☰

如何配置 Openswan 和 RouterOS 之间的 IPSEC 隧道路由

tag-icon • tag-icon vpn ipsec openswan shorewall routeros
如何配置 Openswan 和 RouterOS 之间的 IPSEC 隧道路由

我正在尝试在运行 Linux 路由器openswan和shorewall（主机A，服务子网 10.10.0.0/16）和运行RouterOS 6.3（主机乙，服务 192.168.88.0/24)。

IPSEC 隧道本身似乎已启动，主机A说：

# service ipsec status
IPsec running  - pluto pid: 4292
pluto pid 4292
1 tunnels up
some eroutes exist

和：

#ipsec auto --status
<SNIP>
000 #2: "office-connect":500 STATE_QUICK_I2 (sent QI2, IPsec SA established); EVENT_SA_REPLACE in 27422s; newest IPSEC; eroute owner; isakmp#1; idle; import:admin initiate
000 #2: "office-connect" esp.65bcd1d@<REDACTED> esp.c8d18ebd@<REDACTED> tun.0@<REDACTED> tun.0@<REDACTED> ref=0 refhim=4294901761
000 #1: "office-connect":500 STATE_MAIN_I4 (ISAKMP SA established); EVENT_SA_REPLACE in 2348s; newest ISAKMP; lastdpd=72s(seq in:0 out:0); idle; import:admin initiate

在主机上乙：

/ip ipsec remote-peers print
 0 local-address=<REDACTED> remote-address=<REDACTED> state=established side=responder established=11m26s

和：

/ip ipsec policy print
Flags: T - template, X - disabled, D - dynamic, I - inactive 
 0    src-address=192.168.88.0/24 src-port=any dst-address=10.10.0.0/16 dst-port=any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes 
      sa-src-address=<REDACTED> sa-dst-address=<REDACTED> proposal=Office-Connect priority=0

我按照说明进行操作http://www.shorewall.net/IPSEC-2.6.html配置shorewall和http://wiki.mikrotik.com/wiki/Manual:IP/IPsec设置 NAT 旁路规则。

然而，我实际上无法通过隧道传输任何数据包，A：

# ping -c4 192.168.88.1
PING 192.168.88.1 (192.168.88.1) 56(84) bytes of data.

--- 192.168.88.1 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 3016ms

在乙：

/ping count=4 10.10.0.1
HOST                                     SIZE TTL TIME  STATUS                                                                                               
10.10.0.1                                               timeout                                                                                              
10.10.0.1                                               timeout                                                                                              
10.10.0.1                                               timeout                                                                                              
10.10.0.1                                               timeout                                                                                              
    sent=4 received=0 packet-loss=100%

我有点不知道该怎么做，我在网络方面的经验不是很多。所以任何提示，哪怕只是如何调试这个问题，我都会很有帮助。如果需要，我很乐意提供额外的配置示例或日志输出。非常感谢！

答案1

如果其他人遇到同样的问题，这里是解决方案...问题是我在盒子上有另一个 VPN 设置，它是一个名为（站点到站点 VPN 名为）shorewall的 L2TP 道路战士设置，所以我的文件看起来像这样：vpnovpn/etc/shorewall/zones

#ZONE           TYPE            OPTIONS         IN                      OUT
#                                               OPTIONS                 OPTIONS
<SNIP>
vpn             ipsec
l2tp            ipv4
ovpn            ipv4

我/etc/shorewall/hosts喜欢这个：

#ZONE   HOST(S)                                 OPTIONS
vpn     eth0:0.0.0.0/0
ovpn    eth0:192.168.88.0/24,<REDACTED> ipsec

事实证明，区域文件中区域声明的顺序很重要（但在 hosts 文件中则不然），因为每个连接都会shorewall选择第一个匹配的区域。由于vpn区域具有与每个远程主机匹配的 hosts 条目，因此所有ovpn连接都将与区域匹配vpn，然后路由到xl2tpd，这当然行不通。

vpn因此我反转了和的区域条目ovpn，一切运行正常。

相关内容