Какая гадость этот ваш IPSec

[dil]

В очередной раз поискав линуксовый клиент к Checkpoint VPN-серверу, нашел Shrew Soft VPN. Поставился из штатного пакета, всего каких-то три часа подбора правильных параметров, и вуаля – оно подцепилось к серверу.

Получило IP-адрес, создало соответствующие записи Security Policy, setkey их показывает, вроде всё нормально, а только ни один хост из внутренней сети не доступен. Туда пакеты уходят, в ответ полная тишина. И что дальше делать, совершенно непонятно.

А из windows с родным клиентом всё работает.

Оригинал этой записи. Комментировать можно тут или там.

Любые материалы из этого блога запрещается использовать на сайте livejournal.ru в любой форме и любом объёме

Comments

[alexkuklin.livejournal.com]

IPsec - очень забавная хня.
90% "крутых цисковедов" в лучшем случае знает, как согласовать параметры на двух цисках для обеспечения работы канала.
ситуация, когда с другой стороны - не циска, а что-то другое - приводит таких в состояние "понос-судороги-смерть"

[dil.livejournal.com]

Ну параметры ладно, я кое-как подобрал. А вот что дальше-то делать?
Это чудо природы создало tap0, и кроме SP ещё засобачило точно такие же маршруты на внутреннюю сеть через этот tap0. Но трафик через tap0 не ходит, естественно, IPsec'освские политики отрабатываются раньше. И я вижу исходящий шифрованный трафик, а обратно ничего не приходит.

[blog.vnaum.com (from livejournal.com)]

А на той стороне маршруты-то прописаны?
Там в курсе, что вот этой сетке надо отвечать через ipsec?

[dil.livejournal.com]

Очевидно, да. В винду-то оно их отдаёт. Адрес выдаётся динамический, из той же подсети /25, что и в винде.

[dmarck.livejournal.com]

Вот тут-то, кажется, оно и порылось. Ты в случае Wind0ze клиента какой-нибудь wireshark dump снять и посравнивать пробовал?

[dil.livejournal.com]

Дамп чего именно? Шифрованного трафика на физическом интерфейсе? Когда я из линукса запускаю пинг, вижу исходящие шифрованные пакеты с частотой раз в секунду, как и положено.
Из windows, вероятно, увижу ещё и входящие.
А нешифрованный трафик непонятно как в линуксе сниффить. IPSec отрабатывает в где-то глубоко в ядре.

[dmarck.livejournal.com]

Ну, статистически хотя бы, провести одно и то же краткое действие и посравнивать размеры и количество пакетов, заголовки контейнеров, в общем, всё, не являющееся payload.

[e1am0.livejournal.com]

гыгыгы. чёт меня ностальгия пропёрла. вспомнил, как разбирался с работой иписека, выводя содержимое мбуфов. ггг

[dil.livejournal.com]

Не, как он в целом работает, я понимаю. А вот куда копать в моем конкретном случае, когда вроде бы всё правильно, никаких ошибок нет, а не работает - не понимаю :(