Jump to content

2 тоннеля IPSEC (Через 3 роутера)


Recommended Posts

Есть схема как на рисунке.

Если клиент цепляется по PPTP к ULTRA2 (IP 192.168.13.126/128) и ему прописать маршрут вида: route add 192.168.10.0 mask 255.255.255.0 192.168.13.126 metric 5 if 42 -p, то клиент видит сервер 192.168.10.230.

Вопрос, как прописать маршруты на всех кинетиках, чтобы клиент по двум туннелям попал на 192.168.10.230. Ресурсы сети за после первого туннеля видит, дальше нет. 

Схема.jpg

Link to comment
Share on other sites

Нужно использовать туннели (например IPIP) поверх IPsec, голым IPsec это не получится, IPsec-туннели нельзя маршрутизировать. В простейшем режиме можно два автоматических туннеля (по одному серверу на каждой ультре, клиенты на средней ультре и 4g), либо полностью ручной режим, т.е. создавать транспорты и затем уже IPIP-туннели.

 

PS: у меня несколько похожая ситуация (но чуть заморочнее), было вот тут:

 

Edited by KorDen
  • Thanks 1
Link to comment
Share on other sites

6 minutes ago, KorDen said:

Нужно использовать туннели (например IPIP) поверх IPsec, голым IPsec это не получится, IPsec-туннели нельзя маршрутизировать. В простейшем режиме можно два автоматических туннеля (по одному серверу на каждой ультре, клиенты на средней ультре и 4g), либо полностью ручной режим, т.е. создавать транспорты и затем уже IPIP-туннели.

Голым IPSec это получится, но не на кинетике, где для селектора трафика можно использовать только один элемент ACL.

Можно на средней ультре делать двусторонний NAT, что бы клиент лез к адресам из диапазона 192.168.13.0/128, а его натило в src из сети192.168.13.0/128  dst 192.168.10.230

Ну и virce versa.

  • Thanks 1
Link to comment
Share on other sites

Это чисто ограничение кинетика? То есть если у меня туннели по форме звезда, я не могу из одного луча, трафик зарулить в другой луч? Только ЛУЧ <-> ЦЕНТР?

Это через ipchains или что там сейчас? Раньше помню было iptables.... Или наоборот... :( Это как шаблон строчки будет выглядеть для средней ультры?

Про IP-IP туннель для данной ситуации не понял, но был бы признателен в примере использования, дабы въехать в тему. :-D

Link to comment
Share on other sites

Зарулить можно. Только надо на каждом spoke (луче) описать выделение трафика для засовывание в ipsec как

<local network> - <сеть центельного узла>

<local network> - <сеть spoke2>

<local network> - <сеть spoke3>

и тд. Что не очень удобно, но работает. Кинетик же из списка доступа читает только первую строчку. По этому обычно делают туннели и внутри них гоняют маршруты.

 

Сделайте full-mesh -  туннель между 4G и "второй ультрой"

 

С выделением трафика 192.168.13.128/25 - 192.168.10.0/24

 

Link to comment
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

 Share

  • Recently Browsing   0 members

    • No registered users viewing this page.
×
×
  • Create New...