VPN está ativa, mas não pode pingar / ssh..etc

Question

Eu tenho uma VPN, configurada usando um host para hospedar a configuração. Eles são:

AIX usando IKE (ipsec)

Redhat usando libreswan (ipsec)

O túnel está em alta, posso ver isso consultando as duas extremidades. Por enquanto, tudo bem. Infelizmente eu não posso pingar de ambos os lados, os pings não retornaram nada. No entanto, ao usar o tcpdump em ambas as extremidades, vejo pacotes ESP chegando.

Meu ipsec.conf usado e importado para o aix ok é:

conn %default
 keyingtries=1
 type=tunnel
 auth=esp
 authby=secret
 pfs=no
 rekeymargin=900s
 rekeyfuzz=90%
 auto=add

conn aix
 left=170.22.7.44
 right=170.22.11.159

Então, isso é um problema de regra de roteamento ou ipsec?

Quando o túnel é ativado, no lado aix as regras IPSec padrão são aplicadas, elas parecem OK. No lado do Redhat, nenhuma regra é gerada no iptables, apenas tem as regras padrão, então parei de itables. Eu deveria estar fazendo isso, eu preciso de regras no iptables para trabalhar, se assim for, o que é por acaso.

Meu roteamento é assim (ips masked): redhat: 170.22.7.44 aix: 170.22.11.159

Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
170.22.7.0      0.0.0.0         255.255.255.0   U         0 0          0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U         0 0          0 eth0
0.0.0.0         170.22.7.1      0.0.0.0         UG        0 0          0 eth0

aix

default            170.22.11.1       UG        2  25324037 en0      -      -   
127/8              127.0.0.1         U         0       562 lo0      -      -   
170.22.11.0        170.22.11.159     UHSb      0         0 en0      -      -   =>
170.22.11/24       170.22.11.159     U         3    642941 en0      -      -   
170.22.11.159      127.0.0.1         UGHS      0       102 lo0      -      -   
170.22.11.255      170.22.11.159     UHSb      0         1 en0      -     

    

Answer 1

Então, depois de muita pesquisa, eu estava faltando essa regra no lado do Linux, uma vez inserido VPN tudo olhando goos.

ACCEPT     esp  --  170.22.7.44          170.22.11.0

    

Answer 2

Eu acho que você tem problema IPSEC: você não definiu sub-redes esquerda / direita na sua configuração, então o IPSEC não sabe quais pacotes ele deve criptografar e enviar para um túnel.

Em StrongSWAN, as palavras-chave são rightsubnet / leftsubnet.