VPN IPsec LibreSwan: соединение подсети с подсетью

Я настраиваю “VPN между подсетями” между двумя серверами Centos 7, используя libreswan. Каждый сервер имеет два сетевых интерфейса, как показано на следующем изображении.

Я хотел бы обеспечить безопасное соединение между подсетями 172.18.0.0/16 и 172.19.0.0/16, устанавливая VPN, используя сеть 172.17.0.0/16, но у меня возникла проблема с разрешением трафика между этими двумя подсетями.

Я следовал официальной документации redhat по https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/7/html/Security_Guide/sec-Securing_Virtual_Private_Networks.html#Site-To-Site_VPN_Using_Libreswan

На данный момент я отключил firewalld на обеих узлах.

Я проверил предварительные условия для ipsec:

[root@node2 ~]# ipsec verify
Проверка установленных системных и конфигурационных файлов

Проверка версии и доступности ipsec                         [OK]
Libreswan 3.8 (netkey) на 3.10.0-123.el7.x86_64
Проверка поддержки IPsec в ядре                    [OK]
 NETKEY: Тестирование значений proc, связанных с XFRM
         ICMP default/send_redirects                    [OK]
         ICMP default/accept_redirects                  [OK]
         XFRM larval drop                               [OK]
Синтаксис pluto ipsec.conf                                 [OK]
Аппаратное устройство генерации случайных чисел                     [N/A]
Найдено два или более интерфейсов, проверка пересылки IP    [OK]
Проверка rp_filter                                      [OK]
Проверка, что pluto работает                          [OK]
 Pluto слушает IKE на udp 500                     [OK]
 Pluto слушает IKE/NAT-T на udp 4500              [OK]
 Синтаксис pluto ipsec.secret                              [OK]
Проверка NAT и MASQUERADEing                          [ТЕСТ НЕЗАВЕРШЕН]
Проверка команды 'ip'                                   [OK]
Проверка команды 'iptables'                             [OK]
Проверка, что команда 'prelink' не мешает FIPS Проверка устаревших опций ipsec.conf                 [OK]
Оппортунистическое шифрование                                [ОТКЛЮЧЕНО]

Содержимое ipsec.conf:

config setup
    protostack=netkey

conn mytunnel
    leftid=@node1
    left=172.17.0.101
    leftrsasigkey=0sAQPXn...        
    rightid=@node2
    right=172.17.0.102
    rightrsasigkey=0sAQPxv...
    authby=rsasig

conn mysubnet
     также=mytunnel
     leftsubnet=172.18.0.0/16
     rightsubnet=172.19.0.0/16
     auto=start

Я запускаю службу ipsec на обоих узлах. Затем я проверяю “ipsec status” (здесь вывод http://pastebin.com/LYA9uqfJ ) и не нахожу никаких ошибок.

Маршрутная таблица узла1:

[root@node1 ~]# route
Маршрутная таблица ядра IP
Назначение     Шлюз         Маска подсети         Флаги Метрика Ссылка Использование Интерфейс
172.17.0.0      0.0.0.0         255.255.0.0     U     0      0        0 eno16777736
172.18.0.0      0.0.0.0         255.255.255.0   U     0      0        0 eno33554992

Если я попробую сделать ping с узла1 на IP адрес 172.19.0.101, я получаю ошибку “connect: Network is unreachable”

Не хватает ли чего-то в моей конфигурации? Что я могу попробовать, чтобы разрешить безопасный трафик между этими двумя подсетями?

Проверьте настройки net.ipv4.ip_forward в sysctl.

Или вы можете попробовать запустить tcpdump с обеих сторон и посмотреть, что происходит.

Пример:

tcpdump -n -i интерфейс esp or udp port 500 or udp port 4500

Также попробуйте добавить правила iptables следующим образом:

-A FORWARD -i EXTIF -o INIF -j ACCEPT
-A FORWARD -i INIF -o EXTIF -j ACCEPT
-A POSTROUTING -s YOURNET1 ! -d YOURNET2 -j MASQUERADE

Немного больше деталей о том, что выше:

• EXTIF это ваш интерфейс 172.17.0.0/16

• INIF это другой интерфейс 172.18.0.0 или 172.19.0.0

Я использовал это как руководство, моя сеть работает, но не отправляет пакеты keepalive. Strongswan не испытывает проблем

connect: Network is unreachable

С имеющимися маршрутами только к 172.17.0.0/16 и 172.18.0.0/24, нет конкретного маршрута к 172.19.0.0/16, или маршрута по умолчанию, который бы его охватывал, и это причина, по которой вы получаете эту ошибку.

Таким образом, вам нужно добавить либо конкретный маршрут к удалённой подсети, либо добавить маршрут по умолчанию на обоих хостах.

Кстати, вам следует использовать ip route для управления маршрутами вместо route.