Dotaz: IPsec mikrotik vs pluto

[zipi]

Zdravím, poslední dobou si hraju z jinou konfiguraci ipsecoveho tunelu, jelikož na každé straně mám několik subnetu atd .. Potřebuji postavit spojení trošku jinak .. tak, abych neřešil povolené subnety pomocí IPsecu, ale celou komunikaci řidil pomoci rout a pravidel na jednotlivých stranách.

Mám vytvořenou privátní sít pouze pro IPSEC:

 MK IP 192.168.10.20/24 -----------| (local subnet 192.20.25.0/24, 192.20.20.0/24 atd ..)
                                    ---- Linux 192.168.10.10/24 - local subnet 192.10.10.0/24
 MK IP 192.168.10.30/24 -----------| (local subnet 192.35.35.0/24, 192.35.30.0/24 atd ..)

Jednotlivé body mezi sebou jsou viditelné je možné provést ping přihlásit se pomocí SSH atd .. Nyní k problému zkouším se z IP 192.10.10.1 dostat na 192.35.35.1 "local GW". Mám nastavenou správně routu dle mého ip route add 192.35.35.0/24 via 192.168.10.30 dev eth0 forwarding mám též povolen s stejně se daný paket na druhou stranu nedostane. Na druhé straně nevidím ani příchozí spojení. Když zkusím provést ping tak dostávám hlášku From 192.168.10.10 icmp_seq=1 Destination Host Unreachable ... jsem docela už bezradný jak správně provést konfiguraci rout či iptable :( Zaručeně už tohle někdo řešil a dokázal by mě nasměřovat ..? Ještě mně napadá chyba v POSTROUTING ..? Děkuji ..

Odpovědi

[Max]

Policy based VPN není routed based vpn. Jinými slovy, nastavuješ si v rámci IPSEC policy, podle kterých se má tunel chovat a nějaké ručně nastavené routování je mu u zádele.
Abych pravdu řekl, mám zkušenosti jen s p2p spojením mezi pobočkami, na které používám klasické policy a tebou popisovaný scénář jsem nikdy neřešil. Jednou jsem tedy ještě provozoval nat over ipsec, kdy jsem potřeboval obejít kolizi (stejné segmenty na obou stranách, druhá strana byla cizí firma, takže nešlo jinak)
Možná by to šlo s Routed IPsec (VTI), možná by to šlo tunelováním GRE skrz ipsec. Netuším, nejsem žádný síťový guru.
Zdar Max

[bigBRAMBOR]

ano,děla se to pres GRE tunell v IPSEC, nicméně musím se přiznat ze z popisu jsem vubec nepoznal ceho chce tazatel docílit, nejak casto se tam ukazuje sit 192.168.10.0/24 na snad vsech místech. Takze je mozné ze jsem uplne mimo.

[Max]

Schema má divný, asi to popletl. To, oč mu jde, jsem bral podle toho jeho popisu.
Zdar Max

[zipi]

Maxi, potřebuji propojit 3 sítě a dostat více subnetu do daného tunelu, jelikož v jedné síti je okolo x dalších subnetu :( .. Budu to muset udělat pomocí toho GRE, jinak to asi nepůjde řešit.. Zkoušel jsem technologie EOIP na Mikrotiku, která komunikuje pomocí GRE a dělá přesně co potřebuji tj. pomocí rout směřuji pakety do daného tunelu. Nyní to budu muset ještě opřít o proti Linuxu a zjistit jestli linuxu umí EoIP v šifrovaném modu ..

[bigBRAMBOR]

jestli jde o to propojit tri site pres ipsec, tak muzes se vyprdnout na GRE, udelat to poctive tak jak to vidi IPSEC. Pouzit IKEv2, to podporuje multisite, proste na rightside vyjmenujes vsechny podsite ktere ma hledat na druhe strane a ipsec uz ti routy nastavi. Poklud mas tri site, A,B,C tak strana A bude mit na rightside B,C a C bude mit na rightside A,B.

[bigBRAMBOR]

pokud mas nekde vice subnetu, tak je proste vyjmenujes vsechny.

[zipi]

Tohle řešení se mi nezamlouvá .. raději bych to celé ovládat přes pravidla a roury ... a technologie EoIP řeší přesně co potřebuji .

[bigBRAMBOR]

jako, ze radsi tam pridas dalsi bazmek, eoip, ktery je pro linux v kdovijakem stavu a budes to resit pres routovani, takze tam budes mit dve veci ktere tam mit nemusis? OK, Dobře.

[Max]

EoIP je proprietární věc od Mikrotiku, není šifrované, musí se tunelovat přes ipsec. V rámci Mikrotiku je tunelování přes ipsec celkem jednoduché, jedno dvě zaškrtávátka v rámci nastavení EoIP a MK už za tebe vytvoří ipsec a vše kolem toho.
Pokud by jsi chtěl jet EoIP proti Linuxu, tak já bych do toho nešel a raději si pohrál s tunelováním GRE.
Zdar Max

[zipi]

To máš pravdu na Mikrotku, to je za pár minut, škoda, že to není i implementováno v linuxu .. jak nato koukam, tak je možné použít dvě technologie na propoj GRE nebo IPIP.. IPIP se mi zatím povedlo nešifrovaně .. uvidíme co nakonec vyjde jako nejlepší řešení ..

[Vantomas]

Na githubu jde najít implementace eoip do Linuxu, ale... tak nějak bych to na věci v produkci nepoužil. Dobrý tak, když potřebuji něco poladit a potřebuji ze vzdáleného Mikrotika dostat L2 k sobě na počítač...

[NN]

Nevypada ta sit nahoudou takto:

192.20.x.x -- MK 192.168.10.20 == MK 192.168.10.30 -- 192.35.x.x

Pripadne mohl by jsi to prekreslit a doplnit konfiguraci?