LINUX.ORG.RU
Форум — General  

Разрешить доступ только через туннель.

 , , , ,


0

1

Поднят туннель ipsec ikev2. В адрес листе указаны сайты и ip доступ к которым должен быть через туннель. Если туннель падает/зависает/отключает, то трафик идет напрямую через провайдера. Как этого избежать? При падении туннель нужно блокировать доступ через провайдера.

Ответ на: комментарий от Turbid

Если так 

chain=forward dst-address-list=list out-interfaces=WAN action=drop 


То пакеты дропают и в туннель не попадают. Через туннель пакеты должны ходить, а через провайдера нет.
vladiks4
() автор топика

Из вариантов, либо закрыть фаерволом внешние адреса ресурсов, которые должны идти через тунель, либо реализовать failsafe через запуск прикладного ПО в сетевом неймспейсе без интернета, но с veth парой от vpn

GLaDOS ★
()

В iptables есть матчер policy, можете отбрасывать пакеты на необходимые вам IP-адреса без policy --pol ipsec.

   policy
       This module matches the policy used by IPsec for handling a packet.

       --dir {in|out}
              Used to select whether to match the policy used for decapsulation or the policy that will be used for encapsulation.  in is valid in the PREROUTING, INPUT and FORWARD chains, out is valid
              in the POSTROUTING, OUTPUT and FORWARD chains.

       --pol {none|ipsec}
              Matches if the packet is subject to IPsec processing. --pol none cannot be combined with --strict.

UPD: а, Mikrotik, тогда не подскажу.

ValdikSS ★★★★★
()
Последнее исправление: ValdikSS (всего исправлений: 1)
General