IPSec за NAT'ом

Приличный ipsec через NAT не ходит. И это правильно.

OpenVPN же ходит, ничто ему не мешает. И там, кстати, в случае использования PKI сертификаты нужно 100% выписывать не на внутренние IP/hostname'ы, а на внешние.
Я уж грешным делом подумываю альтернативную прошивку вкорячить на MOXA G3150, чтобы там OVPN был, а то IPSec - это какой-то взрыв мозга просто.

nat-t?

OpenVPN для плебеса, жи. Впрочем, читай за IPsec NAT-Traversal.

Ходит еще как. NAT-T является вполне законной частью стандарта и поддерживается практически везде. Я проверял как с ондроедов-айфонов, так и с OSX/Linux/Windoze.

Так, у тебя сервер IPSEC то какой? И в чем конкретно проблема? Никакие SA вручную давно составлять уже не надо, это за тебя делает (Strong/Open)SWAN и подобные.

Каких-то отдельных настроек для НАТа на сервере не надо, нужно лишь не отключать NAT-T. Вот пример настроек: http://www.strongswan.org/uml/testresults4/ikev2/nat-two-rw-psk/

Так же проверялось где сервером была Cisco ASA, проблем с натом аналогично никаких - часто подключаюсь на работу через нее.

Так, у тебя сервер IPSEC то какой?

Racoon же! Попробую StrongSWAN'ом. Есть одна загвоздка ещё забавная: MOXA хочет от меня номера SPI для входящего трафика и для исходящего трафика. Смотрю на racoon и тихо о.реневаю: куда это, где это, как это... вписать????

С мохой имел дело тока в виде serial->tcpip конвертеров, так что хз. Может она вообще NAT-T не умеет, кто ее знает :)

А у StrongSWAN'а для Security Associations'ов можно номера SPI указать? Я не знаю, на кой МОХЕ это надо, но она просто жаждет знать номера этих SPI.
Собственная вообще единственная дока из десятков прочитанных мной на тему IPSec'а, которая содержит номера SPI - это некий IPSec HOWTO на lartc: http://lartc.org/howto/lartc.ipsec.html
Но там и пример совсем элементарный рассмотрен...

Да, кстати, большое спасибо за помощь. Я уже немного паниковать начал, столько времени впустую потрачено. StrongSWAN мне пока очень нравится классным форматом конфига, из которого понятно абсолютно всё. По сравнению с туманным шаманским racoon'ом - это просто как небо и земля. Да и у racoon'а документации по сути никакой. Не - зря, видать, ipsec-tools'ы ззагибаться-то стали в 2011-м году.

Да, стронгсван нынче почти единственный динамично развивающийся фреймворк айписека, конфиг действительно крайне адекватный и лаконичный.

А номера SPI это по сути уже уровень ядра, по идее они генерируются динамически самим стронгсваном и их обмен идет во время IKE-сессии, вот так у меня:

# ipsec statusall
...
xxxx[99]: IKE SPIs: 67ff0d4e1139e73b_i* f48eec87152841aa_r, pre-shared key reauthentication in 5 hours
...
xxxx{99}:  INSTALLED, TRANSPORT, ESP SPIs: c4adc1fd_i cd7965a0_o, IPCOMP CPIs: 35b7_i 7086_o

ЗЫ: Ключи шифрования и эти SPI можно по идее установить напрямую в ядро через setkey (вроде входит в енота). Я когда-то очень давно так делал.

Скопировал конфигурацию как по ссылке: http://www.strongswan.org/uml/testresults4/ikev2/nat-two-rw-psk/ , заменив IP-адреса на свои.
Всё соответствует картинке.
Делаю на клиенте за NAT'ом: sudo ipsec up nat-t
Получаю:

Aug 29 13:01:01 akkerman-VPCSB2X9R charon: 12[NET] sending packet: from 192.168.6.198[500] to 186.107.89.2[500]
Aug 29 13:01:05 akkerman-VPCSB2X9R charon: 11[IKE] retransmit 1 of request with message ID 0
Aug 29 13:01:05 akkerman-VPCSB2X9R charon: 11[NET] sending packet: from 192.168.6.198[500] to 186.107.89.2[500]
Aug 29 13:01:12 akkerman-VPCSB2X9R charon: 14[IKE] retransmit 2 of request with message ID 0
Aug 29 13:01:12 akkerman-VPCSB2X9R charon: 14[NET] sending packet: from 192.168.6.198[500] to 186.107.89.2[500]
Aug 29 13:01:25 akkerman-VPCSB2X9R charon: 09[IKE] retransmit 3 of request with message ID 0
Aug 29 13:01:25 akkerman-VPCSB2X9R charon: 09[NET] sending packet: from 192.168.6.198[500] to 186.107.89.2[500]
Aug 29 13:01:48 akkerman-VPCSB2X9R charon: 08[IKE] retransmit 4 of request with message ID 0
Aug 29 13:01:48 akkerman-VPCSB2X9R charon: 08[NET] sending packet: from 192.168.6.198[500] to 186.107.89.2[500]
Aug 29 13:02:30 akkerman-VPCSB2X9R charon: 13[IKE] retransmit 5 of request with message ID 0
Aug 29 13:02:30 akkerman-VPCSB2X9R charon: 13[NET] sending packet: from 192.168.6.198[500] to 186.107.89.2[500]
Aug 29 13:03:46 akkerman-VPCSB2X9R charon: 10[IKE] giving up after 5 retransmits
Aug 29 13:03:46 akkerman-VPCSB2X9R charon: 10[IKE] establishing IKE_SA failed, peer not responding

$ sudo iptables -nvL | fgrep 500
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:4500 
    8  1200 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:500

from 192.168.6.198[500] to 186.107.89.2[500]

Что-то не так. NAT-T должен быть на порт 4500.

Про Linux ipsec реализации я почти ничего не знаю, приходилось сталкиваться только с OpenBSD/isakmpd. Вот конкретно с NAT-T делал ipsec между Windows XP («клиент» за натом) и OpenBSD («сервер»). Все работало нормально. isakmpd под Linux вроде бы тоже есть, не пробовали? Хотя может быть что-то не допортировали и не заведется. Это когда уже вариантов не останется, можете попробовать :-)