URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 61354
[ Назад ]
Исходное сообщение
"Nat на одном интерфейсе"
Отправлено meps , 29-Окт-05 14:58 
Привет всем!
Есть компьютер (FreeBSD5.3) один интерфейс, два апишника - один реальный, другой внутренний, настроен тунель (IPSec, Racoon). Шлюзы видят друг друга нормально. Теперь нужно чтоб компы с внутренней сети попадали в этот тунель. Прописываю маршрут к компу где настроен ВПН, на нем же поднимаю нат, tcpdump показывает что пакеты уходят нормально а обратно не приходят. Я вроде как слышал, что нат на одном интерфейсе не живет.
Подскажите что можно сделать.... Плиз
Содержание
Сообщения в этом обсуждении
"Nat на одном интерфейсе"
Отправлено alish , 30-Окт-05 00:18 
а вот я слышал,что ipsec с нат без нат_травесал не живет :)
и вообще, подробнее распишите схему,а то не совсем понятно

>Привет всем!
>Есть компьютер (FreeBSD5.3) один интерфейс, два апишника - один реальный, другой внутренний,
>настроен тунель (IPSec, Racoon). Шлюзы видят друг друга нормально. Теперь нужно
>чтоб компы с внутренней сети попадали в этот тунель. Прописываю маршрут
>к компу где настроен ВПН, на нем же поднимаю нат, tcpdump
>показывает что пакеты уходят нормально а обратно не приходят. Я вроде
>как слышал, что нат на одном интерфейсе не живет.
>Подскажите что можно сделать.... Плиз


"Nat на одном интерфейсе"
Отправлено fisher , 31-Окт-05 15:14 
>а вот я слышал,что ipsec с нат без нат_травесал не живет :)
>
>и вообще, подробнее распишите схему,а то не совсем понятно
есть шлюз FreeBSD5.2 (один интерфейс) внутренний айпишник 192.168.0.10 и внешний А.А.А.А (rl0)
настроен gif0 (IPSec racoon) 172.19.13.49
с самой фри все нормально пингается, если же с других машин в сети 0 таймаут.
на клиентских машинах прописал: route add 172.19.13.49 192.168.0.10
на фре поднят натд nat
/sbin/natd -n rl0
ipfw add 00001 divert 8665 ip from any to any


"Nat на одном интерфейсе"
Отправлено dodger , 01-Ноя-05 06:56 
>есть шлюз FreeBSD5.2 (один интерфейс) внутренний айпишник 192.168.0.10 и внешний А.А.А.А (rl0)
>
>настроен gif0 (IPSec racoon) 172.19.13.49
>с самой фри все нормально пингается, если же с других машин в
>сети 0 таймаут.
>на клиентских машинах прописал: route add 172.19.13.49 192.168.0.10
>на фре поднят натд nat
>/sbin/natd -n rl0
>ipfw add 00001 divert 8665 ip from any to any

1. Если у клиентских компов "маршрут по умолчанию" показывает на фрю, то им никаких маршрутов прописывать руками не надо. Они все равно будут отправлять все пакеты на нее.

2. Nat легко работает, и не зависит от тунелей и их конфигурации.

3. Внутренний IP фрюхи можно легко использовать для локального конца туннеля. Например:
gif0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1280
        tunnel inet A.A.A.A --> ?.?.?.? (реальный_IP_адрес удаленного конца)
        inet 192.168.0.10 --> 192.168.1.1 netmask 0xffffffff

Обрати внимание на маску! IP 192.168.1.1 на "том" конце также пусть висит на внутреннем интерфейсе "той" фрюхи.
С точки зрения маршрутизации все путем. Нужно только на самих фрюхах добавить статические маршруты (для локальной в данном случае route add 192.168.1.0 192.168.1.1 255.255.255.0).

ЗЫ: C racoonом проблемы были. Потери пакетов при авт. смнене ключей. Мне пришлось от него отказаться в пользу постоянных ключей для IPsec вручную.