networkmanager-strongswan vpn: enrutamiento de IP específica a través de VPN

Question

cisne fuerteutiliza enrutamiento de políticas, que se configuran a través de xfrmpolíticas:

la dir outpolítica dice qué hacer con los paquetes desde 172.26.199.18/32hasta 0.0.0.0/0: deben cifrarse y enviarse a través del túnel VPN.
las políticas dir iny dir fwddicen qué hacer cuando llega un paquete cifrado. Si, después del descifrado, un paquete de 0.0.0.0/0a 172.26.199.18/32no proviene del túnel especificado, se descarta. Los paquetes de texto plano no están sujetos a esto.

Para restringir el uso de la red VPN tienes tres soluciones:

Las redes que aparecen en estas reglas se negocian entre tu servidor IKE y el remoto. El complemento NetworkManager siempre propone un túnel entre your_ip/32y 0.0.0.0/0. Si el servidor remoto lo propone 0.0.0.0/0y 10.0.0.0/8la conexión resultante será: entre your_ip/32y 10.0.0.0/8. Por lo tanto, debe pedirle al administrador del punto final remoto que configure correctamente su demonio IKE.

Puedes renunciar a utilizar NetworkManager para el túnel VPN, instalarsistema-carontey cree un archivo de configuración simple (por ejemplo /etc/swanctl/conf.d/my_vpn.conf):

connections {
    my_vpn {
        version = 2
        local_addrs=%any
        remote_addrs=vpn********.it
        local {
            auth = eap
            eap_id = your_username
        }
        remote {
            auth = pubkey
            id = server_name
        }
        children {
            my_tunnel {
                #local_ts = dynamic
                remote_ts = remote_network
            }
        }
    }
}

recarga el demonio ( systemctl reload strongswan-swanctl) y ejecuta:

swanctl --initiate --ike my_vpn --child my_tunnel

Agregue sus propias políticas, con un priorityvalor menor que el instalado automáticamente, que permitirá el tráfico no cifrado, por ejemplo:
```
ip xfrm policy add src your_ip/32 dst 192.0.2.0/24 \
    dir out priority 1000
ip xfrm policy add src 192.0.2.0/24 dst your_ip/32 \
    dir in priority 1000
```
lo que permitirá que el tráfico de texto sin formato 192.0.2.0/24.

Answer 1

cisne fuerteutiliza enrutamiento de políticas, que se configuran a través de xfrmpolíticas:

la dir outpolítica dice qué hacer con los paquetes desde 172.26.199.18/32hasta 0.0.0.0/0: deben cifrarse y enviarse a través del túnel VPN.
las políticas dir iny dir fwddicen qué hacer cuando llega un paquete cifrado. Si, después del descifrado, un paquete de 0.0.0.0/0a 172.26.199.18/32no proviene del túnel especificado, se descarta. Los paquetes de texto plano no están sujetos a esto.

Para restringir el uso de la red VPN tienes tres soluciones:

Las redes que aparecen en estas reglas se negocian entre tu servidor IKE y el remoto. El complemento NetworkManager siempre propone un túnel entre your_ip/32y 0.0.0.0/0. Si el servidor remoto lo propone 0.0.0.0/0y 10.0.0.0/8la conexión resultante será: entre your_ip/32y 10.0.0.0/8. Por lo tanto, debe pedirle al administrador del punto final remoto que configure correctamente su demonio IKE.

Puedes renunciar a utilizar NetworkManager para el túnel VPN, instalarsistema-carontey cree un archivo de configuración simple (por ejemplo /etc/swanctl/conf.d/my_vpn.conf):

connections {
    my_vpn {
        version = 2
        local_addrs=%any
        remote_addrs=vpn********.it
        local {
            auth = eap
            eap_id = your_username
        }
        remote {
            auth = pubkey
            id = server_name
        }
        children {
            my_tunnel {
                #local_ts = dynamic
                remote_ts = remote_network
            }
        }
    }
}

recarga el demonio ( systemctl reload strongswan-swanctl) y ejecuta:

swanctl --initiate --ike my_vpn --child my_tunnel

Agregue sus propias políticas, con un priorityvalor menor que el instalado automáticamente, que permitirá el tráfico no cifrado, por ejemplo:
```
ip xfrm policy add src your_ip/32 dst 192.0.2.0/24 \
    dir out priority 1000
ip xfrm policy add src 192.0.2.0/24 dst your_ip/32 \
    dir in priority 1000
```
lo que permitirá que el tráfico de texto sin formato 192.0.2.0/24.

networkmanager-strongswan vpn: enrutamiento de IP específica a través de VPN

Respuesta1

información relacionada