Dotaz: natování VPN provozu

[iemand]

Zdravím, mám následující problém - existuje vnitřní síť, v ní je Cisco 807 (umí IPSEC). Na hranici mezi vnitřní sítí a internetem je Centos 4 (s 2.6.9-89 jádrem) s iptables. Cisco se má připojovat někam ven na internet pomocí toho IPSECu. V dokumentaci stojí, že je potřeba povolit: ESP protokol, UDP port 500 a UDP port 4500.

Takže mám jednak 3 pravidla ve FORWARD tabulce, pričemž $INTERNAL_DEV1 je síťová karta která je přímo připojená k síti, kde je i to Cisco, $INTERNAL_NET10 je síť, v které se to cisco nachází a $EXTERNAL_DEV je síťové rozhraní do internetu

iptables -A FORWARD -p esp -i $INTERNAL_DEV1 -s $INTERNAL_NET10 -o $EXTERNAL_DEV -j ACCEPT
iptables -A FORWARD -p udp -i $INTERNAL_DEV1 -s $INTERNAL_NET10 -o $EXTERNAL_DEV --dport 500 -j ACCEPT
iptables -A FORWARD -p udp -i $INTERNAL_DEV1 -s $INTERNAL_NET10 -o $EXTERNAL_DEV --dport 4500 -j ACCEPT

v NAT tabulce pak mám ještě v POSTROUTING:

iptables -t nat -A POSTROUTING -p all -s $INTERNAL_NET10 -o $EXTERNAL_DEV -d $ANY -j MASQUERADE

Cisco bohužel ve správě nemám, ale dotyčný tvrdí, že to nefunguje. V počítadlech v IPTABLES nevidím, že by prošly jakýkoliv data těmi třemi FORWARD pravidly... Nějaký nápad, co je špatně ? Mimochodem, dá se někde dohledat, co všechno IPTABLES umí NATovat ?

Díky za nápady
Iemand

Odpovědi

[iemand]

samozřejmě že mám povolený ve FORWARDu i related, established spojení...

iptables -A FORWARD -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

Jinak ještě upřesnění - dokumentace tvrdí povolit OUTGOING provoz pro ty tři věci...což by ty pravidla zajistit měly.

[NN]

•protocol 50 ESP encryption / authentication •protocol 51 ( AH ) packet-level authentication

# ESP encryption and authentication

iptables -I INPUT  -p 50 -j ACCEPT
iptables -I OUTPUT -p 50 -j ACCEPT

NN