msamoylov 22 апр 2013 в 17:29

StrongSwan. Remote Access VPN с использованием MSCHAPv2-EAP

4 мин

23K

Информационная безопасность*

Туториал

Комментарии 9

Obramko 22 апр 2013 в 20:16

Спасибо.
Напишите, как связать accel-pptp в l2tp режиме с IPSEC.

msamoylov 22 апр 2013 в 23:51

Я настраивал x2ltpd, если интересно, то распишу, пока смотреть через альтернативные варианты нет времени и не особо интересно.

Maximus43 22 апр 2013 в 22:43

type=transport
С таким параметром VPN будет работать только если и клиент, и сервер находятся в «прямой» видимости, т.е. без NAT.
Т.е. крайне редко. Напишите, что надо будет открыть на файрволе порт UDP 500 и два протокола: AH и ESP.

msamoylov 22 апр 2013 в 23:50

Ок, напишу, но схем, когда VPN-шлюз является и МСЭ, и стоит на периметре очень много, а если есть NAT, то обычно транслируют один в один (порт 500 в порт 500), а т.к. NAT-T включен по умолчанию в IKEv2 все будет работать без доп. настроек в большинстве случаев. Иначе это плохой дизайн сети, непродуманный.

Maximus43 22 апр 2013 в 23:52

Трансляция адреса нарушит целостность IP заголовка, такой пакет в транспортном режиме будет отбрасываться. NAT-T работает только в туннельном режиме, и на UDP 4500.

msamoylov 23 апр 2013 в 09:36

Напишу другими словами. Т.к. включен NAT-T, а NAT-устройства не блокируют IPSEC-пакеты и правильно их транслирует все работает и в такой конфигурации. В рабочей сети у меня сервер имеет белый IP, а клиенты нет и все замечательно работает именно по причине, которую указал.
Сегодня проверю работает ли в туннельном режиме, но должно работать.