Здравствуйте большие гуру и маленькие!
Расскажу я вам сказку, но сначала присказка:
Решило начальство поставить новую цифровую АТСку с поддержкой VoIP. Был у меня с ней интим, но я не об этом... Есть шлюз на FreeBSD и даже работает. Машинки из внутренней сети 192.168.0.0/24 через NAT ходят в инет. АТС Необходимо подключаться к SIP провайдеру через IPsec туннель, но немного хитрым образом - у них требование присвоить privat IP из диапазона 172.xx.xx.xx/30 для внутреннего интерфейса.
Выглядит итоговая топология так:|------------------|...........172.a.b.c |-----------|79.d.e.f......212.g.h.i |----------|212.j.k.l
|192.168.0.0/24 |<---------------->| Gateway |<--------------------->|SIP GW|---------
|------------------|........192.168.0.1|------------|.............................|----------|
//точечки добавил для выравнивания :)
IPsec я настроил. Под настроил имею ввиду, что могу пинговать 212.j.k.l со шлюза
172.a.b.c - это айпишник gif интерфейса
Из локальной сети машины не пингуют 212.j.k.l
Сама АТС находится во внутренней сети и имеет адрес 192.168.0.6
Посетило меня гениальное соображение, что наверно нужно поднять еще один NAT, который будет транслировать адреса из локалки в 172.a.b.c
НО! не работает чего-то :(
что сделано на данный момент:
1. на шлюзе прописан статический маршрут route_ipsec="212.j.k.l/30 -interface gif0"
2. ${fwcmd} nat 567 config ip 172.a.b.c log
${fwcmd} add nat 567 all from 192.168.0.0/24 to 212.j.k.l via gif0
${fwcmd} add nat 567 all from 212.j.k.l to 192.168.0.0/24 via gif0
пробовал так же вот такой вариант вместо последнего правила:
${fwcmd} add nat 567 all from 212.j.k.l to 172.a.b.c via gif0
3. ${fwcmd} add allow all from 212.j.k.l/30 to 172.a.b.c/30 via gif0
${fwcmd} add allow all from 172.a.b.c/30 to 212.j.k.l/30 via gif0
так же пробовал
${fwcmd} add allow all from any to any via gif0
Вобщем в итоге если пинговать 212.j.k.l из локалки, то "Превышен интервал ожидания"
tcpdump -i gif0 на шлюзе при этом выдает только
18:21:44.199076 IP 172.a.b.c > 212.j.k.l: ICMP echo request, id 1, seq 158, length 40
18:21:44.199076 IP 172.a.b.c > 212.j.k.l: ICMP echo request, id 1, seq 159, length 40
18:21:44.199076 IP 172.a.b.c > 212.j.k.l: ICMP echo request, id 1, seq 160, length 40
Стоит ли говорить, что АТС не работает
Помогите советом или грамотными правилами файера пожааааалуйста :)
Вариант для распечатки
