.16.1.0/24 192.168.3.0/24}

... Sau đó, kết nối được tạo thành công nhưng chỉ có mạng con cuối cùng trong danh sách khả dụng. Bất kỳ nỗ lực để ping bất cứ điều gì trên 172.16.1.0mạng con đều thất bại. Nếu tôi trao đổi thứ tự của các mạng con xung quanh thì tôi có thể ping 172.16.1.Xnhưng không thể ping bất cứ thứ gì trên mạng con khác. Như thể Openswan chỉ sử dụng mạng con cuối cùng trong danh sách để tạo kết nối.

Tôi đang làm gì đó sai ở đây?

Một chút thông tin bổ sung mà tôi đã bỏ qua để đề cập (mặc dù tôi không chắc là nó có liên quan): Ứng dụng khách Openswan của tôi đứng sau bộ định tuyến sử dụng NAT và tôi có nat_traversal=yestrong ipsec.conftệp của mình .

Có vẻ như dấu tách thông thường cho nhiều mạng con là dấu phẩy , nhưng ít nhất openswan-2.6.32 cũng hoạt động với khoảng trắng.

Thông tin thú vị nên được đăng nhập để /var/log/securecó thể chứa manh mối tại sao nó không hoạt động. Cũng gửi đầu ra của ip x s shvà ip x p sh.

Tạo conncấu hình phần cho mỗi mạng con trên CẢ HAI điểm cuối của đường hầm. Chỉ một trong số họ (lần đầu tiên bắt đầu) sẽ bắt đầu một cuộc đàm phán SA, lần thứ hai (hoặc nhiều hơn) sẽ chỉ thực hiện một SPD mới của các mạng con tiếp theo.

Nếu bạn sử dụng rightsubnetsbạn phải sử dụng leftsubnetslà tốt, không leftsubnet. Ngay cả khi chỉ có một mạng con ở bên đó. Trang người đàn ông ipsec.conf không làm tốt công việc giải thích điều này, nhưng nó ở đó.

Tôi đã gặp vấn đề tương tự trong nhiều tháng và chỉ tìm thấy câu trả lời ở đây: /server/571352/openswan-multipl-subnets-routing- phát hành

Có vẻ như có một lỗi trong OpenSwan khi danh sách mạng con cần thêm dấu phẩy ở cuối để hoạt động chính xác. Thử:

rightsubnets={172.16.1.0/24,192.168.3.0/24,}

Lưu ý dấu phẩy thừa ở cuối.

Nó nên như thế này

rightsubnets={172.16.1.0/24,192.168.3.0/24}

Sử dụng dấu phẩy ( ,) và không phải khoảng trắng để phân tách các mục.