web-dev-qa-db-ja.com

Strongswan VPNは確立されていますが、パケットはルーティングされていません

Amazon EC2インスタンス上のLinuxインスタンスとCiscoコンセントレータを介したリモートネットワークの間にstrongSwanを使用してVPNを設定しています。 Linuxインスタンス自体からのパケットをリモートサブネットのマシンにルーティングする必要があります。

接続は確立されましたが、パケットはルーティングされません。

特定のルーティングルールを設定する必要があると思いますが、どうすればよいですか？

ソフトウェア

  • Linuxカーネル3.5.0-41、
  • Ubuntu 12.10、
  • strongSwan 5.1.1（ソースから作成）、
  • iptables-ルールなし。

通信網

地元

  • Amazon Elastic IP：56.x.x.x
  • 公衆LAN IP：172.x.x.x
  • ローカル仮想サブネット：10.254.0.0/16
  • ローカル仮想IP：10.254.5.174

リモート

  • CiscoコンセントレータのパブリックIP：62.x.x.x
  • リモートサブネット：10.192.0.0/12

構成

ipsec.conf

config setup

conn %default
    keyexchange = ikev1
    type = tunnel
    ikelifetime = 86400
    keylife = 28800
    keyingtries = %forever
    esp = 3des-sha
    ike = 3des-md5-modp1024
    forceencaps = yes
    leftauth = psk
    rightauth = psk

conn myconnection
    left = 172.x.x.x
    leftsubnet = 10.254.0.0/16
    leftsourceip = 10.254.5.174
    leftfirewall = yes
    right = 62.x.x.x
    rightsubnet = 10.192.0.0/12
    auto = route

include /var/lib/strongswan/ipsec.conf.inc

strongswan.conf

charon {
    Cisco_unity             = yes
    install_routes          = yes
    install_virtual_ip      = yes
    threads                 = 16
    plugins {
        sql {
            loglevel = -1
        }
    }

    filelog {
        /var/log/charon.log {
            time_format = %b %e %T
            default = 3
            flush_line = yes
        }
    }
}

pluto {
}

libstrongswan {
}

ipsec statusall

# ipsec statusall
Status of IKE charon daemon (strongSwan 5.1.1, Linux 3.5.0-41-generic, x86_64):
  uptime: 4 days, since Jan 22 14:24:08 2014
  malloc: sbrk 270336, mmap 0, used 222672, free 47664
  worker threads: 11 of 16 idle, 5/0/0/0 working, job queue: 0/0/0/0, scheduled: 3445
  loaded plugins: charon aes des rc2 sha1 sha2 md5 random nonce x509 revocation constraints pubkey pkcs1 pkcs7 pkcs8 pkcs12 pgp dnskey sshkey pem fips-prf gmp xcbc cmac hmac attr kernel-netlink resolve socket-default stroke updown xauth-generic
Listening IP addresses:
  172.x.x.x
  54.x.x.x
Connections:
    smsbrick:  172.x.x.x...62.x.x.x  IKEv1
    smsbrick:   local:  [172.x.x.x] uses pre-shared key authentication
    smsbrick:   remote: [62.x.x.x] uses pre-shared key authentication
    smsbrick:   child:  10.254.0.0/16 === 10.192.0.0/12 TUNNEL
Routed Connections:
    smsbrick{1}:  ROUTED, TUNNEL
    smsbrick{1}:   10.254.0.0/16 === 10.192.0.0/12 
Security Associations (1 up, 0 connecting):
    smsbrick[8150]: ESTABLISHED 1 second ago,    172.x.x.x[172.x.x.x]...62.x.x.x[62.x.x.x]
    smsbrick[8150]: IKEv1 SPIs: xxxxxxxxxxxxxx_i* xxxxxxxxxxxxx_r, pre-shared key reauthentication in 23 hours
    smsbrick[8150]: IKE proposal: 3DES_CBC/HMAC_MD5_96/PRF_HMAC_MD5/MODP_1024
    smsbrick[8150]: Tasks queued: QUICK_MODE 
    smsbrick[8150]: Tasks active: MODE_CONFIG

ip xfrm

# ip xfrm policy
src 10.192.0.0/12 dst 10.254.0.0/16 
        dir fwd priority 3987 
        tmpl src 62.x.x.x dst 172.x.x.x
                proto esp reqid 1 mode tunnel
src 10.192.0.0/12 dst 10.254.0.0/16 
        dir in priority 3987 
        tmpl src 62.x.x.x dst 172.x.x.x
                proto esp reqid 1 mode tunnel
src 10.254.0.0/16 dst 10.192.0.0/12 
        dir out priority 3987 
        tmpl src 172.x.x.x dst 62.x.x.x
                proto esp reqid 1 mode tunnel
src 0.0.0.0/0 dst 0.0.0.0/0 
        socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
        socket out priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
        socket in priority 0 
src 0.0.0.0/0 dst 0.0.0.0/0 
        socket out priority 0 
src ::/0 dst ::/0 
        socket in priority 0 
src ::/0 dst ::/0 
        socket out priority 0 
src ::/0 dst ::/0 
        socket in priority 0 
src ::/0 dst ::/0 
        socket out priority 0
routingcisco-asastrongswan
8
titusd

トピックをネクロポストして申し訳ありませんが、トラブルシューティングに関して、この特定の構成に関する情報は1か所にあまりありません。

私の設定：

  • AWS：Strongswan 5.1.3
  • Corp：Cisco ASA5520 8.4（4）1

症状：

  1. Cisco ASAプライベートLANからAWSプライベートLANへのトンネルとpingを常に開始できます。

  2. トンネルのタイムアウト/再起動時に、Cisco ASA側からトラフィックが生成されるまで、AWSからCisco ASAに開始またはpingできませんでした。 IPSEC STATUSALLが明らかになりました

    Tasks active: MODE_CONFIG
Tasks queued: QUICK_MODE

modeconfig=Pushとleftsourceip=の両方が設定されていると、次の状態でスタックすることがわかりました。

Tasks active: MODE_CONFIG
Tasks queued: QUICK_MODE

modeconfig=Pushを削除すると、次の状態のままになります：

Tasks active: MODE_CONFIG

leftsourceip=を削除すると問題が解決し、すべてが正常に動作し、双方向で安定していました。

私は、これらの2つはPIXによって必要とされていると考えています。おそらく、ASAの古いバージョンのいくつかではありますが、これは必要ではありません。

3
Mike