如何解决Strongswan ipsec无法ping通子网
我连接了2个Strongswan,每个Ping都可以Ping。
当两个子网中的任何一个要对另一端ping一个IP时,我的问题就不会出现。
我知道我需要添加一些伪装,但是我不知道该怎么做(我已经使用route add -net x.x.x.x/x gw x.x.x.x
在其他网络元素上添加了路由)
面A:
conn a-to-b
leftfirewall=yes
lefthostaccess=yes
authby=secret
auto=start
compress=no
type=tunnel
keyexchange=ike
fragmentation=yes
forceencaps=no
dpdaction=clear
dpddelay=300s
rekey=no
left=172.16.2.249
leftid=1.1.6.13
leftsubnet=172.16.2.0/24
rightid=%any
right=1.1.7.3
rightsubnet=10.10.0.0/24
ike=aes128gcm16-sha256-modp2048
esp=aes128gcm16-sha256-modp4096
B面:
conn b-to-a
authby=secret
auto=start
compress=no
type=tunnel
keyexchange=ike
fragmentation=yes
leftfirewall=yes
forceencaps=no
dpdaction=clear
dpddelay=300s
rekey=no
left=1.1.7.3
leftsubnet=10.10.0.0/24
rightid=%any
right=1.1.6.13
rightsubnet=172.16.2.0/24
ike=aes128gcm16-sha256-modp2048
esp=aes128gcm16-sha256-modp4096
非常感谢!
解决方法
所以我需要:
在子网为10.10.0.0/24的gw上:
iptables -t nat -A POSTROUTING -s 172.16.2.0/24 -d 10.10.0.0/24 -j MASQUERADE
iptables -A FORWARD -s 172.16.2.0/24 -d 10.10.0.0/24 -j ACCEPT
具有子网172.16.2.0/24的gw:
iptables -t nat -A POSTROUTING -s 10.10.0.0/24 -d 172.16.2.0/24 -j MASQUERADE
iptables -A FORWARD -s 10.10.0.0/24 -d 172.16.2.0/24 -j ACCEPT
就是这样!
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。