Strongswan Roteamento Roadwarrior com o IP da VM, em vez do IP virtual

Question

Estou no meu limite final aqui com este problema.

Eu tenho uma VM stongswan com apenas 1 interface de internet privada (ens18). Eu posso conectar-me com êxito e obter um IP virtual, mas meu problema é a rede além da VM strong, que vê o tráfego do usuário roadwarrior originado da VM strongswan, em vez de diretamente do endereço IP virtual do roadwarrior. Gostaria de poder controlar o acesso do usuário no hardware / roteador, portanto, preciso que o tráfego seja originado do IP virtual. Aqui está uma explicação melhor via diagrama:

diagrama do problema de roteamento vpn

Abaixo estão minhas configurações:

Tabela de roteamento:

[root@moon ~]# ip route list
default via 172.16.18.1 dev ens18 proto static metric 100 
172.16.18.1/28 dev ens18 proto kernel scope link src 172.16.18.2 metric 100 

Meu arquivo ipsec.conf:

[root@moon strongswan]# cat /etc/strongswan/ipsec.conf
#charondebug="all"

conn myConfig
keyexchange=ikev2
ike=aes256-sha384-modp4096!
esp=aes256gcm16-ecp384!
dpdaction=clear
dpddelay=60s
left=%any
leftid=moon.mydomain.com
leftsubnet=172.16.18.1/24,172.16.202.1/24
leftcert=moon.der
leftsendcert=always
right=%any
rightauth=eap-tls
rightdns=172.16.16.1
eap_identity=%identity
auto=route

conn rw_HERBERT
[email protected]
rightsourceip=172.16.18.3/32
also=myConfig

Meu arquivo de configuração da interface:

[root@moon strongswan]# cat /etc/sysconfig/network-scripts/ifcfg-ens18
TYPE="Ethernet"
PROXY_METHOD="none"
BROWSER_ONLY="no"
BOOTPROTO="none"
DEFROUTE="yes"
IPV4_FAILURE_FATAL="no"
IPV6INIT="yes"
IPV6_AUTOCONF="yes"
IPV6_DEFROUTE="yes"
IPV6_FAILURE_FATAL="no"
IPV6_ADDR_GEN_MODE="stable-privacy"
NAME="ens18"
UUID="aaaaaaaa-cccccccccc-dddddddddd-1111111"
DEVICE="ens18"
ONBOOT="yes"
IPADDR="172.16.18.2"
PREFIX="24"
GATEWAY="172.16.18.1"
DNS1="172.16.16.1"
DNS2="172.16.16.2"
DOMAIN="mydomain.com"
IPV6_PRIVACY="no"
ZONE=dmz

Qualquer ajuda é muito apreciada e eu sinceramente agradeço pelo seu tempo.

    

Answer 1

Se você quiser tornar seu roadwarrrior parte da LAN remota, você precisa falsificar as respostas ARP para os IPs virtuais usando o farp plugin.