บรรจวบ เข้าสู่ระบบ
Score:0
Gnujeremie avatar Server

NAT ต้นทาง IP ใน Strongswan IPSEC VPN บน Amazon EC2

ธง in
Gnujeremie

โอเค ก่อนอื่นเลย เครือข่ายไม่เหมาะกับฉันจริงๆ...

ฉันมีอินสแตนซ์ Amazon Linux EC2, ip 172.31.46.176, เชื่อมต่อกับ IPSEC VPN โดยใช้ strongswan :

เชื่อมต่อ aws-to-อื่นๆ
        พิมพ์=อุโมงค์
        อัตโนมัติ = เริ่มต้น
        การแลกเปลี่ยนคีย์=ikev2
        authby = ความลับ
        # เซิร์ฟเวอร์สถานที่ IP
        ซ้าย=172.31.46.176
        # IP เซิร์ฟเวอร์สาธารณะ
        leftid=XX.XX.XX.XX
        # Sous réseau ท้องถิ่น
        leftsubnet=10.255.254.0/24
        # IP ระยะทางสาธารณะ
        ขวา=ปปปปปปปป
        # Sous réseau ห่างไกล
        rightsubnet=172.16.91.0/24
        ike=aes256-sha2_256-modp2048!
        esp=aes256-sha256-modp2048!
        ก้าวร้าว=ไม่
        การป้อนคีย์ = % ตลอดไป
        ikelifetime=86400s
        อายุการใช้งาน = 3600 วินาที
        dpddelay=30 วินาที
        dpdtimeout=120 วินาที
        dpdaction=รีสตาร์ท

ลิงก์ขึ้นและเชื่อมต่อ

โฮสต์อื่นใช้ IP 172.16.X.X ด้วย ในการติดต่อกับเครื่องด้วย IP 172.16.91.213 ฉันต้องตั้งค่ากฎ NAT เพื่อให้ดูเหมือนว่า IP ของฉันคือ FROM 10.255.254.0/24

จนถึงตอนนี้:

  • ฉันเปิดใช้งานการส่งต่อ IP (/proc/sys/net/ipv4/ip_forward)

  • ฉันปิดใช้งานการตรวจสอบต้นทาง/ปลายทางในการกำหนดค่าเครือข่ายอินสแตนซ์ EC2 ของฉัน

  • ฉันเหนื่อย iptables -t nat -A POSTROUTING -s 10.255.254.0/24 -o นโยบาย eth0 -m --dir out --pol ipsec -j ยอมรับ iptables -t nat -A POSTROUTING -s 10.255.254.0/24 -o eth0 -j สวมหน้ากาก จาก https://wiki.strongswan.org/projects/strongswan/wiki/ForwardingAndSplitTunneling

  • ฉันได้เล่นกับกฎ iptables แต่จนถึงตอนนี้ยังไม่ค่อยดีนัก

ฉันกำลังสูญเสีย ถ้าใครสามารถชี้ทางให้ฉันได้ ฉันจะดีมากจริงๆ

ขอบคุณ

243
0 + 1
cn flag
ecdsa
กฎของ NAT ในหน้านั้นและกฎที่คุณโพสต์ไว้ด้านบนคือการรับส่งข้อมูล NAT จากเครือข่ายย่อยเฉพาะ (`-s ...`) ไปยัง IP จริงของเซิร์ฟเวอร์ (`-j MASQUERADE`) คุณต้องเปลี่ยนหรือลบตัวเลือก `-s` แน่นอน (คุณสามารถใช้ซับเน็ต `172.16.x.x/x` ในเครื่องของคุณ) และคุณอาจต้องการใช้บางอย่างเช่น `-j SNAT --to-source 10.255.254.1` ( เช่น NAT การรับส่งข้อมูลทั้งหมดไปยัง IP เดียวในเครือข่ายย่อยแบบทันเนล) หรืออีกทางหนึ่ง คุณสามารถใช้เป้าหมาย 'NETMAP' เพื่อจับคู่ IP จากซับเน็ต 172.16.x.x ของคุณกับซับเน็ต '10.255.254.0/24'
0
ตอบกลับ
ธงชาติไทย
Kulap
คำถามนี้เป็นภาษาอื่นๆ:

โพสต์คำตอบ

คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา