Доброго времени суток. Имеется два сервера с двумя сетевыми картами. Одна из карт eth0 смотрит в локальную сеть, вторая карта eth1 подключена в VLAN (он соединяет eth1 на двух серверах). Проблема в том, что судя по выхлопу tcpdump'а трафик не шифруется. Т.е. всё содержимое пакетов, что проходят между eth1 одного сервера и eth1 второго видно. Так же, если намеренно внести неверные данные в конфиг то пакеты перестают ходить (т.е. связь через ipsec+racoon есть).
host1 (192.168.129.184/22, 10.0.0.1/24)
ipsec-tools.conf
#!/usr/sbin/setkey -f
flush;
spdflush;
spdadd 192.168.156.0/22 192.168.128.0/22 any -P in ipsec esp/tunnel/10.0.0.2-10.0.0.1/require;
spdadd 192.168.128.0/22 192.168.156.0/22 any -P out ipsec esp/tunnel/10.0.0.1-10.0.0.2/require;
racoon.conf
path pre_shared_key "/etc/racoon/psk.txt";
log info;
listen {
isakmp 10.0.0.1 [500];
}
remote 10.0.0.2 {
my_identifier address 10.0.0.1;
exchange_mode main,aggressive;
nat_traversal off;
proposal {
encryption_algorithm 3des;
hash_algorithm md5;
authentication_method pre_shared_key;
dh_group modp1024;
}
passive off;
proposal_check obey;
verify_cert off;
lifetime time 28800 sec;
exchange_mode main;
dpd_delay 30;
}
sainfo address 192.168.128.0/22 any address 192.168.156.0/22 any {
pfs_group modp1024;
lifetime time 28800 sec;
encryption_algorithm aes;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
}
sainfo address 192.168.156.0/22 any address 192.168.128.0/22 any {
pfs_group modp1024;
lifetime time 28800 sec;
encryption_algorithm aes;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
}
psk.txt
10.0.0.2 xxxx
host2 (192.168.159.10/22, 10.0.0.2/24)
ipsec-tools.conf
#!/usr/sbin/setkey -f
flush;
spdflush;
spdadd 192.168.128.0/22 192.168.156.0/22 any -P in ipsec esp/tunnel/10.0.0.1-10.0.0.2/require;
spdadd 192.168.156.0/22 192.168.128.0/22 any -P out ipsec esp/tunnel/10.0.0.2-10.0.0.1/require;
racoon.conf
path pre_shared_key "/etc/racoon/psk.txt";
log info;
listen {
isakmp 10.0.0.2 [500];
}
remote 10.0.0.1 {
my_identifier address 10.0.0.2;
exchange_mode main,aggressive;
nat_traversal off;
proposal {
encryption_algorithm 3des;
hash_algorithm md5;
authentication_method pre_shared_key;
dh_group modp1024;
}
passive off;
proposal_check obey;
verify_cert off;
lifetime time 28800 sec;
exchange_mode main;
dpd_delay 30;
}
sainfo address 192.168.128.0/22 any address 192.168.156.0/22 any {
pfs_group modp1024;
lifetime time 28800 sec;
encryption_algorithm aes;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
}
sainfo address 192.168.156.0/22 any address 192.168.128.0/22 any {
pfs_group modp1024;
lifetime time 28800 sec;
encryption_algorithm aes;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
}
psk.txt
10.0.0.1 xxxx
Заранее спасибо!
