Вопрос по маршрутизации в Linux

говорят, что racoon - ето еще тот костыль.

знаю, но ASA не умеет openvpn

попробуй vpnc он нормально отрабатывает, юзаем в продакшене ( есть еще какое то расширение cisco vpn на tcp его он не умеет).

Если у вас там RHEL 6 или его клоны, то там нет racoon, там opepswan. Это я к том, что выбор от части определяется дистрибутивом.

А по поводу написания маршрута я вобще не понял. Где вы его собрались прописывать? Заворачивание трафика в ipsec тунель определяется политиками ipsec (команда ip xfrm pol show).

GRE/ipip туннель.

vpnc — это вроде клиент для vpn, разве нет?

мне же нужно траффик туда заворачивать

Если у вас там RHEL 6 или его клоны, то там нет racoon, там opepswan. Это я к том, что выбор от части определяется дистрибутивом.

Спасибо, не знал. У меня debian-based, там есть и openswan и racoon — какой посоветуйте?

А по поводу написания маршрута я вобще не понял. Где вы его собрались прописывать? Заворачивание трафика в ipsec тунель определяется политиками ipsec (команда ip xfrm pol show).

т.е. грубо говоря на Linux-е мне не надо ничего кроме racoon/openswan настроивать?

GRE? Зачем? У меня же за линуксом нет другой подсети

Советую openswan, по личным предпочтениям.

В принципе, скрипт инициализации в openswan сам прописывает маршрут, но этот маршрут зачастую не нужен. А настраивать нужно iptables, так, чтобы пакеты идущие от Linux к ASA проходили iptables без потерь (без DROP и без SNAT). Тогда они будут обработаны и завёрнуты в ipsec.

Хотя, может вам нужет GRE-тунель (не помню, умеет ли его ASA), у него нет шифрации и никаких ключей не надо (проще настраивать).

Схема мне ваша не совсем понятна, почему NAT перед ASA?

Да, в случае если машина, на которой поднят racoon не является гейтом.

vpnc — это вроде клиент для vpn, разве нет?

Да .

мне же нужно траффик туда заворачивать

Ок . понял .