☰

Subnetze pingen sich nicht gegenseitig über den StrongsWA-VPN-Tunnel

tag-icon • tag-icon vpn ping iproute tunneling strongswan
Subnetze pingen sich nicht gegenseitig über den StrongsWA-VPN-Tunnel

AOA, ich habe zwei Clients, einen Remote-Client und einen lokalen Client, aber beide im selben LAN, d. h. (192.168.137.0/24), während die UBuntu-Server, auf denen Strongswan implementiert ist, über ein Ethernet-Kabel mit den Portadressen 10.10.3.10 bzw. 10.10.3.11 miteinander verbunden sind und mit Geräten mit den Portadressen 192.168.137.10 bzw. 11 verbunden sind.

Wenn der Tunnel jedoch hergestellt ist, pingen sich die Geräte gegenseitig an, die Subnetze jedoch nicht.

Muss ich noch ein paar Routen hinzufügen? Konfiguration:

Client1(192.168.137.19)-----(192.168.137.10)Gerät1(10.10.3.10)=====(10.10.3.11)Gerät2(192.168.137.11)-------Client2(192.168.137.20)

ipsec.conf Gerät1

'config setup
    charondebug="all"
    uniqueids=yes
    strictcrlpolicy=no
conn %default
conn TUFAAN
    type=tunnel
    auto=start
    keyexchange=ikev2
    authby=secret
    left=10.10.3.10
    leftsubnet=192.168.137.0/24
    right=10.10.3.11
    rightsubnet=192.168.137.0/24
    ike=aes256-sha1-modp1024!
    esp=aes256-sha1!
    aggressive=no
    keyingtries=%forever
    ikelifetime=28800s
    lifetime=3600s
    dpddelay=30s
    dpdtimeout=120s
    dpdaction=restart'

ipsec.conf Gerät2

'config setup
    charondebug="all"
    uniqueids=yes
    strictcrlpolicy=no
conn %default
conn TUFAAN
    type=tunnel
    auto=start
    keyexchange=ikev2
    authby=secret
    left=10.10.3.11
    leftsubnet=192.168.137.0/24
    right=10.10.3.10
    rightsubnet=192.168.137.0/24
    ike=aes256-sha1-modp1024!
    esp=aes256-sha1!
    aggressive=no
    keyingtries=%forever
    ikelifetime=28800s
    lifetime=3600s
    dpddelay=30s
    dpdtimeout=120s
    dpdaction=restart'

Antwort1

Deinlinke Subnetzeund deinrichtige Subnetzesind dasselbe Subnetz; woher soll ein Paket wissen, wohin es gehen soll? Wenn ein Gerät in einem Subnetz (in diesem Fall ist es wirklich egal, in welchem) versucht, 192.168.137.8 anzupingen, warum sollte es dafür über das VPN reisen, anstatt in seiner eigenen Kollisionsdomäne zu bleiben?

Die tatsächlichen IP-Adressen der Strongswan-VPN-Server sind inzwischen viel weniger verwirrend: Sie sind beide Mitglieder derselben Kollisionsdomäne und haben innerhalb dieser Domäne eindeutige IP-Adressen, d. h. 10.10.3.10 und 11.

verwandte Informationen