Помогите сконфигурировать strongswan

Вы бы хоть привели, то что уже сделали и что именно не получается.
Или ждете что бы вам готовые конфиги выложили? Тогда это в другой раздел на букву J

Не имел опыта работы с IPsec, вот что получилось

=======ipsec.conf======== config setup

charonstart=no plutodebug=control charondebug=all

conn %default

ikelifetime=1440m keyexchange=ikev1 ike=aes256-sha1-modp1536 esp=aes256-sha1-modp1536

conn host-host

left=yyy.yyy.yyy.yyy leftid=yyy.yyy.yyy.yyy right=xxx.xxx.xxx.xxx rightid=xxx.xxx.xxx.xxx aggressive = no lifetime = 3600s leftauth = psk rightauth = psk auto=add ==================

strongswan.conf оставил дефолтным iptables отключил

LORCODE осильте www.linux.org.ru/help/lorcode.md
psk прописали в ipsec.secrets ?

что-то из этого
xauth=server
rightauth2=xauth
authby=xauthpsk

В логах то что?

в ipsec.secrets прописал только: xxx.xxx.xxx.xxx : PSK ***************

Логи

Таак а теперь что именно-то не работает?

auto=add ждет подключения, но не пытается его установить. Если центос должен быть инициатором, нужно auto=start, и смотреть логи.

Лог с параметром auto=start

Вот Схема маршрута для отправки пакета SMPP.

Таак а теперь что именно-то не работает?

С этими параметрами хост yyy.yyy.yyy.yyy не пингает xxx.xxx.xxx.xxx

Так и не должен, у вас же aaaa bbbb, left/rightsubnet пропишите.

Судя по логам есть попытки установки подключения, но он же не устанавливается, или я ошибаюсь?

Да скорее как раз подключается. Посмотрите ipsec status ipsec statusall
Еще ip xfrm policy

вот тут у меня проблемка, «ipsec: команда не найдена» это нужно установить доп пакет, я думал он идет с ipsec-tools

ip xfrm policy - уже достаточно.
А вообще рекомендую доставить, много полезного в ней. Честно говоря я хз как стартует ipsec в centos.

В CentOS эта команда «ipsec» переименована в «strongswan».

Подключается же. А пинги разрешены вообще?

ООО дело пошло, похоже после установки strongswan-libipsec (в логе пошли коннекты по порту 4500)

И strongswan statusall показывает коннект, но смущает строка: Security Associations (1 up, 0 connecting)

Усе норм strongswan status покажет в сокращенном варианте. А ip xfrm policy еще больше расскажет.

ip xfrm policy ничего не выводит

Скинь уже сюда вывод strongswan statusall с замазанными адресами.

strongswan statusall

Ответ на пинг с yyy.yyy.yyy.yyy на aaa.aaa.aaa.aaa не получаю, и tcpdump показывает отправку пакета без шифровался "....ICMP echo request, id 2895, seq 24, length 64"

Вы left/rightsubnet прописали?

да, прописал leftsubnet=bbb.bbb.bbb.bbb/32 rightsubnet=aaa.aaa.aaa.aaa/32

Чего-то смущает что ip xfrm policy ничего не показывает. Точнее он-то как раз показывать должен в любом случае, есть соединение или нет, другой вопрос что в нем написано. Вы точно уверены что он НИЧЕГО не показывает?

Ни один из параметров ничего не выдает state | policy | monitor

#ip xfrm state count

выдает SAD count 0

Правильно я понимаю?: ни одна политика шифрования не применилась, потому при попытке пинга на aaa.aaa.aaa.aaa не проходит а tcpdump показывает не шифрованные ICMP пакеты?

Мда. Скиньте еще раз логи с вариантом когда subnet прописана.

leftsubnet=yyy.yyy.yyy.0/32 rightsubnet=xxx.xxx.xxx.0/32

Лог

Стоп, а это что еще такое? yyy.yyy.yyy.0/32 xxx.xxx.xxx.0/32 ?
Почему нули в конце и почему не aaa, bbb ?

*мозг плавит, пробовал подсеть указывать

leftsubnet=bbb.bbb.bbb.bbb rightsubnet=aaa.aaa.aaa.aaa

при конфиге хост↔хост ошибка:

Mar 24 17:29:20 smsgw charon: 11[KNL] error installing route with policy bbb.bbb.bbb.bbb/32 === aaa.aaa.aaa.aaa/32 out
Mar 24 17:29:20 smsgw charon: 11[KNL] error installing route with policy bbb.bbb.bbb.bbb/32 === aaa.aaa.aaa.aaa/32 out

Полный лог

а как в strongswan можно указать порт в subnet?

Попробуйте без 32 прописать, вроде и ман про это говорит

а как в strongswan можно указать порт в subnet?

[<proto/port>] (сам никогда не пробовал, знаю что есть но не надо было)
полное описание также в мане есть, примеры оттуда

Examples: leftsubnet=10.0.0.1[tcp/http],10.0.0.2[6/80] or  left-
              subnet=fec1::1[udp],10.0.0.0/16[/53].    Instead   of   omitting
              either value %any can be used to the same effect, e.g.  leftsub-
              net=fec1::1[udp/%any],10.0.0.0/16[%any/53].

И еще благодаря ману вспомнил, ikev1 с несколькими подсетями (вроде не ваш вариант, но...) вроде не работает.
Неизвестно как настроена та сторона, с определенной долей вероятности и ikev2 так же может работать. Во всяком случае для себя любимого я настраивал и то и то в зависимости от клиента.