форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Информационная безопасность (Public)
Изначальное сообщение		[ Отслеживать ]

"Проблема с ipsec туннелем между dlink di-804hv и freebsd-7.0"

Сообщение от iceman_krs (ok) on 30-Авг-08, 15:49

Доброго все времени суток! Копаюсь с ipsec не так давно и вот возникла проблема с настройкой туннеля ipsec междк dlink di-804hv и freebsd-7.0, собственные варианты пока что кончились... Суть проблемы: у меня получилось поднять ipsec между двумя оффисами нашей конторы,в центральном стоит шлюз на freebsd-7.0 а на удаленке dlink di-804hv. У обоих адреса серые,находятся в сети одного провайдера:для фрюхи внешний 192.168.47.1 маска 255.255.248.0+на ней есть pppoe-туннель для соединения с инетом, внутренний 192.168.0.1 маска 255.255.255.0. для длинка внешний 192.168.51.44 маска 255.255.248.0,внутренний 192.168.1.1. В манах в том числе на оффициальном сайте длинка ничего не говорится про необходимость поднятия интерфейса gif,если делать как они советуют то пакеты идущие с фрюхи в сеть за длинком роутятся на адрес 192.168.51.44, с линка в сеть за фрей идут на 192.168.47.1. Проверено,не работает,фря не знает как обраться до 192.168.1.1,пришлось поднять gif с адресами концов туннеля 192.168.47.1 и 192.168.51.44 и внутреними адресами 192.168.0.1 и 192.168.1.1 и вроде фря и длинк друг друга видят. Дальше начинается то что пока для меня неясно: прописал роутинг на сети за шлюзами через внтренние ардеса фри и длинка, на длинке на 192.168.0.0/24 через 192.168.0.1 а на фре на 192.168.1.0/24 через 192.168.1.1. с своего ноутбука находящегося в сети за длинком(адрес ноута 192.168.1.180) я могу пропинговать фрюху по адресу 192.168.0.1 но не могу пингануть машину 192.168.0.200 находящуюся за фрей,а вот с машины 192.168.0.200 из сети за фрей я не вижу даже внтреннего адреса длинка 192.168.1.1,не говоря уж о ноуте 192.168.1.180 за ним. :-( Пытался выснить что-то tcpdum -i gif0 host 192.168.1.1 а сами в это время с машины 192.168.0.200 запустил ping 192.168.1.1 предварительно прописав на ней маршрут на 192.168.1.0/24 через 192.168.0.1,но через интерфейс gif0 через который должны бегать пинги туда и обратно идут только ответы,через чо идут запросы выяснить не удалось: > sudo tcpdump -i gif0 host 192.168.1.180 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on gif0, link-type NULL (BSD loopback), capture size 96 bytes 19:46:12.981643 IP 192.168.1.180 > gate0: ICMP echo reply, id 13321, seq 125, length 64 19:46:14.016642 IP 192.168.1.180 > gate0: ICMP echo reply, id 13321, seq 126, length 64 19:46:15.050589 IP 192.168.1.180 > gate0: ICMP echo reply, id 13321, seq 127, length 64 когда слушаю остальные интерфейсы там ничего нет,а где ICMP echo request? :-( с самой фри я длинк и машину за длинком 192.168.1.180 пингую.

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Проблема с ipsec туннелем между dlink di-804hv и freebsd-7.0"

Сообщение от DenSha (??) on 02-Сен-08, 16:58

Доброго дня. 1. ... >пакеты идущие с фрюхи в сеть за длинком роутятся на адрес 192.168.51.44, >с линка в сеть за фрей идут на 192.168.47.1. >Проверено,не работает, ... Вроде и не должно >для фрюхи внешний 192.168.47.1 маска 255.255.248.0 >для длинка внешний 192.168.51.44 маска 255.255.248.0 47 и 51 в маску 248 не укладываются. Я бы попробовал на 0.200 поставить 0.1 шлюзом по умолчанию и посмотреть (на ней win?) tracert 192.168.1.180. И перепроверил выводы netstat -ra на фре и 0.200 >> sudo tcpdump -i gif0 host 192.168.1.180 > >tcpdump: verbose output suppressed, use -v or -vv for full protocol decode > >listening on gif0, link-type NULL (BSD loopback), capture size 96 bytes >19:46:12.981643 IP 192.168.1.180 > gate0: ICMP echo reply, id 13321, seq 125, length 64 >19:46:14.016642 IP 192.168.1.180 > gate0: ICMP echo reply, id 13321, seq 126, length 64 >19:46:15.050589 IP 192.168.1.180 > gate0: ICMP echo reply, id 13321, seq 127, length 64 > а не sudo tcpdump -i gif0 _DST_ host 192.168.1.180?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "Проблема с ipsec туннелем между dlink di-804hv и freebsd-7.0"
	Сообщение от Глебов Константин on 05-Сен-08, 17:40
	>[оверквотинг удален] >> >>tcpdump: verbose output suppressed, use -v or -vv for full protocol decode >> >>listening on gif0, link-type NULL (BSD loopback), capture size 96 bytes >>19:46:12.981643 IP 192.168.1.180 > gate0: ICMP echo reply, id 13321, seq 125, length 64 >>19:46:14.016642 IP 192.168.1.180 > gate0: ICMP echo reply, id 13321, seq 126, length 64 >>19:46:15.050589 IP 192.168.1.180 > gate0: ICMP echo reply, id 13321, seq 127, length 64 >> > >а не sudo tcpdump -i gif0 _DST_ host 192.168.1.180? Доброго времени суток :-) Одну проблему решил,локалки объединил.А были мои косяка: 1)не было маршрутизации до сети 192.168.1.0.24 на машине 192.168.0.200 в сети за фрей 2)косяк в файрволе,был закрыт обмен между сетями. Попробовал это строчку: sudo tcpdump -i gif0 _DST_ host 192.168.1.180 фря ругается на лишний символ подчерка. Работает правда не совсем так как я ожидал :-) Например я добавил в ipfw такие строчки: allow ip from 192.168.1.0/24 to 192.168.0.0/24 in via gif0 allow ip from 192.168.0.0/24 to 192.168.1.0/24 out gif0 Я считал что должно подняться,нифига,помогли только строчки наугад,пришлось убрать даже in, out тк с ними тоже не работало: allow ip from 192.168.1.0/24 to 192.168.0.0/24 allow ip from 192.168.0.0/24 to 192.168.1.0/24 Также все сработало когда убрал гиф интерфейс,токо прописал роутинг на машине за фрей 192.168.0.200 и с нее пошел пинг.Что в этой ситуации(когда нет гифа) неясно,так это то что когда я пишу на фре ping 192.168.1.1 она ругаетася: PING 192.168.1.1 (192.168.1.1): 56 data bytes ping: sendto: Invalid argument ping: sendto: Invalid argument а 192.168.0.200 с виндой пингует: C:\Program Files\Support Tools>ping 192.168.1.1 -t Обмен пакетами с 192.168.1.1 по 32 байт: Ответ от 192.168.1.1: число байт=32 время=8мс TTL=63 Ответ от 192.168.1.1: число байт=32 время=1мс TTL=633 Выходит я чего-то недогоняю :-( Может кто-нить объяснить как етот зверь работает?..
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "Проблема с ipsec туннелем между dlink di-804hv и freebsd-7.0"
	Сообщение от iceman_krs (ok) on 05-Сен-08, 17:45
	>[оверквотинг удален] >а 192.168.0.200 с виндой пингует: >C:\Program Files\Support Tools>ping 192.168.1.1 -t > >Обмен пакетами с 192.168.1.1 по 32 байт: > >Ответ от 192.168.1.1: число байт=32 время=8мс TTL=63 >Ответ от 192.168.1.1: число байт=32 время=1мс TTL=633 > >Выходит я чего-то недогоняю :-( >Может кто-нить объяснить как етот зверь работает?.. И еще,в /var/log/messages когда я пингую 192.168.1.1 и фря ругается на неверный аргумент вот чо лезет: Sep  5 21:42:51 gate0 kernel: arplookup 192.168.51.44 failed: host is not on local network Sep  5 21:42:51 gate0 kernel: arpresolve: can't allocate route for 192.168.51.44 Sep  5 21:42:53 gate0 kernel: arplookup 192.168.51.44 failed: host is not on local network Sep  5 21:42:53 gate0 kernel: arpresolve: can't allocate route for 192.168.51.44
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]