Доброго дня!
Вопрос по IPSec соединению. Перерыл массу мануалов, но похоже чего-то не догоняю.
Есть локальная сеть (A) с адресом 192.168.21.0/24 В качестве маршрутизатора Mikrotik, внешний адрес y.y.y.y
На второй стороне VSD с адресом x.x.x.x. На сервере крутится сервис, к которому необходим доступ из локальной сети (A). В качестве внутреннего интерфейса сервера используется дополнительный адрес 192.168.133.133/32 на интерфейсе lo
С микротиком вопросов не возникает. Тот же сайт по схожим настройкам соединен туннелем с Zyxel USG без проблем. С тем лишь различием, что за Zyxel реальная сеть. т.е. Я считаю, что Mikrotik настроен верно.
Вопросы начинаются с настройкой strongswan и маршрутизации.
Текущая конфигурация:
ipsec.сonf
conn park
auto=add
type=tunnel
ike=aes128-sha1-modp1024
esp=aes128-sha1-modp1024
keyexchange=ikev2
leftfirewall=yes
left=х.х.х.х
leftsubnet=192.168.133.133/32
authby=secret
type=tunnel
leftprotoport=17/1701
rightprotoport=17/1701
right=y.y.y.y
rightsubnet=192.168.21.0/24
rightfirewall=yes
ip addr show
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet 192.168.133.133/32 scope global lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
ip xfrm policy
src 192.168.133.133/32 dst 192.168.21.0/24 proto udp sport 1701 dport 1701
dir out priority 370943 ptype main
tmpl src x.x.x.x dst y.y.y.y
proto esp spi 0x0e62d30e reqid 1 mode tunnel
src 192.168.21.0/24 dst 192.168.133.133/32 proto udp sport 1701 dport 1701
dir fwd priority 370943 ptype main
tmpl src y.y.y.y dst x.x.x.x
proto esp reqid 1 mode tunnel
src 192.168.21.0/24 dst 192.168.133.133/32 proto udp sport 1701 dport 1701
dir in priority 370943 ptype main
tmpl src y.y.y.y dst x.x.x.x
proto esp reqid 1 mode tunnel
src 192.168.21.0/24 dst 192.168.133.133/32 proto udp sport 1701 dport 1701
dir fwd priority 370944 ptype main
tmpl src y.y.y.y dst x.x.x.x
proto esp reqid 1 mode tunnel
src 192.168.21.0/24 dst 192.168.133.133/32 proto udp sport 1701 dport 1701
dir in priority 370944 ptype main
tmpl src y.y.y.y dst x.x.x.x
proto esp reqid 1 mode tunnel
src 192.168.133.133/32 dst 192.168.21.0/24 proto udp sport 1701 dport 1701
dir out priority 370944 ptype main
tmpl src x.x.x.x dst y.y.y.y
proto esp reqid 1 mode tunnel
src 0.0.0.0/0 dst 0.0.0.0/0
socket in priority 0 ptype main
src 0.0.0.0/0 dst 0.0.0.0/0
socket out priority 0 ptype main
src 0.0.0.0/0 dst 0.0.0.0/0
socket in priority 0 ptype main
src 0.0.0.0/0 dst 0.0.0.0/0
socket out priority 0 ptype main
src ::/0 dst ::/0
socket in priority 0 ptype main
src ::/0 dst ::/0
socket out priority 0 ptype main
src ::/0 dst ::/0
socket in priority 0 ptype main
src ::/0 dst ::/0
socket out priority 0 ptype main
ip xfrm state
src x.x.x.x dst y.y.y.y
proto esp spi 0x0e62d30e reqid 1 mode tunnel
replay-window 0 flag af-unspec
auth-trunc hmac(sha1) 0xcdb1816e2b8033936d7715b6869e472cc860b55f 96
enc cbc(aes) 0x449ecf93f2c4c5f18cf8e84b2a15c2dc
anti-replay context: seq 0x0, oseq 0x0, bitmap 0x00000000
src y.y.y.y dst x.x.x.x
proto esp spi 0xc1008bb5 reqid 1 mode tunnel
replay-window 32 flag af-unspec
auth-trunc hmac(sha1) 0x6941e54069ba172c1964c7083bfe6544c78dba80 96
enc cbc(aes) 0x03c7cdd659e27b704d660a8d50a6db65
anti-replay context: seq 0x0, oseq 0x0, bitmap 0x00000000
/etc/sysctl.conf
net.ipv4.ip_forward = 1
net.ipv6.conf.all.forwarding = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
Что указывать в правилах Firewall NAT, учитывая, что я использую интерфейс lo в качестве ip обратной сети,
понять не могу. Вероятно в этом и есть проблема. А может в чем-то другом...
Текущий конфиг:
/sbin/iptables -L
Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT all -- anywhere anywhere ctstate RELATED,ESTABLISHED
ACCEPT all -- anywhere anywhere
ACCEPT all -- y.y.y.y anywhere
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
sbin/iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
Chain INPUT (policy ACCEPT)
target prot opt source destination
Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
Туннель, вроде есть, а пингов между сетями нет..
Буду рад любым комментариям для решения проблемы...