Проверьте, блокирует ли удаленный сервер порт мои соединения IKEv2/IPSec VPN.

Я использую StrongSwan на Ubuntu, чтобы попытаться установить VPN-соединение «точка-точка» с удаленным сервером IKEv2 IPSec, но, похоже, что мои запросы на соединение не доходят до удаленного сервера.

Есть ли у меня возможность использовать мой сервер, чтобы проверить, блокирует ли брандмауэр удаленного сервера порт, к которому я пытаюсь подключиться?

Попробовал использовать telnet <remote-ip> 500 на VPN-сервере, который работает, но эта команда просто выходит за пределы времени ожидания. У меня нет доступа к удаленным VPN-серверам.

Спасибо!

Логи StrongSwan

инициирование IKE_SA remoteServer[3] к 2.2.2.2
генерация запроса IKE_SA_INIT 0 [ SA KE No N(NATD_S_IP) N(NATD_D_IP) N(FRAG_SUP) N(HASH_ALG) N(REDIR_SUP) V ]
отправка пакета: от 10.150.0.33[500] к 2.2.2.2[500] (1256 байт)
повторная передача 1 запроса с идентификатором сообщения 0
отправка пакета: от 10.150.0.33[500] к 2.2.2.2[500] (1256 байт)
повторная передача 2 запроса с идентификатором сообщения 0
отправка пакета: от 10.150.0.33[500] к 2.2.2.2[500] (1256 байт)
повторная передача 3 запроса с идентификатором сообщения 0
отправка пакета: от 10.150.0.33[500] к 2.2.2.2[500] (1256 байт)
повторная передача 4 запроса с идентификатором сообщения 0
отправка пакета: от 10.150.0.33[500] к 2.2.2.2[500] (1256 байт)
повторная передача 5 запроса с идентификатором сообщения 0
отправка пакета: от 10.150.0.33[500] к 2.2.2.2[500] (1256 байт)
сдаюсь после 5 повторных передач
установление IKE_SA не удалось, партнер не отвечает
установление соединения 'remoteServer' не удалось

sudo tcpdump udp port 500 (захвачено на клиенте)

tcpdump: подавлен подробный вывод, используйте -v или -vv для полного декодирования протокола
прослушивание на ens4, тип канала EN10MB (Ethernet), размер захвата 262144 байт
13:14:25.475539 IP my-server.us-east4-c.c.foo-bar-142406.internal.isakmp > 2.2.2.2.isakmp: isakmp: parent_sa ikev2_init[I]
13:14:29.475878 IP my-server.us-east4-c.c.foo-bar-142406.internal.isakmp > 2.2.2.2.isakmp: isakmp: parent_sa ikev2_init[I]
13:14:36.676279 IP my-server.us-east4-c.c.foo-bar-142406.internal.isakmp > 2.2.2.2.isakmp: isakmp: parent_sa ikev2_init[I]
13:14:49.636657 IP my-server.us-east4-c.c.foo-bar-142406.internal.isakmp > 2.2.2.2.isakmp: isakmp: parent_sa ikev2_init[I]
13:15:12.965064 IP my-server.us-east4-c.c.foo-bar-142406.internal.isakmp > 2.2.2.2.isakmp: isakmp: parent_sa ikev2_init[I]
13:15:54.955428 IP my-server.us-east4-c.c.foo-bar-142406.internal.isakmp > 2.2.2.2.isakmp: isakmp: parent_sa ikev2_init[I]

Чтобы быть уверенным, что ваш трафик достигает удаленного VPN-сервера, вам нужно спросить администратора этого сервера.

Но с помощью tcpdump вы можете искать трафик ICMP, который указывает на то, что целевой адрес для вашего трафика недоступен. Вы могли бы проверить это, например, так:

sudo tcpdump -w vpn.pcap 'host 2.2.2.2 or icmp[0] = 3'

Это может поймать больше ICMP-трафика, чем вам нужно.

Наконец, вы можете проверить параметры IKE фазы 1, которые ваш сервер отправляет, проверив vpn.pcap с помощью Wireshark. Первое сообщение IKE всегда незашифровано, и Wireshark имеет неплохие декодеры пакетов для этого.

Некоторые VPN-серверы вообще не отвечают, если начальный запрос IKE_SA_INIT не содержит правильных параметров.

Что касается NAT, IKEv2 может справляться с этим, когда установлены соответствующие параметры.