VPN with IPSec (как в Handbook, но не работает...)

[Maestro]

Настраиваю VPN между домоv и работой. И там и там шлюзами стоит FreeBSD+NAT+IPFW.
Все делаю так, как написано в хэндбуке (кстати, в русском варианте упущено то, что инетрфейс gif нужно для начала создать: # interface gif0 create, либо в rc.conf Добавить строку gif_interfaces="gif0")
Создал интерфейс, все прописал как в хэндбуке, все поднялось, вывод ifconfig такой, какой и обещали. Далее поправил ipfw. Добавил первым правилом allow all from any to any via gif0... но пинг до другой внутренней сети не идет, проверил маршрутизацию - маршрутизация прописано (у меня так - в rc.conf:

Код: Выделить всё

 static_routes="vpn"
route_vpn="192.168.2.0 192.168.2.1 netmask 0xffffff00"

на другом конце соответственно 192.168.1.0 192.168.2.1
пинг все равно не идет. Если пинговать из первой сети например 192.168.2.2 - пинг вообще не идет. Ни ответа ни привета. А если пинговать роутер 192.168.2.1 то ответ следующий

Код: Выделить всё

ping: sendto: permission denied

Ладно, думаю я, добавляю вторым правилом allow icmp from any to any
ответ тот же - тут я уже удивился, стал копаться, подумал что дело в маршрутизации. Решил статический маршрут прописать ручками. Ввожу в первой подсетке следующее:
route add 192.168.2.0 192.168.2.1 netmask 0xffffff00
и ответ меня поражает на повал

Код: Выделить всё

route: bad address: netmask

Может кто-нить сталкивался?? Не подскажете как с этим бороться, чтобы достичь того, чтобы пинги пошли и я уже занялся шифрованием туннеля с IPSec.

PS Еще раз повторю - делал все как в handbook - (английский вариант, так как более полный)

[Kotjara]

#ifconfig create gif0 ЕМНИП в handbook упоминается
Блин ну меня не удивляет что у вас ничего не работает!
Особенно после такого

Код: Выделить всё

route_vpn="192.168.2.0 192.168.2.1 netmask 0xffffff00"

Код: Выделить всё

а другом конце соответственно 192.168.1.0 192.168.2.1

С какого чтения мануала может быть такое на др. конце тогда должно быть route_vpn="192.168.1.0/24 192.168.1.1
Делал несколько лет назад по handbook(en) никаких проблем не возникло!!!!

[Maestro]

#ifconfig create gif0 ЕМНИП в handbook упоминается
Блин ну меня не удивляет что у вас ничего не работает!
Особенно после такого

Код: Выделить всё

route_vpn="192.168.2.0 192.168.2.1 netmask 0xffffff00"

Код: Выделить всё

а другом конце соответственно 192.168.1.0 192.168.2.1

С какого чтения мануала может быть такое на др. конце тогда должно быть route_vpn="192.168.1.0/24 192.168.1.1
Делал несколько лет назад по handbook(en) никаких проблем не возникло!!!!

http://www.freebsd.org/doc/en_US.ISO8859-1...book/ipsec.html
может посмотрите??
а в русском все-таки не упоминается... Не в маршрутизации дело было, а в ipfw
а вообще странно, правило add allow all from any to any via gif0 не нужно... блин.
Так как оно не работает без правил

Код: Выделить всё

 add allow all from <внешний айпи того конца туннеля> to me
add allow all from me to <внешний айпи того конца туннеля>

а эти правила без add allow all from any to any via gif0 нормально отрабатывают
вот так вот, если это правило пишешь, то 192.168.2.1 пингуется, правда за ним, аля 192.168.2.n по прежнему не пингуется. ((

[Maestro]

А с маской Вы были правы. Корректно писать в rc.conf такие строки
ifconfig_gif0="inet a.b.c.d w.x.y.z netmask 255.255.255.255"
route_vpn="192.168.0.0/16 192.168.0.1"
тогда все получается. Но с правилами ipfw все таки что-то не так.

[Maestro]

Проблема с настройкой IPSEC продолжается. Хэндбук явно не в силах помочь, так как там есть ошибки, раз. И два - там рассматривается порт /security/racoon, а в новых ветках FreeBSD давно racoon2, а с ним все несколько по иному. В инете по этому вопросу нашел лишь один совет - ставьте racoon, а не racoon2, причем racoon находится тут /security/ipsec-tools. Меня этот совет несколько не устраивает - так как зачем тогда вообще нужен racoon2?

Теперь об очередной ошибке в хэндбуке:
хэндбук:

Код: Выделить всё

Теперь создано две трети VPN между двумя сетями, поскольку это ''виртуальная (virtual)'' ''сеть (network)''. Она еще не приватная (private). Вы можете протестировать ее с помощью ping(8) и tcpdump(1). Войдите на шлюз и запустите

tcpdump dst host 192.168.2.1
В другой сессии на этом же хосте запустите

ping 192.168.2.1
Вы увидите примерно такие строки:

16:10:24.018080 192.168.1.1 > 192.168.2.1: icmp: echo request
16:10:24.018109 192.168.1.1 > 192.168.2.1: icmp: echo reply
16:10:25.018814 192.168.1.1 > 192.168.2.1: icmp: echo request
16:10:25.018847 192.168.1.1 > 192.168.2.1: icmp: echo reply
16:10:26.028896 192.168.1.1 > 192.168.2.1: icmp: echo request
16:10:26.029112 192.168.1.1 > 192.168.2.1: icmp: echo reply

Это не верно, по крайней мере для шестой ветки, правильно будет так.

Код: Выделить всё

В одной сессии Вы запускаете
ping 192.168.2.1

А в другой сессии Вы запускаете
tcpdump -i <внешний интерфейс> ip host xxx.xxx.xxx.xxx #xxx.xxx.xxx.xxx - внешний ip удаленного хоста

Вот так - работает.

[Maestro]

Вот нашел прекрасную ссылочку по racoon2 проекту.

http://www.racoon2.wide.ad.jp/w/?Documentation

[Kotjara]

Вот нашел прекрасную ссылочку по racoon2 проекту.

http://www.racoon2.wide.ad.jp/w/?Documentation

Если Вам так не нравится русский перевод, сделайте всё по аглицкому хендбуку. Зачем раздувать проблему?

[Maestro]

Вот нашел прекрасную ссылочку по racoon2 проекту.

http://www.racoon2.wide.ad.jp/w/?Documentation

Если Вам так не нравится русский перевод, сделайте всё по аглицкому хендбуку. Зачем раздувать проблему?

В англицком хэндбуке те же самые ошибки, к сожалению.

[Kotjara]

Вот нашел прекрасную ссылочку по racoon2 проекту.

http://www.racoon2.wide.ad.jp/w/?Documentation

Если Вам так не нравится русский перевод, сделайте всё по аглицкому хендбуку. Зачем раздувать проблему?

В англицком хэндбуке те же самые ошибки, к сожалению.

Настраивал последний раз по хэндбуку 3-4 года назад, на первый взгляд вроде ничего не поменялось .....

[Aquarius]

Код: Выделить всё

grep racoon /usr/ports/MOVED

[yolkov]

А с маской Вы были правы. Корректно писать в rc.conf такие строки
ifconfig_gif0="inet a.b.c.d w.x.y.z netmask 255.255.255.255"
route_vpn="192.168.0.0/16 192.168.0.1"
тогда все получается. Но с правилами ipfw все таки что-то не так.

Спасибо за замечания, я как раз мучался с настройкой по хендбуку. А получаеться пинговать другие компы удаленной сети, не шлюзы? у меня нет.

[Aquarius]

компы удаленной сети, не шлюзы? у меня нет.

маршрут до удаленной сети есть?

[yolkov]

компы удаленной сети, не шлюзы? у меня нет.

маршрут до удаленной сети есть?

Все спасибо разобрался, просто у внутренних компов сети в шлюзе указывался IP адрес другого компа, так что в одну сторону пинги уходили а обратно не могли вернуться, небыло правильного маршрута

[yolkov]

Кто нибудь настраивал IPSec & Racoon2, вообще есть смысл в настройке racoon2?

[Maestro]

Кто нибудь настраивал IPSec & Racoon2, вообще есть смысл в настройке racoon2?

У меня есть ссылочка сверху на проект racoon2 - если Вы этим займетесь, буду очень благодарен, просто пока не имею времени, но в ближайшие выходные все таки начну свою virtual network превращать в virtual private network. А то хоть в файрволе и прописаны правила пускать только с такого-то адреса, но я не защищен от подделки сетевых адресов - раз, и трафик не шифруется - два - а это плохо, очень.

[yolkov]

У меня есть ссылочка сверху на проект racoon2 - если Вы этим займетесь, буду очень благодарен, просто пока не имею времени, но в ближайшие выходные все таки начну свою virtual network превращать в virtual private network. А то хоть в файрволе и прописаны правила пускать только с такого-то адреса, но я не защищен от подделки сетевых адресов - раз, и трафик не шифруется - два - а это плохо, очень.

я настроил приват нетворк, но с помощью ракона(сейчас вроде называються ipsectools), все хорошо работает, только хотелось бы чтобы и сетевом окружении отображались компы удаленных сетей, но видимо это нельзя сделать с помощью IPSec, или я ошибаюсь?

[Maestro]

У меня есть ссылочка сверху на проект racoon2 - если Вы этим займетесь, буду очень благодарен, просто пока не имею времени, но в ближайшие выходные все таки начну свою virtual network превращать в virtual private network. А то хоть в файрволе и прописаны правила пускать только с такого-то адреса, но я не защищен от подделки сетевых адресов - раз, и трафик не шифруется - два - а это плохо, очень.

я настроил приват нетворк, но с помощью ракона(сейчас вроде называються ipsectools), все хорошо работает, только хотелось бы чтобы и сетевом окружении отображались компы удаленных сетей, но видимо это нельзя сделать с помощью IPSec, или я ошибаюсь?

В сетевом окружении????
Для этого компы надо включить в домен, или в одну рабочую группу ))) если домен, то надо настроить репликацию между контроллерами домена. А также настроить маршрутизацию.
И то я не уверен, что компы будут отражаться в оснастке "сетевое окружение"

[yolkov]

[quote name='Maestro' post='321058' date='Jan 23 2007, в 10:11']

спасибо, попробую в домен