web-dev-qa-db-ja.com

OpenswanとRouterOS間のIPSECトンネルのルーティングを構成するにはどうすればよいですか

openswanとshorewallを実行するLinuxルーター間にサイト間VPNを作成しようとしています（ホスト[〜＃〜] a [〜 ＃〜]、サブネット10.10.0.0/16にサービスを提供）およびRouterOS 6.3（ホスト[〜＃〜] b [〜 ＃〜]、192.168.88.0/24を提供）。

IPSECトンネル自体が稼働しているようです、ホスト[〜＃〜] a [〜＃〜]は言います：

# service ipsec status
IPsec running  - pluto pid: 4292
pluto pid 4292
1 tunnels up
some eroutes exist

そして：

#ipsec auto --status
<SNIP>
000 #2: "office-connect":500 STATE_QUICK_I2 (sent QI2, IPsec SA established); EVENT_SA_REPLACE in 27422s; newest IPSEC; eroute owner; isakmp#1; idle; import:admin initiate
000 #2: "office-connect" esp.65bcd1d@<REDACTED> esp.c8d18ebd@<REDACTED> tun.0@<REDACTED> tun.0@<REDACTED> ref=0 refhim=4294901761
000 #1: "office-connect":500 STATE_MAIN_I4 (ISAKMP SA established); EVENT_SA_REPLACE in 2348s; newest ISAKMP; lastdpd=72s(seq in:0 out:0); idle; import:admin initiate

ホスト上にいる間[〜＃〜] b [〜＃〜]：

/ip ipsec remote-peers print
 0 local-address=<REDACTED> remote-address=<REDACTED> state=established side=responder established=11m26s

そして：

/ip ipsec policy print
Flags: T - template, X - disabled, D - dynamic, I - inactive 
 0    src-address=192.168.88.0/24 src-port=any dst-address=10.10.0.0/16 dst-port=any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes 
      sa-src-address=<REDACTED> sa-dst-address=<REDACTED> proposal=Office-Connect priority=0

http://www.shorewall.net/IPSEC-2.6.html の指示に従って、shorewallと http://wiki.mikrotik.com/ wiki/Manual：IP/IPsec NATバイパスルールを設定します。

ただし、[〜＃〜] a [〜＃〜]では、実際にはトンネルを介してパケットを取得できません。

# ping -c4 192.168.88.1
PING 192.168.88.1 (192.168.88.1) 56(84) bytes of data.

--- 192.168.88.1 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 3016ms

on[〜＃〜] b [〜＃〜]：

/ping count=4 10.10.0.1
Host                                     SIZE TTL TIME  STATUS                                                                                               
10.10.0.1                                               timeout                                                                                              
10.10.0.1                                               timeout                                                                                              
10.10.0.1                                               timeout                                                                                              
10.10.0.1                                               timeout                                                                                              
    sent=4 received=0 packet-loss=100%

進め方に少し戸惑っています。ネットワーキングの経験はそれほど素晴らしいものではありません。したがって、この問題をデバッグする方法だけでも、ヒントがあれば役に立ちます。必要に応じて、追加の構成サンプルまたはログ出力を喜んで提供します。どうもありがとう！

vpnipsecopenswanshorewallrouteros
2
dorian

他の誰かが同じ問題を抱えている場合の解決策は次のとおりです...問題は、shorewallボックスに別のVPNセットアップがあることでした。これは、vpn（サイト-サイトへのVPNの名前はovpn）なので、私の/etc/shorewall/zonesファイルは次のようになります。

#ZONE           TYPE            OPTIONS         IN                      OUT
#                                               OPTIONS                 OPTIONS
<SNIP>
vpn             ipsec
l2tp            ipv4
ovpn            ipv4

そして私の/etc/shorewall/hostsは次のようになります：

#ZONE   Host(S)                                 OPTIONS
vpn     eth0:0.0.0.0/0
ovpn    eth0:192.168.88.0/24,<REDACTED> ipsec

ゾーンファイル内のゾーン宣言の順序は重要であることがわかります（ただし、hostsファイル内ではありません）。接続ごとに、shorewallは一致する最初のゾーンを選択します。 vpnゾーンにはすべてのリモートホストに一致するホストエントリがあるため、すべてのovpn接続はvpnゾーンと一致し、xl2tpdにルーティングされます。もちろん、うまくいきませんでした。

そこで、vpnとovpnのゾーンエントリを逆にすると、すべてが正常に機能しました。

3
dorian