Dotaz: ISAKMP

[Petr]

Ahoj,
Chtel jsem si zkusit vytvorit vpn tunel pres ipsec. Pouzil jsem k tomu demona ISAKMP a nastavoval jsem ho pomoci ruznych how-to a manualu.
Kdyz je spustim, tak vytvori jak bezpecnostni asociaci tak i svazky pravidel (overeno setkey-em) a zdanlive by melo vse fungovat.
Bohuzel, pokud zkusim pingnout z pocitace v jedne siti do druhe, vypise mi to Destination Net Unreachable (vychozi brana je nastavena na stroj s isakmpd). Pokud zkusim pinknout primo ze stroje kde bezi isakmpd, tak se paket zabali do esp a posle se na druhou stranu(zjisteno tcpdump-em), bohuzel se nevrati zpet ( predpokladam, ze to ma primou souvislost s pokusem o ping, jak jsem psal pred chvili).
Netusi nekdo, proc to nechce fungovat ?
Za kazdy tip moc dik

Odpovědi

[imro]

Je to uplne jednoduche,preco ti to nejde. V pravidlach mas urcite nastavene,ze ak niekam odosles paket zabaleny do esp, tak ten stroj potom ocakava ako odpoved paket tiez zabaleny do esp. Na druhej strane ti teda chyba router,ktory by to robil,alebo potom nastav na tej druhej masine,ze na komunikaciu s tvojim routrom ma pouzit ipsec. P.S.Dakovat nemusis.

[Petr]

Mam dva stroje, ktery se chovaj jako brany dvou subnetu (za kazdym strojem jedna). Na techto strojich jsem proti sobe pustil isakmpd. Kdyz dam z klienta v urcitem subnetu ping na clienta v druhem subnetu, tak mi to vypise Destination Net Unreachable. Routovani by melo byt nastavene spravne a firewall je vypnutej na vsech strojich. Pokud ale dam na jedne z bran ping na zarizeni v druhem(vzdalenem) subnetu, tak se ten paket do esp zabali a posle, bohuzel nedojde odpoved, protoze ta protilehla brana rekne klientovi u ni v subnetu ze takovou sit nezna (viz hlaska od ping vyse).

[petr_p]

Proste lokalne generovany paket je spravne smerovan zkrs ESP tunel, kdezto pro forwardovany paket neni nalezeno zadne smerovaci pravidlo nebo neni mozne kontaktovat druhou stranu tunelu.

Ja s ESP tunelem zkusenosti nemam, takze muzu akorat odkazat na LARTC, kapitolu 7.3.

Jen tak mimochodem, IP forwarding mate na tech routerech zapnuty?