[Sysadmins] VPN и NAT

[Sysadmins] VPN и NAT

[Avramenko Andrew]

Доброго всем дня!


Помогите пожалуйста решить беду. Есть такая схема:


LAN1 ----> Шлюз ----- (VPN) ----> LAN2

Нужно настроить маскарадинг таким образом, чтобы с компьютеров локальной сети LAN1 можно 
было получить доступ к компьютерам локальной сети LAN2. Простой маршрутизацией обойтись 
нельзя, так как на удаленной стороне ничего не знают о моей сети и в принципе знать им 
это не надо. Повлиять на их настройки я тоже никак не могу.

Когда  делаю маскарадинг таким образом:
iptables -t nat -A POSTROUTING -o cipsec0 -j MASQUERADE

При выполнении с LAN1 ping'а компьютера из LAN2 вместо него отвечает шлюз. Примерно так:

root@ localhost #ping 172.16.52.28
PING 172.16.52.28 (172.16.52.28) 56(84) bytes of data.
64 bytes from 10.222.222.99: icmp_seq=1 ttl=60 time=159 msping

где 10.222.222.99 - адрес шлюза.

Подскажите пожалуйста, где я ошибся.


-- 
С уважением,
Андрей 

Re: [Sysadmins] VPN и NAT

[Alexander Volkov]

On 2007-06-20 10:09:57 +0400, Avramenko Andrew wrote:
AA> Доброго всем дня!


AA> Помогите пожалуйста решить беду. Есть такая схема:


AA> LAN1 ----> Шлюз ----- (VPN) ----> LAN2

AA> Нужно настроить маскарадинг таким образом, чтобы с компьютеров локальной сети LAN1 можно 
AA> было получить доступ к компьютерам локальной сети LAN2. Простой маршрутизацией обойтись 
AA> нельзя, так как на удаленной стороне ничего не знают о моей сети и в принципе знать им 
AA> это не надо. Повлиять на их настройки я тоже никак не могу.

AA> Когда  делаю маскарадинг таким образом:
AA> iptables -t nat -A POSTROUTING -o cipsec0 -j MASQUERADE

AA> При выполнении с LAN1 ping'а компьютера из LAN2 вместо него отвечает шлюз. Примерно так:

AA> root@ localhost #ping 172.16.52.28
AA> PING 172.16.52.28 (172.16.52.28) 56(84) bytes of data.
AA> 64 bytes from 10.222.222.99: icmp_seq=1 ttl=60 time=159 msping

AA> где 10.222.222.99 - адрес шлюза.

AA> Подскажите пожалуйста, где я ошибся.
А где тип VPN, версии пакетов?

--
 Regards, Alexander

Re: [Sysadmins] VPN и NAT

[Gosha]

Hi Andrew!

 В сообщении от Среда 20 июня 2007 Avramenko Andrew написал(a):

> Нужно настроить маскарадинг таким образом, чтобы с компьютеров локальной
> сети LAN1 можно было получить доступ к компьютерам локальной сети LAN2.
> Простой маршрутизацией обойтись нельзя, так как на удаленной стороне ничего
> не знают о моей сети и в принципе знать им это не надо. Повлиять на их
> настройки я тоже никак не могу.

IMHO тогда не получится.
Вы замаскарадитесь, та сеть скорее всего тоже. 
И будете и вы и они видеть только ваши шлюзы.
В любом случае, хоть просто тунель, хоть vpn какой-нибудь, хоть ipsec (а вы 
судя по приведенной ниже строке именно его хотите реализовать?) не получится 
настроить только с одной стороны.

> Когда  делаю маскарадинг таким образом:
> iptables -t nat -A POSTROUTING -o cipsec0 -j MASQUERADE
>
> При выполнении с LAN1 ping'а компьютера из LAN2 вместо него отвечает шлюз.
> Примерно так:
>
> root@ localhost #ping 172.16.52.28
> PING 172.16.52.28 (172.16.52.28) 56(84) bytes of data.
> 64 bytes from 10.222.222.99: icmp_seq=1 ttl=60 time=159 msping
>
> где 10.222.222.99 - адрес шлюза.

Все правильно. 
Их шлюз (10.222.222.99) получает пинги от вашего шлюза, а не от вас. А про ваш 
замаскараженный адрес он ничего не знает.
А машина с адресом 172.16.52.28 понятия не имеет где ваша
сеть находится, она маскарадится под свой шлюз (10.222.222.99), который ей 
передает запросы и с которго вы и получаете ответы...
-- 
Best regards!
Igor Solovyov