IPFire и роутинг

Объясни, зачем тебе надо пинговать с src адресом другого интерфейса.

у меня нет доступа к сети 192.168.80.98...возможно я где-то ошибаюсь, подскажите где?

если я пингую из green0 сети, то:

ping 192.168.80.98
PING 192.168.80.98 (192.168.80.98) 56(84) bytes of data.
From 62.96.35.33 icmp_seq=2 Destination Net Unreachable

Покажи конфу ipsec , что там у тебя в right\left subnets.
ipsec на этой же машине ?

conn HostEurope
        left=mail.nmedia.de
        leftsubnet=172.16.0.0/16
        leftfirewall=yes
        lefthostaccess=yes
        right=IPSEC EXTERN IP
        rightsubnet=192.168.80.0/24
        leftid=«EXTERN IP»
        rightid=«IPSEC EXTERN IP»
        ike=aes256-sha2_256-modp4096,aes256-sha2_256-modp3072,aes256-sha2_256-modp2048,aes256-sha2_256-modp1536,aes256-sha2_256-modp1024,aes256-sha-modp4096,aes256-sha-modp3072,aes256-sha-modp2048,aes256-sha-modp1536,aes256-sha-modp1024
        esp=aes256-sha2_256,aes256-sha1
        keyexchange=ikev1
        ikelifetime=3h
        keylife=1h
        compress=yes
        dpdaction=restart
        dpddelay=120
        dpdtimeout=30
        authby=secret
        auto=start

так все работает и из сети 172.16. у меня все есть...но никак не пойму как прокинуть тоже самое для green0

ipfire автоматом выставил такие правила:

Chain IPSECFORWARD (1 references)
target     prot opt source               destination         
RETURN     all  —  192.168.80.0/24      172.16.0.0/16        policy match dir in pol ipsec reqid 33 proto esp
MARK       all  —  172.16.0.0/16        192.168.80.0/24      policy match dir out pol ipsec reqid 33 proto esp MARK set 0x32

Chain IPSECINPUT (1 references)
target     prot opt source               destination          
RETURN     all  —  192.168.80.0/24      172.16.0.0/16        policy match dir in pol ipsec reqid 33 proto esp
ACCEPT     udp  —  anywhere             anywhere             udp dpt:isakmp



Chain IPSECOUTPUT (1 references)
target     prot opt source               destination         
MARK       all  —  172.16.0.0/16        192.168.80.0/24      policy match dir out pol ipsec reqid 36 proto esp MARK set 0x32

Я думал ты сам понял ...

leftsubnet=172.16.0.0/16

это я понял...трафик идет в DMZ..а как мне прокинуть доступ с локалки?

С какой локалки , что у тебя локалка ?
Нарисуй схему.
Но я все таки еще раз тебе скажу о том что ipsec у тебя будет работать только с ip src подсети 172.16.0.0/16 .
Дальше фантазируй по тегам NAT и SNAT.

Хорошо,такой вопрос:

сейчас у меня есть полный доступ из orange(DMZ) в green0(локалка)..только какие адреса мне тогда указывать для NAT? нат из локалки в DMZ(так есть же доступ)...

Сори, может туплю...второй день головую ломаю..могу не видеть очевидных вещей..

примерная схема:

https://www.dropbox.com/s/gus050apzqdxw3b/IMAG0743.jpg?dl=0

Тебе нужно из local net в remoute net ? Если да, то поправь конфиг

leftsubnets="172.16.0.0/16 192.168.5.0/24"

Все бы ничего, можно и сразу в 5.0, но одно но...так нет никакой DMZ...если ломают remote net, тогда есть полный доступ к local net...так улетает вся идея dmz...или я не прав?

Т.е ты хочешь, но боишься, что ломанут твой DMZ, в случае если ломанули REMOUTE NET ?

Если делать ipsec сразу в 192.168.5.0, то так же не участвует DMZ, все же идет в обход DMZ...

а по моей схеме ipsec идет в DMZ(172.16.0.0) и потом мне нужно прокинуть доступ из локалки в ipsec. Но у меня есть уже правило, которое разрешает все из DMZ(для тестов правило) в локалку. Я вижу DMZ из локалки без проблем... но когда пытаюсь достучаться до адреса ipsec 192.168.80.98 из локалки, то сеть недоступна и не мудрено - ведь трасерт идет сразу по неправильному пути...

из green(локалки) в DMZ и в инет все разрешено по умолчанию..

http://wiki.ipfire.org/en/networking/start

из DMZ в green закрыто, но я добавил правило allow all from orange to green

Ты туннель где поднимаешь то ? На FW надеюсь ?

да на FW

Т.е ipsec будет между FW и REMOUTE NET. И какой трафик тебе нужен в туннеле ?

мне необходимо, чтобы был прямой доступ ил локалки в remote net

у меня сейчас построена DMZ между двумя фаерволами, ipsec строится на внешнем фаерволе и трафик бежит правильно, из локалки на внутр интерфейс внутр. фаервола, потом на внутр интерфейс внешнего фаервола и потом в remote net...

я хочу избавиться от одного промужуточного звена..

в роутах внешнего фаервола стоит

192.168.80.0/24 via EXTERN IP dev ipsec0

но это IPCOP и там есть интерфейс ipsec...а в IPFire я прочитал что не требуется...но как тогда маршрутизить...

я не могу понять...тут конкретно проблема с маршрутом или все таки с правилами фаервола...?

Ну так укажи как я тебе сказал ранее , обе подсети в конфиге ipsec .

но так же трафик идет в обход DMZ...

Тебе трафик с local net до remoute net пустить через DMZ ?

да

Ну тогда на local net пишешь что REMOUTE NET via ip DMZ

ip r a REMOUTE_NET via DMZ_IP 

iptables -t NAT -I POSTROUTING -d remoute_network -j SNAT --to-source 172.16.10.254 

x_tables: ip_tables: DNAT target: used from hooks POSTROUTING, but only usable from PREROUTING/OUTPUT



не дает добавить твое правило...

Я не правильно написал , сейчас исправил.

И разреши на DMZ форвардинг.

все что идет из-вне натить на DMZ или что ты имеешь ввиду?

Все что идет через DMZ на remoute net разрешить

iptables -I FORWARD -s REMOUTE_IP -j ACCEPT
iptables -I FORWARD -d REMOUTE_IP -j ACCEPT 

Большое спасибо, завтра буду пробовать переключать старые фаерволы на новый, посмотрим что получится..

Еще раз спасибо за помощь!

можно завтра с тобой как-нибудь связаться?

Да, пиши тут

Спасибо тебе огромное!!!
Все правила помогли, у меня только уточняющие вопросы.

Безопасней ли будет сделать так:

iptables -A FORWARD -p icmp -j ACCEPT
iptables -A FORWARD -I FORWARD -j ACCEPT
iptables -A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

1) Ты разрешаешь форвард icmp
2) Не понял , ты походу очепятался
3) Установленные соединения

Я так понимаю , до или полсе ты сделал iptables -P FORWARD DROP ?
Если да , то у тебя будет работать только ping.

Не заметил NEW в списке состояний.
Тогда , нет , это равносильно тому что я написал.

1) Правильно
2) iptables -A FORWARD -i orange0 -j ACCEPT
3) правильно, разрешать только те соединения, которые были установлены из локалки
а в конце iptables -P FORWARD DROP

Почему только пинг?Если я делаю соединение на RDP например, то по второму правилу должны летать все пакеты(которые я установил сам)...или я не прав?

3) Нет , ты разрешаешь форвардить все соединения .

3) Но там же стоят флаги state --state NEW,RELATED,ESTABLISHED ...

по идеи, если кто-то извне захочет без моего согласия установить соединение со мной(локалкой), то это просто не проканает..

opennet дает такие примеры:

[0:0] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A FORWARD -i eth1 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
[0:0] -A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

Ты не прав в том что не разобрался что такое NEW,RELATED,ESTABLISHED . Ты у себя написал

iptables -A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 

iptables -I FORWARD -d REMOUTE_IP -s SRC_IP -j ACCEPT
iptables -I FORWARD -s REMOUTE_IP -d SRC_IP -j ACCEPT

Ок, большое спасибо за помощь!!!Очень благодарен!!!