IPSec - src e dst mac não mudam de pacotes criptografados para descriptografados

Question

Estou tentando depurar uma configuração de IPSec. Eu tenho 4 virtualbox vms:

1. cliente no endereço 192.168.224.2/24

2. Meu próprio gateway IPSec com os endereços 192.168.224.5/24 e 192.168.10.100/24

3. Um gateway IPSec robusto com endereços 192.168.225.5/24 e 192.168.10.101/24

4. cliente b no endereço 192.168.225.2/24

Eu configurei um túnel entre 192.168.10.100 e 192.168.10.101. Eu estou tentando ping de 192.168.224.2 para 192.168.225.2 e não estou recebendo uma resposta. Eu também habilitei o roteamento na máquina strongswan (net.ipv4.ip_forward = 1).

Eu tentei rastrear os pacotes usando wireshark e é isso que eu vi:

1. Solicitação ICMP enviada corretamente do cliente a para o meu gateway

2. Pacote ESP enviado do meu gateway para a máquina strongswan

3. o pacote é recebido pela máquina strongswan e descriptografado de volta para uma solicitação ICMP, mas os endereços MAC na captura wireshark do pacote decriptografado estão errados - os endereços MAC src e dst são os mesmos que os da o pacote ESP recebido, e não alterado como deveria ser de acordo com o próximo salto - o MAC de origem deve ser o strongswan eo MAC de destino deve ser o cliente b. O que estou fazendo errado?

Obrigado.