SSH 无法通过 IPSec 隧道工作（Strongswan）

Question 1

问题在于数据包碎片。使用 mangle 表中的一条简单规则来管理 MSS，我解决了我的问题 :)

iptables -t mangle -A FORWARD -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1361:1536 -j TCPMSS --set-mss 1360

Answer

问题在于数据包碎片。使用 mangle 表中的一条简单规则来管理 MSS，我解决了我的问题 :)

iptables -t mangle -A FORWARD -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1361:1536 -j TCPMSS --set-mss 1360

Question 2

就我而言，这也是一个碎片问题。很难找出原因。我的症状如下：

ping 在启动方向上工作
ssh 仅在从 host2 到 host1 的一个方向上有效

我找到了答案这里并且能够使用以下命令在启动主机上设置 tcpdump：

# configure filter log group:
sudo iptables -I INPUT -m addrtype --dst-type LOCAL -m policy --pol ipsec --dir in -j NFLOG --nflog-group 5
sudo iptables -I OUTPUT -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5

# verify configuration:
sudo iptables -L --line-numbers
...
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
1    NFLOG      all  --  anywhere             anywhere             ADDRTYPE match dst-type LOCAL policy match dir in pol ipsec nflog-group 5
...
Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination
1    NFLOG      all  --  anywhere             anywhere             policy match dir out pol ipsec nflog-group 5

# observe the logs (use you own setting for the grep):
sudo tcpdump -s 0 --print -n -i nflog:5 -w ./ipsec_ssh.pcap \
  grep  "{ip_address_to_check}.{port}" | tee -a host1_ssh.log

# remove roles:
sudo iptables -D INPUT 1
sudo iptables -D OUTPUT 1

我对两台主机都进行了同样的操作，并比较了它们的输出。只有较小的包到达了主机 2。

此外，该图这里非常有帮助，并且有来自这里我试图猜测必须插入 mss 限制的位置。

就我的情况而言，host1 上的以下规则解决了该问题：

sudo iptables -t mangle -A PREROUTING -m policy --pol ipsec -p tcp -m tcp --dir in --tcp-flags SYN,RST SYN -m tcpmss --mss 1360:1535 -j TCPMSS --set-mss 1360

Answer

就我而言，这也是一个碎片问题。很难找出原因。我的症状如下：

ping 在启动方向上工作
ssh 仅在从 host2 到 host1 的一个方向上有效

我找到了答案这里并且能够使用以下命令在启动主机上设置 tcpdump：

# configure filter log group:
sudo iptables -I INPUT -m addrtype --dst-type LOCAL -m policy --pol ipsec --dir in -j NFLOG --nflog-group 5
sudo iptables -I OUTPUT -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5

# verify configuration:
sudo iptables -L --line-numbers
...
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
1    NFLOG      all  --  anywhere             anywhere             ADDRTYPE match dst-type LOCAL policy match dir in pol ipsec nflog-group 5
...
Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination
1    NFLOG      all  --  anywhere             anywhere             policy match dir out pol ipsec nflog-group 5

# observe the logs (use you own setting for the grep):
sudo tcpdump -s 0 --print -n -i nflog:5 -w ./ipsec_ssh.pcap \
  grep  "{ip_address_to_check}.{port}" | tee -a host1_ssh.log

# remove roles:
sudo iptables -D INPUT 1
sudo iptables -D OUTPUT 1

我对两台主机都进行了同样的操作，并比较了它们的输出。只有较小的包到达了主机 2。

此外，该图这里非常有帮助，并且有来自这里我试图猜测必须插入 mss 限制的位置。

就我的情况而言，host1 上的以下规则解决了该问题：

sudo iptables -t mangle -A PREROUTING -m policy --pol ipsec -p tcp -m tcp --dir in --tcp-flags SYN,RST SYN -m tcpmss --mss 1360:1535 -j TCPMSS --set-mss 1360

SSH 无法通过 IPSec 隧道工作（Strongswan）

ipsec.conf：

tcpdump：

iptables：

答案1

答案2

相关内容