Configurando o Cisco VPN Anyconnect para usar VPN e a rede local simultaneamente

Question

Eu quero usar o acesso VPN e LAN simultaneamente (usando impressoras locais, compartilhamentos SMB, ...) Teoricamente, a tarefa deve ser fácil:

1. Todos os destinos de IP locais (192. *) devem ir diretamente para eth0, o restante para o dispositivo virtual. À medida que obtenho IP "global" estático da VPN, não haverá ambiguidade e o roteamento não será complicado.

2. Tem de existir 2 servidores DNS: o local e o fornecido através da vpn.

Quando não está conectado à VPN, eu tenho 3 rotas (dest, router, iface):

• 192. *, *, eth0
• link-local, *, eth0
• default, natrouter.local, eth0

Quando conectado a VPN, tenho 5 rotas:

• asa-1.vpn., (ipofnatrouter), eth0
• 141. *, cscotun0
• 192. *, *, eth0
• link-local, *, eth0
• padrão, 211.vpn., cscotun0

assim, deve ser possível acessar a LAN, mas ao fazer o ping de um IP local (mesmo como root) eu recebo

ping: sendmsg: Operation not permitted

Como posso fazer isso funcionar com o (X) Ubuntu 10.10 e o Cisco Anyconnect VPN?

Note que, como o Michał Šrajer deu uma solução alternativa, estou agora procurando a solução pretendida (usando o config xml). Mesmo ao editar o /opt/cisco/vpn/profile/AnyConnect-TargetVPN-Default.xml , ele é substituído por cada conexão VPN estabelecida. Eu brinquei com <LocalLanAccess> e <PPPExclusion> como mencionado no Documentação (PDF) sem qualquer menção sucesso.

Substituir /etc/resolv.conf por uma configuração apropriada para lan e vpn permite que o vpanagentd consuma toda a cpu. Como o cliente vpn altera esse arquivo no início, é necessário modificá-lo "ao vivo". Como solução alternativa, eu uso um arquivo /etc/hosts modificado.

    

Answer 1

é meio feio, mas funciona para mim:

iptables-save | grep -v DROP | iptables-restore
iptables -P INPUT ACCEPT; iptables -P OUTPUT ACCEPT

    

Answer 2

Eu me cansei do limitado cliente de 32 bits para o Ubuntu e experimentei o openconnect, que é interoperável com o servidor Anyconnect VPN. Como o openconnect é integrado ao gerenciador de rede, configurar rotas padrão era uma coisa fácil. Ele também permite que você defina domínios de pesquisa personalizados e IPs de servidor da própria interface do NM. Se você conseguir conectá-lo ao seu gateway VPN sem problemas, sugiro substituir completamente o cliente Anyconnnect pelo OpenConnect ...