Strongswan várias sub-redes à esquerda com IKEv1

Question

Estamos em processo de substituir um servidor Microsoft TMG por um servidor CentOS. Para a VPN, decidimos usar o strongswan devido a instabilidades com o libreswan. Mas, o strongswan tem alguns problemas estranhos com várias sub-redes em ambos os lados. A configuração de trabalho atual (libreswan) tem leftsubnets={10.x.x.0/24,172.y.y.0/24} e rightsubnets={10.y.y.0/24,172.z.z.0/24} . Como portar esta configuração do libreswan para strongswan? Eu tentei fazer vários conns com uma única sub-rede e rightsubnet em cada, arquivo de configuração parece ser analisado corretamente, mas nenhum SAs é estabelecido (conexão 0, até 0). Eu sinto falta de algo?

A configuração atual é assim:

conn hmmm
  left=86.x.x.x
  right=y.y.y.84
  keyexchange=ikev1
  authby=secret
  type=tunnel
  auto=start
  ike=aes256-sha1-modp1024
  rekey=yes
  leftsubnet=10.x.x.0/24
  rightsubnet=10.y.y.0/24

conn hmmm-2
  also=hmmm
  leftsubnet=172.y.y.0/24
  rightsubnet=172.z.z.0/24

Os logs dizem "no proposal", no entanto, essa configuração do IKEv1 é o que funcionou com o libreswan. A outra extremidade é o Cisco ASA sob nosso controle, mas como precisamos de uma troca de firewalls no local, não podemos realizar a atualização da conexão para o IKEv2.

    

Answer 1

Esta configuração não possui o parâmetro esp para especificar os parâmetros do modo rápido IKEv1 a serem usados com a conexão IPsec em questão. Só isso. Parâmetros extras foram leftauth=psk e rightauth=psk para estar em conformidade com a sintaxe não preterida ( authby foi preterido), mobike=no apenas no caso e ikelifetime=8h e lifebytes=4608000000 para corresponder às configurações de vida SA do outro lado. Esta é a linha que falta:

esp = aes256-sha1-modp1024,aes192-sha1-modp1024,aes128-sha1-modp1024

Eu esperava que o ESP usasse os parâmetros IKE para configurar os SAs de modo rápido, mas provavelmente interpretaria mal o manual.