Vpn

如何為 Openswan 和 RouterOS 之間的 IPSEC 隧道配置路由

  • May 9, 2014

我正在嘗試在執行的 Linux 路由器openswanshorewall主機A,服務子網 10.10.0.0/16)和執行的 MikroTek RouterBoard RouterOS 6.3(主機B,服務 192.168.88.0/24)之間創建站點到站點 VPN。

IPSEC 隧道本身似乎已啟動,主機A說:

# service ipsec status
IPsec running  - pluto pid: 4292
pluto pid 4292
1 tunnels up
some eroutes exist

和:

#ipsec auto --status
<SNIP>
000 #2: "office-connect":500 STATE_QUICK_I2 (sent QI2, IPsec SA established); EVENT_SA_REPLACE in 27422s; newest IPSEC; eroute owner; isakmp#1; idle; import:admin initiate
000 #2: "office-connect" esp.65bcd1d@<REDACTED> esp.c8d18ebd@<REDACTED> tun.0@<REDACTED> tun.0@<REDACTED> ref=0 refhim=4294901761
000 #1: "office-connect":500 STATE_MAIN_I4 (ISAKMP SA established); EVENT_SA_REPLACE in 2348s; newest ISAKMP; lastdpd=72s(seq in:0 out:0); idle; import:admin initiate

在主機B上:

/ip ipsec remote-peers print
0 local-address=<REDACTED> remote-address=<REDACTED> state=established side=responder established=11m26s 

和:

/ip ipsec policy print
Flags: T - template, X - disabled, D - dynamic, I - inactive 
0    src-address=192.168.88.0/24 src-port=any dst-address=10.10.0.0/16 dst-port=any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes 
     sa-src-address=<REDACTED> sa-dst-address=<REDACTED> proposal=Office-Connect priority=0

我按照http://www.shorewall.net/IPSEC-2.6.html>上的說明進行配置`shorewall`,並按照<http://wiki.mikrotik.com/wiki/Manual:IP/IPsec設置 NAT 繞過規則。

但是,我實際上無法在A上通過隧道獲取任何數據包:

# ping -c4 192.168.88.1
PING 192.168.88.1 (192.168.88.1) 56(84) bytes of data.

--- 192.168.88.1 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 3016ms

B上:

/ping count=4 10.10.0.1
HOST                                     SIZE TTL TIME  STATUS                                                                                               
10.10.0.1                                               timeout                                                                                              
10.10.0.1                                               timeout                                                                                              
10.10.0.1                                               timeout                                                                                              
10.10.0.1                                               timeout                                                                                              
   sent=4 received=0 packet-loss=100% 

我有點茫然如何進行,我在網路方面的經驗不是太好。所以我會對任何提示有所幫助,甚至只是如何調試這個問題。如果需要,我很樂意提供額外的配置範例或日誌輸出。非常感謝!

如果其他人有同樣的問題,這就是解決方案……問題是我在shorewall盒子上有另一個 VPN 設置,這是一個 L2TP 公路戰士設置,稱為vpn(站點到站點 VPN 被命名ovpn)所以我的/etc/shorewall/zones文件看起來像這:

#ZONE           TYPE            OPTIONS         IN                      OUT
#                                               OPTIONS                 OPTIONS
&lt;SNIP&gt;
vpn             ipsec
l2tp            ipv4
ovpn            ipv4

/etc/shorewall/hosts喜歡這樣:

#ZONE   HOST(S)                                 OPTIONS
vpn     eth0:0.0.0.0/0
ovpn    eth0:192.168.88.0/24,&lt;REDACTED&gt; ipsec

事實證明,zone 文件中的 zone 聲明順序很重要(但不在 hosts 文件中)——因為每個連接都會shorewall選擇第一個匹配的 zone。由於vpnzone 有一個 hosts 條目與每個遠端主機匹配,因此所有ovpn連接都將由vpnzone 匹配,然後路由到xl2tpd,這當然不起作用。

所以我顛倒了 and 的區域條目vpnovpn一切正常。

引用自:https://serverfault.com/questions/540967