Исходное сообщение
"GRE/IPSEC over NAT" Отправлено pdn_mail, 05-Июл-17 11:02
> Не понял, что за сопоставление имеется ввиду и зачем. А как работает нат на R1? затем наверное CONTRACK и нужен. > SA создана для "192.168.2.202/32[gre/0] === 10.0.1.2/32[gre/0]", а туннель почему-то > между "SRC=192.168.2.202 DST=192.168.2.201", хотя должен быть также к DST 10.0.1.2. > В итоге у GRE-пакетов "не те" адреса, поэтому они не перехватываются поднятым > IPSEC. > Также рекомендую strongswan и его документацию, мне показалось удобным. > При подключении с windows/android из-за кучки NAT-ов проблем вообще не возникло. так я им - strongswan и делаю туннель не знаю почему именно так он организовал туннель. вот ipsec.conf c R2 conn nat-t       left=192.168.2.202       leftsubnet=192.168.2.202/32[47/0]       leftfirewall=yes       right=%any       rightsubnet=10.0.1.2/32[47/0]       auto=start       keyexchange=ikev1       authby=psk       ike=aes128-sha1-modp1024!       esp=aes128-sha1-modp1024! вот ipsec.conf c H1 conn nat-t       keyexchange=ikev1       authby=psk       ike=aes128-sha1-modp1024!       esp=aes128-sha1-modp1024!       left=%any       leftfirewall=yes       right=192.168.2.202       rightsubnet=192.168.2.202/32[47/0]       auto=start срисовал под себя c   https://www.strongswan.org/testing/testresults/ikev1/nat-rw/...

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> Не понял, что за сопоставление имеется ввиду и зачем. > А как работает нат на R1? затем наверное CONTRACK и нужен. >> SA создана для "192.168.2.202/32[gre/0] === 10.0.1.2/32[gre/0]", а туннель почему-то >> между "SRC=192.168.2.202 DST=192.168.2.201", хотя должен быть также к DST 10.0.1.2. >> В итоге у GRE-пакетов "не те" адреса, поэтому они не перехватываются поднятым >> IPSEC. >> Также рекомендую strongswan и его документацию, мне показалось удобным. >> При подключении с windows/android из-за кучки NAT-ов проблем вообще не возникло. > так я им - strongswan и делаю туннель > не знаю почему именно так он организовал туннель. > вот ipsec.conf c R2 > [code]conn nat-t > left=192.168.2.202 > leftsubnet=192.168.2.202/32[47/0] > leftfirewall=yes > right=%any > rightsubnet=10.0.1.2/32[47/0] > auto=start > keyexchange=ikev1 > authby=psk > ike=aes128-sha1-modp1024! > esp=aes128-sha1-modp1024! > [/code] > вот ipsec.conf c H1 > [code] > conn nat-t > keyexchange=ikev1 > authby=psk > ike=aes128-sha1-modp1024! > esp=aes128-sha1-modp1024! > left=%any > leftfirewall=yes > right=192.168.2.202 > rightsubnet=192.168.2.202/32[47/0] > auto=start > [/code] > срисовал под себя c > https://www.strongswan.org/testing/testresults/ikev1/nat-rw/index.html
	Введите код, изображенный на картинке: