networkmanager-strongswan vpn - VPN 経由で特定の IP をルーティングする

Question

ストロングスワンxfrmポリシーを通じて設定されるポリシールーティングを使用します。

ポリシーは、からdir outへのパケットをどのように処理するかを指定します。パケットは暗号化され、VPN トンネルを介して送信される必要があります。172.26.199.18/320.0.0.0/0
およびポリシーdir inは、暗号化されたパケットが着信したときに何を行うかを指定します。復号化後、からdir fwdのパケットが指定されたトンネルから来ていない場合は、そのパケットはドロップされます。プレーンテキストパケットはこれの対象になりません。0.0.0.0/0172.26.199.18/32

VPN ネットワークの使用を制限するには、次の 3 つの解決策があります。

これらのルールに表示されるネットワークは、IKE サーバーとリモートサーバーの間でネゴシエートされます。NetworkManager プラグインは常に、your_ip/32との間のトンネルを提案します0.0.0.0/0。リモートサーバーがとを提案した場合0.0.0.0/0、10.0.0.0/8結果として得られる接続は次のようになります:your_ip/32との間10.0.0.0/8。したがって、リモートエンドポイントの管理者に IKE デーモンを適切に構成するように依頼する必要があります。

VPNトンネルにNetworkManagerを使用することをやめて、カロンシステム簡単な設定ファイルを作成します (例/etc/swanctl/conf.d/my_vpn.conf):

connections {
    my_vpn {
        version = 2
        local_addrs=%any
        remote_addrs=vpn********.it
        local {
            auth = eap
            eap_id = your_username
        }
        remote {
            auth = pubkey
            id = server_name
        }
        children {
            my_tunnel {
                #local_ts = dynamic
                remote_ts = remote_network
            }
        }
    }
}

デーモン（systemctl reload strongswan-swanctl）をリロードして実行します：

swanctl --initiate --ike my_vpn --child my_tunnel

自動的にインストールされる値よりも小さい値を持つ独自のポリシーを追加してpriority、暗号化されていないトラフィックを許可します。例:
```
ip xfrm policy add src your_ip/32 dst 192.0.2.0/24 \
    dir out priority 1000
ip xfrm policy add src 192.0.2.0/24 dst your_ip/32 \
    dir in priority 1000
```
これにより、プレーンテキストのトラフィックが許可されます192.0.2.0/24。

Answer 1

ストロングスワンxfrmポリシーを通じて設定されるポリシールーティングを使用します。

ポリシーは、からdir outへのパケットをどのように処理するかを指定します。パケットは暗号化され、VPN トンネルを介して送信される必要があります。172.26.199.18/320.0.0.0/0
およびポリシーdir inは、暗号化されたパケットが着信したときに何を行うかを指定します。復号化後、からdir fwdのパケットが指定されたトンネルから来ていない場合は、そのパケットはドロップされます。プレーンテキストパケットはこれの対象になりません。0.0.0.0/0172.26.199.18/32

VPN ネットワークの使用を制限するには、次の 3 つの解決策があります。

これらのルールに表示されるネットワークは、IKE サーバーとリモートサーバーの間でネゴシエートされます。NetworkManager プラグインは常に、your_ip/32との間のトンネルを提案します0.0.0.0/0。リモートサーバーがとを提案した場合0.0.0.0/0、10.0.0.0/8結果として得られる接続は次のようになります:your_ip/32との間10.0.0.0/8。したがって、リモートエンドポイントの管理者に IKE デーモンを適切に構成するように依頼する必要があります。

VPNトンネルにNetworkManagerを使用することをやめて、カロンシステム簡単な設定ファイルを作成します (例/etc/swanctl/conf.d/my_vpn.conf):

connections {
    my_vpn {
        version = 2
        local_addrs=%any
        remote_addrs=vpn********.it
        local {
            auth = eap
            eap_id = your_username
        }
        remote {
            auth = pubkey
            id = server_name
        }
        children {
            my_tunnel {
                #local_ts = dynamic
                remote_ts = remote_network
            }
        }
    }
}

デーモン（systemctl reload strongswan-swanctl）をリロードして実行します：

swanctl --initiate --ike my_vpn --child my_tunnel

自動的にインストールされる値よりも小さい値を持つ独自のポリシーを追加してpriority、暗号化されていないトラフィックを許可します。例:
```
ip xfrm policy add src your_ip/32 dst 192.0.2.0/24 \
    dir out priority 1000
ip xfrm policy add src 192.0.2.0/24 dst your_ip/32 \
    dir in priority 1000
```
これにより、プレーンテキストのトラフィックが許可されます192.0.2.0/24。

networkmanager-strongswan vpn - VPN 経由で特定の IP をルーティングする

答え1

関連情報