web-dev-qa-db-ja.com

Strongswan VPNは成功したが、何もpingできない

私は、ジュニパーのSRX100Hがサービスを提供する会社のVPNに接続しようとしているArchLinuxシステムにいます。ストロングスワン（5.5.3-3）に接続しようとしていますが、成功しているようです。

Starting strongSwan 5.5.3 IPsec [starter]...
generating QUICK_MODE request 2638887156 [ HASH SA No KE ID ID ]
sending packet: from 192.168.1.204[4500] to 10.0.0.1[4500] (396 bytes)
received packet: from 10.0.0.1[4500] to 192.168.1.204[4500] (364 bytes)
parsed QUICK_MODE response 2638887156 [ HASH SA No KE ID ID ]
CHILD_SA test{2} established with SPIs cad5681f_i 4015b7bd_o and TS 192.168.1.204/32 === 192.168.32.0/24
connection 'test' established successfully

問題は、その後、応答を返す10.0.0.1以外にはpingできないことです。しかし、192.168.32.0/24内のどのピアにも到達できません。

私のipsec.confは次のようになります。

conn test
    left=%any
    [email protected]
    leftauth=psk
    leftauth2=xauth
    rightsubnet=192.168.32.0/24
    rightid=10.0.0.1
    rightauth=psk
    auto=start
    xauth_identity=USER
    esp=aes256-sha1-modp1536
    ike=aes256-sha2_256-modp1536
    aggressive=yes
    type=tunnel

ip route showの出力は次のとおりです。

default via 192.168.1.1 dev wlp3s0 proto static metric 600 
192.168.1.0/24 dev wlp3s0 proto kernel scope link src 192.168.1.204 metric 600

他のクライアント（Windows）はNCPセキュアクライアントに接続できるため、ジュニパー側のファイアウォールの問題ではないようです。

どんな助けでもいただければ幸いです:)

更新

iptables-saveの出力

# Generated by iptables-save v1.6.1 on Tue Aug  8 11:24:43 2017
*filter
:INPUT ACCEPT [5:2010]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [7:999]
-A INPUT -s 192.168.32.0/24 -d 192.168.1.204/32 -i wlp3s0 -m policy --dir in --pol ipsec --reqid 1 --proto esp -j ACCEPT
-A OUTPUT -s 192.168.1.204/32 -d 192.168.32.0/24 -o wlp3s0 -m policy --dir out --pol ipsec --reqid 1 --proto esp -j ACCEPT
COMMIT
# Completed on Tue Aug  8 11:24:43 2017

Charon_debug.logは次のとおりです： https://Pastebin.com/jYiqpLip

vpnstrongswan
2
Sentenza

IRCを介した@ecdsaの助けとして：

不足しているプロパティはleftsourceip=%configおよびmodeconfig=Push、ジュニパーが必要な設定をクライアントにプッシュしているため。

2
Sentenza

これは、トンネルの反対側にあるネットワーク内の任意のホストにSSHで接続するためのソリューションでした。

IPv4転送を許可する

/etc/sysctl.confを編集して、Linuxカーネルで転送できるようにします。

vi /etc/sysctl.conf

次の行をファイルに追加します。

net.ipv4.ip_forward=1

ファイルを保存して、変更を適用します。

sysctl -p
0
zarvox