Нет, не разобрался. Я уже не знаю что думать. Тут или с iptables что-то не так, или с настройками IPSEC. Подключаюсь без вопросов, пингую и вижу ресурс на который подлючаюсь, при том не могу пропинговать сам себя и остальную подсеть.
# Generated by iptables-save v1.6.0 on Sat Apr 22 01:25:16 2017
*mangle
:PREROUTING ACCEPT [356:32445]
:INPUT ACCEPT [254:19307]
:FORWARD ACCEPT [102:13138]
:OUTPUT ACCEPT [131:14076]
:POSTROUTING ACCEPT [227:27295]
#-A FORWARD -s 192.168.0.0/24 -o eth0 -p tcp -m policy --dir in --pol ipsec -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1361:1536 -j TCPMSS --set-mss 1360
COMMIT
# Completed on Sat Apr 22 01:25:16 2017
# Generated by iptables-save v1.6.0 on Sat Apr 22 01:25:16 2017
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [131:14076]
-A INPUT -i lo -j ACCEPT
#-A INPUT -p udp -m udp --dport 500 -j ACCEPT
#-A INPUT -p udp -m udp --dport 4500 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
#-A INPUT -j DROP
-A FORWARD -i eth1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -o eth1 -j REJECT --reject-with icmp-port-unreachable
#-A FORWARD -s 192.168.0.0/24 -m policy --dir in --pol ipsec --proto esp -j ACCEPT
#-A FORWARD -d 192.168.0.0/24 -m policy --dir out --pol ipsec --proto esp -j ACCEPT
#-A FORWARD -j DROP
COMMIT
# Completed on Sat Apr 22 01:25:16 2017
# Generated by iptables-save v1.6.0 on Sat Apr 22 01:25:16 2017
*nat
:PREROUTING ACCEPT [101:7421]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [20:1475]
:POSTROUTING ACCEPT [20:1475]
-A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE
#-A POSTROUTING -s 192.168.0.0/24 -o eth0 -m policy --dir out --pol ipsec -j ACCEPT
COMMIT
# Completed on Sat Apr 22 01:25:16 2017
Некоторые правила я отменил (закоментил) так как мне они какие то странные показались и все равно не работало.
Пользователь добавил сообщение 22 Апреля 2017, 22:05:16:
Я конечно не все сделал по статье что я дал линк выше. Например там есть:
Сначала отключите UFW (если этот брандмауэр включен), чтоб избежать конфликта правил:
sudo ufw disable
Затем очистите список правил UFW:
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -F
iptables -Z
Но зачем мне это очищать? Плюс сервер далеко если он загнется я просто не доеду до него, потому не могу делать эксперименты. Конечно может потому и не сработало все верно.
Пользователь добавил сообщение 22 Апреля 2017, 23:03:20:
Включил в айпитейблс все как по статье практически:
# Generated by iptables-save v1.6.0 on Sat Apr 22 01:25:16 2017
*mangle
:PREROUTING ACCEPT [356:32445]
:INPUT ACCEPT [254:19307]
:FORWARD ACCEPT [102:13138]
:OUTPUT ACCEPT [131:14076]
:POSTROUTING ACCEPT [227:27295]
-A FORWARD -s 192.168.0.0/24 -o eth0 -p tcp -m policy --dir in --pol ipsec -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1361:1536 -j TCPMSS --set-mss 1360
COMMIT
# Completed on Sat Apr 22 01:25:16 2017
# Generated by iptables-save v1.6.0 on Sat Apr 22 01:25:16 2017
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [131:14076]
-A INPUT -i lo -j ACCEPT
-A INPUT -p udp -m udp --dport 500 -j ACCEPT
-A INPUT -p udp -m udp --dport 4500 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
#-A INPUT -j DROP
-A FORWARD -i eth1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -o eth1 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -s 192.168.0.0/24 -m policy --dir in --pol ipsec --proto esp -j ACCEPT
-A FORWARD -d 192.168.0.0/24 -m policy --dir out --pol ipsec --proto esp -j ACCEPT
#-A FORWARD -j DROP
COMMIT
# Completed on Sat Apr 22 01:25:16 2017
# Generated by iptables-save v1.6.0 on Sat Apr 22 01:25:16 2017
*nat
:PREROUTING ACCEPT [101:7421]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [20:1475]
:POSTROUTING ACCEPT [20:1475]
-A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 192.168.0.0/24 -o eth0 -m policy --dir out --pol ipsec -j ACCEPT
COMMIT
# Completed on Sat Apr 22 01:25:16 2017
Когда подключаюсь и пингую сам шлюз к которому подключился - все отлично. На другие адреса вижу такое:
Request timeout for icmp_seq 0
92 bytes from iXXX-XXX-XXX-XXX.static.kv.XXX.net (XXX.XXX.XXX.XXX): Destination Port Unreachable
Vr HL TOS Len ID Flg off TTL Pro cks Src Dst
4 5 00 5400 207d 0 0000 3f 01 d905 192.168.0.210 192.168.0.4