Dotaz: IPSec na modemu Comtrend vr-3026e

[merlik]

Ahoj,

pokouším se vytvořit ipsec tunel mezi mým routerem se strongswanem a modemem Comtrend vr-3026e od O2.

Ilustrační "obrázek":

192.168.86.0/24===veřejná.ip.adresa.strongswanu...veřejná.ip.adresa.modemu===192.168.8.0/24

Tunel se sestaví a ze sítě 192.168.86.0/24 do sítě 192.168.8.0/24 vše funguje naprosto spolehlivě. Jde např. ping na počítač v síti 192.168.8.0/24 a i na modem 192.168.8.1.

Opačným směrem se nedaří nic, dle traceroute jde provoz mimo tunel někam do sítě O2.

Vzhledem k tomu, že nevím jak zkontrolovat, co s tím odchozím provozem modem provádí, tak pouze tipuji, že modem odchozí provoz normálně NATuje za svou veřejnou ip a odešle to po defaultní routě místo s tím nechat to být a poslat do tunelu... Nemáte někdo nápad, jak mu tohle rozmluvit? Nebo co ještě může být špatně a jak se k tomu postavit?

---

---

Odpovědi

[cynic_asshole]

Jak máš na tom modemu nastavené routy? Zkus si nastavit, pokud již nemáš, routu do sítě 192.168.86.0/24 přes tunelový interface.

[merlik]

U nastavení statických rout jde přidat routa pouze přes rozhraní ppp1, ppp0.1 a br0. Bohužel ani jedno není rozhraním ipsecu. Vyjdu-li z toho, že na linuxu mám routu přes eth0 (tj. rozhraní do netu), tady by to mělo být ppp0.1. Při nastavení statické routy jde provoz dle traceroute stejnou cestou jak jiný provoz do netu. Prostě stejně jako kdyby router (modem) ten provoz maškarádil.

Osobně jsem očekával, že když už se to nastavuje přes webové rozhraní, tak nastavením tunelu se všechny tyhle věci udělají "samy"...

[cynic_asshole]

A co kdyby sis tam rozjel dynamické směrování, třeba RIPem? Jestli to teda zvládá.

[merlik]

To vyzkouším... A dám vědět.

[Radek]

RIP přes IPSec nebude fungovat, RIP se šíří pomocí multicastu a ten IPSec neumí. To by se musel použít GRE tunel, ten zašifrovat IPSecem a v rámci GRE tunelu použít RIP. Ale nejsem si jistý, jestli Comtrend umí GRE tunel. Spíš bych doporučil Comtrend použít pouze jako modem v bridge módu a za něj dát klasický linuxový firewall. Třeba Mikrotik nebo Monowall, mám vyzkoušeno, že na Monowallu chodí IPSec bez probémů proti Linuxu i proti Ciscu.

[merlik]

Použít modem jen jako modem je až záložní varianta. Stejně tak je to na druhé straně (jiný modem, jiný provider, ...)

Nicméně prozatím děkuji za nápady, uvidíme, jestli s něčím uspěju, až se k tomu zase dostanu.

[cynic_asshole]

Nemusíš mít úplnou pravdu. RIPu se dá nastavit i adresa dalšího peera a pak šíří směrovací informace pomocí unicastu. Alespoň RIPv2 to umí.

[Jirka]

Zdravim,

potreboval bych poradit s nastavenim IPSecu na tomto modemu. Na druhe strane mam Cisco router. Tam si myslim, ze problem nebude. Znate nekdo doporucene/vyzkousene nastaveni na Comtrendu? Nastavil jsem si ESP, Auto(IKE), Pre-shared, bez PFS, MM - AES 256/SHA1, faze 2 - AES 256/SHA1. Key life jsem nechal 3600.

Diky.

[Radek]

Podle všeho je problém v NATu, zkuste se podívat, jestli nejde udělat vyjímka z NATu. Pravděpodobně při zpracování paketu je nejdříve NAT a pak až IPSec, ale pokud je paket zanatován, tak už ho nechytí IPSec pravidlo. Případně sem můžete dát screenshot možných nastavení a zkusil bych se podívat, co by mohlo být špatně.

[merlik]

Příloha:

• ipsec.png (36736 bytů)

Screenshot přiložen, snad je to ok, neb ten modem neumožňuje editovat nastavení tunelu - má jen operace "add" a "remove", "edit" chybí :)

Jinak s tím natem souhlasím, to v tom taky vidím, protože podobně se mi chovala i druhá strana, tam ale nebyl problém sahnout do iptables.

[Radek]

V nastavení IPSecu problém nevidím. Je možnost někde nastavit NAT nebo je tam všechno v základu?

[merlik]

Bohuzel jsem nasel pouze vypnout/zapnout. A pak jen nat smerem dovnitr. To funguje ok.

[Radek]

Tak to už je pak jedinně problém firmwaru. Co na to O2?

[merlik]

Vizte jiný thread.

[merlik]

Prozatim mam info, ze chybu O2 uz taky vidi a mozna ji nechaji opravit. Ale jeste musi udelat par pokusu.

[Lol Phirae]

Vidím, že ani skoro po roce neopravili ani lejno. Právě jsem to neúspěšně opět zkoušel.

[merlik]

Ano, je to tak. Zkoušel jsem jim psát, volat... Několikrát. I ty Guru jsem kontaktoval... A pořád jen "čekejte", ono to někdy bude. Ale s postupujícím časem jsou ty odpovědi čím dál tím míň nadějné.

[Lol Phirae]

Prý je nový firmware VR-3026eu-CFE-G641-406TO2A-C04_R01_TTS2816_2 - aspoň to někdo psal na fóru O2. Jak se k němu dostat bohužel netuším a ani nemám po předchozí skoro roční komunikaci ohledně jiné reklamace náladu se s tou bandou zoufalců jakkoliv dostávat do styku. Tak to zkus sehnat a někde vystavit, pokud to problém řeší.

[-CC-]

Nový firmware je ke stažení zde:

http://www.o2.cz/osobni/techzona-modemy-pro-adsl-vdsl/comtrend-vr-3026e.html?tab=download

Je označen jako "Standardně dodávaný firmware" a je to ještě vyšší verze, než výše uvedený. Zatím jsem ho ale nezkoušel, tak uvidíme.

[merlik]

Firmware C05R02 už funguje správně.