Отказываясь от предложения постдока (прием электронной почты предлагаем только)

Если вы считаете, устранение неполадок IPSec-это утомительно, пожалуйста, забудьте о моем журналов и просто дайте мне знать процесс их осуществления, я до сих пор путают и любая информация будет полезна.

Я удалил Спиш и вот мой IP карте:

Наш частный IP-адрес:
10.1.1.2
Наши s-IP-адрес NAT:
172.16.0.1
Наши Лобки/адрес ЭИП:
1.1.1.1
Блокпост ГВ:
2.2.2.2
Экземпляр за контрольно-пропускной пункт:
192.168.1.1

На левый я StrongSWAN на AWS экземпляр EC2 за его 1:1 NAT и эластичные IP с такой конфигурацией:

файл /etc/ipsec на.конф:

конфигурация настройка
 # strictcrlpolicy=да
 # uniqueids = нет
 charondebug="Айка 2, кнл 2, конф 2"

Конн %по умолчанию
keyexchange=протокол IKEv2
ИКЭ=и AES256-SHA256 на-modp2048
ikelifetime=86400s
ЕСП=и AES256-SHA256 на-modp2048
продолжительность жизни=10800s
keyingtries=%навсегда
dpddelay=30х
dpdtimeout=120С
dpdaction=перезагрузка

Конн Tunnel1
авто=запуск
 левый=10.1.1.2 # наш частный IP-адрес
 leftsubnet=172.16.0.1/32 # наши s-IP-адрес NAT
leftauth=ПСК
 leftid=1.1.1.1 # наш лобке/адрес ЭИП 
 право=2.2.2.2 # блокпост ГВ
 rightsubnet=192.168.1.1/32 # экземпляр за КПП 
rightauth=ПСК
 rightid=2.2.2.2 # блокпост ГВ
тип=тоннеля
компресс=нет
Марк=42

файл /etc/ipsec на.секреты:

1.1.1.1 2.2.2.2 : ПСК "OURSECRET"

файл /etc/strongswan.д/Харон.конф:

install_routes = нет
install_virtual_ip = нет

и в правой есть устройство контрольно-пропускного пункта, который находится за брандмауэром, который принимает политику, только если источник пакета 172.16.0.1/32 и его назначения 192.168.1.1/32.

Но у меня нет этого IP на мой интерфейс и это псевдо-IP, чтобы скрыть наш собственный диапазон от правосторонней (КПП).

Этот экземпляр должен выступать в качестве маршрутизатора и пропуск трафика от других экземпляров через туннель IPSec, но каждый пакет должен быть SNATed на 172.16.0.1/32.

Я начинаю StongSWAN:

systemctl начать strongswan и статус-л & systemctl strongswan

Загружен: загружен (в/lib/systemd в/системы/strongswan.обслуживание; инвалиды; предустановленные поставщик: включено)
 Активный: активный (бег) с Вт 2019-07-23 10:20:22 еесть; 12сек назад
 Процесс: 2163 ExecStart=выполнить/sbin/запуск IPSec (код=выход, статус=0/успех)
 Процесс: 2160 ExecStartPre=/ОГРН/команды mkdir -Р /ВАР/Лок/присутствует не у всех (код=выход, статус=0/успех)
 Главный ПИД: 2190 (стартер)
 Задачи: 18
 Память: 12.2 М
 Процессор: 54ms
 Группы: /система.ломтик/strongswan.услуги
 ├─2190 /УСР/Либ/IPSec и стартера --демон Харон
 └─2191 /УСР/Либ/IPSec и Харон-использовать-системный журнал-отладка-Айка 2 --отладка-кнл 2 --отладка-КС-2

Конфигурации iptables:

в iptables --присоеденить вход -с 2.2.2.2 -Джей принимает
в iptables --добавить ввода -д 2.2.2.2 -Джей принимает
в iptables --таблица --корежить добавить вперед -о Tunnel1 -п протокол TCP --TCP-флагов сын,первый сын в-J TCPMSS --струбцина-МСС-к-обнаружение

Проверить протокол IKEv2 является успешным: statusall протокола IPSec

Статус Айк Харон демон (strongSwan 5.3.5, Линукс 4.4.0-1087-АРМ, архитектуру x86_64):
 аптайм: 79 секунд, начиная с 23 июля 10:20:22 2019
 Танос: сбрк 1646592, мкарта 0, используется 568016, бесплатные 1078576
 рабочие потоки: 11 из 16 ожидания 5/0/0/0 работает, очереди заданий: 0/0/0/0, запланировано: 4
 загруженные Плагины: Харон тест-векторы ИСЗ RC2 в формате SHA1 алгоритм SHA2 алгоритмов MD4 MD5 в случайный извращенец x509-на отмену ограничений по умолчанию pkcs1 pkcs7 в pkcs8 pkcs12 из ПГП dnskey sshkey Пэм в OpenSSL ФИПС-ПРФ ГМП агент xcbc ксом ГКМ до ядра нетлинк разрешить исполнение-по умолчанию сравнение фарп инсульта счетчик ВП-удостоверение ВП-ВП Сим-сим-через ВП-ВП ака-ака-файлы 3gpp2 ВП-simaka-псевдоним ВП-simaka-reauth протокол EAP-MD5 в протокол EAP-GTC с протоколом EAP-mschapv2 ВП-динамическая ВП-радиус вп-сс ВП-ttls используется протокол EAP-PEAP и ВП-ТНК можно-универсальных можно и ВП можно-пам можно-noauth ТНК-tnccs tnccs-20 tnccs-11 tnccs-динамический DHCP lookip ошибку-сообщите certexpire вел addrblock единства
Прослушивание IP-адресов:
10.1.1.2
Соединения:
 Tunnel1: 10.1.1.2...2.2.2.2 с IKEv2, dpddelay=30х
 Tunnel1: местные: [1.1.1.1] использует общий ключ проверки подлинности
 Tunnel1: пульт дистанционного управления: [2.2.2.2] использует общий ключ проверки подлинности
 Tunnel1: ребенок: 172.16.0.1/32 === 192.168.1.1/32 тоннель, dpdaction=перезагрузка
Ассоциации безопасности (1 до, 0 подключение):
 Tunnel1[1]: создано 79 секунд назад, 10.1.1.2[1.1.1.1]...2.2.2.2[2.2.2.2]
 Tunnel1[1]: протокол IKEv2 Спиш: ##**удалить**##* ##**удалить**##, общий ключ повторной проверки в 23 часа
 Tunnel1[1]: предложение Айка: AES_CBC_256/HMAC_SHA2_256_128/PRF_HMAC_SHA2_256/MODP_2048
 Tunnel1{1}: установлено, тоннель, аткрывают 1, ESP в UDP и Спиш: c05ce72f_i 35f8fdaa_o
 Tunnel1{1}: AES_CBC_256/HMAC_SHA2_256_128, 0 bytes_i, 0 bytes_o, ключей в 2 часа
 Tunnel1{1}: 172.16.0.1/32 === 192.168.1.1/32

Проверьте, если политики XFRM был добавлен: ИС -ы-ы политики xfrm:

в src 192.168.1.1/32 ДСТ 172.16.0.1/32 с uid 0
 реж переднеприводных действий позволяют указатель 82 приоритет 2819 поделиться любой флаг (от 0x00000000)
 срок службы конфиг:
 ограничение: мягкая (инф)(байт), жесткий (инф)(байт)
 ограничение: мягкая (инф)(пакеты), жесткий (инф)(пакеты)
 истекают добавить: мягкий 0(сек), жесткий 0(сек)
 используйте истекает: мягкий 0(сек), жесткий 0(сек)
 всю жизнь тока:
 0(байт), 0(пакеты)
 добавить 2019-07-23 10:20:22 использование -
 Марк 0x2a/значение 0xFFFFFFFF
 КГБУ ГРЦ 2.2.2.2 ДСТ 10.1.1.2
 прото Сио ЭСП от 0x00000000(0) аткрывают 1(слово 0x00000001) туннельный режим 
 уровня, необходимого поделиться любой
 энк-маска ffffffff авт-сост маску ffffffff-ffffffff маска
в src 192.168.1.1/32 ДСТ 172.16.0.1/32 с uid 0
 dir в действие позволит указатель 72 приоритет 2819 поделиться любой флаг (от 0x00000000)
 срок службы конфиг:
 ограничение: мягкая (инф)(байт), жесткий (инф)(байт)
 ограничение: мягкая (инф)(пакеты), жесткий (инф)(пакеты)
 истекают добавить: мягкий 0(сек), жесткий 0(сек)
 используйте истекает: мягкий 0(сек), жесткий 0(сек)
 всю жизнь тока:
 0(байт), 0(пакеты)
 добавить 2019-07-23 10:20:22 использование -
 Марк 0x2a/значение 0xFFFFFFFF
 КГБУ ГРЦ 2.2.2.2 ДСТ 10.1.1.2
 прото Сио ЭСП от 0x00000000(0) аткрывают 1(слово 0x00000001) туннельный режим 
 уровня, необходимого поделиться любой
 энк-маска ffffffff авт-сост маску ffffffff-ffffffff маска
ГРЦ 172.16.0.1/32 ДСТ 192.168.1.1/32 с uid 0
 реж из действий позволяют индекса 65 приоритетом 2819 поделиться любой флаг (от 0x00000000)
 срок службы конфиг:
 ограничение: мягкая (инф)(байт), жесткий (инф)(байт)
 ограничение: мягкая (инф)(пакеты), жесткий (инф)(пакеты)
 истекают добавить: мягкий 0(сек), жесткий 0(сек)
 используйте истекает: мягкий 0(сек), жесткий 0(сек)
 всю жизнь тока:
 0(байт), 0(пакеты)
 добавить 2019-07-23 10:20:22 использование -
 Марк 0x2a/значение 0xFFFFFFFF
 КГБУ ГРЦ 10.1.1.2 ДСТ 2.2.2.2
 прото Сио ЭСП от 0x00000000(0) аткрывают 1(слово 0x00000001) туннельный режим 
 уровня, необходимого поделиться любой
 энк-маска ffffffff авт-сост маску ffffffff-ffffffff маска

ИС -ы-ы xfrm государства:

ГРЦ 10.1.1.2 ДСТ 2.2.2.2
 прото спи ЭСП ##**удалить**##(##**удалить**##) аткрывают 1(слово 0x00000001) туннельный режим 
 повтор-окно 32 посл адресу 0x00000000 флаг АФ-unspec (0x00100000)
 Марк 0x2a/значение 0xFFFFFFFF
 авт-ОТБр ксом(и SHA256) ##**удалить**## (256 бит) 128
 ПГС энк(АЭС) ##**удалить**## (256 бит)
 encap тип espinudp спорт dport 4500 4500 адрес 0.0.0.0
 анти-анализировать контекст: сл 0х0, 0х0 oseq, растровые адресу 0x00000000
 срок службы конфиг:
 ограничение: мягкая (инф)(байт), жесткий (инф)(байт)
 ограничение: мягкая (инф)(пакеты), жесткий (инф)(пакеты)
 истекают добавить: мягкий 9745(сек), жесткий 10800(сек)
 используйте истекает: мягкий 0(сек), жесткий 0(сек)
 всю жизнь тока:
 0(байт), 0(пакеты)
 добавить 2019-07-23 10:20:22 использование -
статистика:
 анализировать-анализировать окне 0 0 не 0
ГРЦ 2.2.2.2 ДСТ 10.1.1.2
 прото спи ЭСП ##**удалить**##(##**удалить**##) аткрывают 1(слово 0x00000001) туннельный режим 
 повтор-окно 32 посл адресу 0x00000000 флаг АФ-unspec (0x00100000)
 Марк 0x2a/значение 0xFFFFFFFF
 авт-ОТБр ксом(и SHA256) ##**удалить**## (256 бит) 128
 ПГС энк(АЭС) ##**удалить**## (256 бит)
 encap тип espinudp спорт dport 4500 4500 адрес 0.0.0.0
 анти-анализировать контекст: сл 0х0, 0х0 oseq, растровые адресу 0x00000000
 срок службы конфиг:
 ограничение: мягкая (инф)(байт), жесткий (инф)(байт)
 ограничение: мягкая (инф)(пакеты), жесткий (инф)(пакеты)
 истекают добавить: мягкий 10057(сек), жесткий 10800(сек)
 используйте истекает: мягкий 0(сек), жесткий 0(сек)
 всю жизнь тока:
 0(байт), 0(пакеты)
 добавить 2019-07-23 10:20:22 использование -
статистика:
 анализировать-анализировать окне 0 0 не 0

Создать прибор ВТИ:

IP-туннель добавить Tunnel1 местных 10.1.1.2 удаленном режиме 2.2.2.2 ВТИ ключ 42
ірадреса добавить 172.16.0.1/32 пульт ДУ 192.168.1.1/32 Дэв Tunnel1
связи IP-набор Tunnel1 до МТУ 1419

Отключить политику на тоннель и добавления в iptables TCPMSS:

команды sysctl -w в сети.протокол IPv4.конф.Tunnel1.disable_policy=1
в iptables --таблица --корежить добавить вперед -м политика --пол --IPSec из реж в -п ТСР -м протокола TCP --TCP-флагов сын,первый сын -м tcpmss --МСС 1361:1536 с-J TCPMSS --набор-МСС 1360
в iptables --таблица --калечить добавить вперед -м политика --пол --протокол IPSec из дир-р ТСР -м протокола TCP --TCP-флагов сын,первый сын -м tcpmss --МСС 1361:1536 с-J TCPMSS --набор-МСС 1360

но когда я ping 192.168.1.1 с источником 172.16.0.1, я вам заданный узел недоступен.

пинг 192.168.1.1 или пинг -я 172.16.0.1 192.168.1.1 или пинг -я Tunnel1 192.168.1.1

пинг -с 3 -я 172.16.0.1 192.168.1.1
Команду ping 192.168.1.1 (192.168.1.1) от 172.16.0.1 Tunnel1: 56(84) байт данных.
От 172.16.0.1 icmp_seq=1 заданный узел недоступен
От 172.16.0.1 icmp_seq=2 узел назначения недоступен
От 172.16.0.1 icmp_seq=3 узел назначения недоступен

--- Статистика ping 192.168.1.1 ---
3 пакетов отправленных, 0 полученных, +3 ошибок, 100% потеря пакетов, 1998ms время 

вот некоторые другие журналы: IP-адрес показывают:

3: ip_vti0@нет: <NOARP> МТУ qdisc 1480 государственной Нооп вниз группы default qlen 1
 ссылка/комитет по здравоохранению БРД 0.0.0.0 0.0.0.0
4: Tunnel1@нет: <POINTOPOINT,NOARP,вверх,LOWER_UP> МТУ 1419 qdisc noqueue государственной неизвестные группы default qlen 1
 ссылка/комитет по здравоохранению 10.1.1.2 коллегиального 2.2.2.2
 инет 172.16.0.1 коллегиального 192.168.1.1/32 объем глобального Tunnel1
 valid_lft навсегда preferred_lft навсегда

ИС -ы-ы ссылку Показать:

3: ip_vti0@нет: <NOARP> МТУ qdisc 1480 государственной Нооп режим по умолчанию группы default qlen 1
 ссылка/комитет по здравоохранению БРД 0.0.0.0 0.0.0.0
 ГХ: ошибки пакетов, байт за перерасход mcast
 0 0 0 0 0 0
 Ошибки ГХ: длина CRC кадра ФИФО пропустил
 0 0 0 0 0
 Техас: байт пакеты ошибок за перевозчика collsns
 0 0 0 0 0 0
 Ошибки Техас: окна прервана ФИФО сердцебиение transns
 0 0 0 0 0
4: Tunnel1@нет: <POINTOPOINT,NOARP,вверх,LOWER_UP> МТУ 1419 qdisc noqueue государственной неизвестный режим по умолчанию группы default qlen 1
 ссылка/комитет по здравоохранению 10.1.1.2 коллегиального 2.2.2.2
 ГХ: ошибки пакетов, байт за перерасход mcast
 0 0 0 0 0 0
 Ошибки ГХ: длина CRC кадра ФИФО пропустил
 0 0 0 0 0
 Техас: байт пакеты ошибок за перевозчика collsns
 0 0 14 0 14 0
 Ошибки Техас: окна прервана ФИФО сердцебиение transns
 0 0 0 0 0

ИС-ы тоннель Tunnel1:

Tunnel1: IP-адрес/IP удаленный 2.2.2.2 местных 10.1.1.2 ТТЛ наследуют ключ 42
ГХ: ошибки пакетов байт CsumErrs OutOfSeq Mcasts
 0 0 0 0 0 0
Техас: ошибки пакетов байт DeadLoop NoRoute NoBufs
 0 0 14 0 14 0

команду ifconfig -а:

Tunnel1 encap ссылке:комитет по здравоохранению тоннеля HWaddr
 инет адрес:172.16.0.1 п-т-п:192.168.1.1 Маска:255.255.255.255
 До POINTOPOINT работает NOARP МТУ:1419 Метрика:1
 RX пакетов:0 ошибок:0 сократилось:0 перерасход:0 рама:0
 Техас пакетов:0 ошибки:14 сократилось:0 перерасход:0 перевозчик:14
 столкновения:0 txqueuelen:1
 RX байт:0 (0.0 B) в Техас байт:0 (0.0 Б)
ip_vti0 encap ссылке:комитет по здравоохранению тоннеля HWaddr
 NOARP МТУ:1480 Метрика:1
 RX пакетов:0 ошибок:0 сократилось:0 перерасход:0 рама:0
 Техас пакетов:0 ошибок:0 сократилось:0 перерасход:0 перевозчик:0
 столкновения:0 txqueuelen:1
 RX байт:0 (0.0 B) в Техас байт:0 (0.0 Б)

Я отключил источник и проверить назначения на AWS EC2 и я в белом списке правосторонней (проходная) IP-адреса для всех потоков данных в AWS группы безопасности, я уверен, что нац-прохождение, поддерживается и я вижу, что трафика при помощи tcpdump: тсрйитр -я -nnnNq хост 2.2.2.2

10:32:02.983136 ИС 10.1.1.2.500 > 2.2.2.2.500: УДП, длина 1084
10:32:03.035572 ИС 2.2.2.2.500 > 10.1.1.2.500: УДП, длина 708
10:32:03.044827 ИС 10.1.1.2.4500 > 2.2.2.2.4500: УДП, длина 372
10:32:03.108335 ИС 2.2.2.2.4500 > 10.1.1.2.4500: УДП, длина 276
10:32:27.042735 ИС 10.1.1.2.4500 > 2.2.2.2.4500: УДП, длина 1
10:32:33.110661 ИС 10.1.1.2.4500 > 2.2.2.2.4500: УДП, длина 84
10:32:33.159623 ИС 2.2.2.2.4500 > 10.1.1.2.4500: УДП, длина 84
10:32:57.043342 ИС 10.1.1.2.4500 > 2.2.2.2.4500: УДП, длина 1
10:33:03.110977 ИС 10.1.1.2.4500 > 2.2.2.2.4500: УДП, длина 84

КПП показывает туннеля не было установлено, но я не получаю никаких тсрйитр, когда я посылаю пакеты ping. journalctl -фу strongswan можно здесь:

https://pastebin.com/AuephC04

Я попытался ВТИ конечную точку этого пути, но он не вносит никаких изменений:

IP-туннель добавить Tunnel1 местных 10.1.1.2 удаленном режиме 2.2.2.2 ВТИ ключ 42
ірадреса добавить 172.16.0.1/32 дистанционное 0.0.0.0/0 dev и Tunnel1
связи IP-набор Tunnel1 до МТУ 1419

Я правильно реализовать эту структуру? Я должен установить псевдо IP на устройства ВТИ? Я должен добавить еще одно правило в iptables, чтобы применить знак что-то вроде этого?

в iptables -Т мангл-входной сигнал -п ЭСП -с 2.2.2.2 -д 1.1.1.1 -J тэг-набор-xmark 42

Варианты:

протокол IPSec --версия:

StrongSwan Линукс У5.3.5/К4.4.0-1087-аус

команду -это:

Идентификатор дистрибьютор: Убунту
Описание: 16.04.6 Убунту ЛТС
Релиз: 16.04
Название: xenial

с dpkg -л | грэп -я strongswan:

второй libcharon-дополнительные плагины 5.3.5-1ubuntu3.8 библиотека strongSwan для amd64 Харон (дополнительные плагины)
второй libstrongswan 5.3.5-1ubuntu3.8 на amd64 утилита strongSwan и библиотека крипто 
второй libstrongswan-стандарт-Плагины 5.3.5-1ubuntu3.8 на amd64 утилита strongSwan и библиотека крипто (стандартных плагинов)
второй strongswan 5.3.5-1ubuntu3.8 все VPN на базе IPSec метапакет решение 
второй strongswan-Харон 5.3.5-1ubuntu3.8 amd64 в strongSwan Ключ сети демон обмен 
второй strongswan-libcharon 5.3.5-1ubuntu3.8 библиотека strongSwan для amd64 Харон 
второй strongswan-стартер 5.3.5-1ubuntu3.8 amd64 в strongSwan демон стартера и файл конфигурации парсера
второй strongswan-ТНК-база 5.3.5-1ubuntu3.8 strongSwan для amd64 доверенного сетевого соединения (ПНС) - база файлов

Спасибо заранее за вашу помощь.