[System admin]

must die Перекопал весь Firewall, не пашет :-(
Я уже не знаю чё делать.....не знаешь ? Есть какие то другие пакеты для создания шифрованных туннелей такого же типа.... ?

[must die]

must die Перекопал весь Firewall, не пашет :-(

То есть файрвол правильно сконфигурирован?
Если так тогда tcpdump или iptraf в руки и смотреть что там и куда ходит.

[System admin]

must die Я таки добился хождения пакетов из одной сетки в другую..
Но ошибка осталась :-(

root@grandgw:~# ipsec verify
Checking your system to see if IPsec got installed and started correctly:
Version check and ipsec on-path [OK]
Linux Openswan cvs2002Mar11_15:19:03 (klips)
Checking for IPsec support in kernel [OK]
Checking for RSA private key (/etc/ipsec.secrets) [OK]
Checking that pluto is running [OK]
Two or more interfaces found, checking IP forwarding [OK]
Checking NAT and MASQUERADEing
Checking tun0x1002@89.209.82.10 from 192.168.1.0/24 to 192.168.0.0/24 [FAILED]
MASQUERADE from 192.168.1.0/24 to 0.0.0.0/0 kills tunnel 192.168.1.0/24 -> 192
.168.0.0/24
Checking for 'ip' command [OK]
Checking for 'iptables' command [OK]

Opportunistic Encryption DNS checks:
Looking for TXT in forward dns zone: grandgw [MISSING]
Does the machine have at least one non-private address? [OK]
Looking for TXT in reverse dns zone: 182.94.138.195.in-addr.arpa. [MISSING
]

И насколько я понял по пингу...пакеты не шифруются :-((

root@anteygw:~# tcpdump -i ipsec0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ipsec0, link-type LINUX_SLL (Linux cooked), capture size 96 bytes
21:01:30.871088 IP 192.168.1.1 > 192.168.0.191: ICMP echo request, id 512, seq 37480, length 40
21:01:30.871406 IP 192.168.0.191 > 192.168.1.1: ICMP echo reply, id 512, seq 37480, length 40
21:01:31.865940 IP 192.168.1.1 > 192.168.0.191: ICMP echo request, id 512, seq 37992, length 40
21:01:31.866327 IP 192.168.0.191 > 192.168.1.1: ICMP echo reply, id 512, seq 37992, length 40

root@anteygw:~# tcpdump -i ipsec0 -vv
tcpdump: listening on ipsec0, link-type LINUX_SLL (Linux cooked), capture size 96 bytes
20:59:33.655635 IP (tos 0x0, ttl 127, id 4592, offset 0, flags [none], proto: ICMP (1), length: 60) 192.168.1.1 > 192.168.0.191: ICMP echo request, id 512, seq 36967, length 40
20:59:33.656023 IP (tos 0x0, ttl 127, id 9017, offset 0, flags [none], proto: ICMP (1), length: 60) 192.168.0.191 > 192.168.1.1: ICMP echo reply, id 512, seq 36967, length 40

Есть у тебя какие то еще соображения по этому поводу ? Если тебе моя проблема еще не надоела.... :-/

Спасиб... :-)

[must die]

must die Я таки добился хождения пакетов из одной сетки в другую.. Но ошибка осталась :-(

А как добился то?

[System admin]

must die Честно, звучит глупо..но не знаю :-(
Просто заработало и работает до сих пор....
Таке не могу понять почему появляется ошибка Маскарадинга, ведь я исключил сеть получателя из Маскарад-листа...
Ошибка полностью пропадает если
из правил iptables убрать строку iptables -A POSTROUTING -t nat -s 192.168.1.0/24 -d! 192.168.0.0/24 -j MASQUERADE, тогда ошибка пропадает..
пакеты ходят также само - нешифроваными :-( Ну и, соответственно пропадает инет на машинах.....
Просканил порты..пакеты не ходят 500ый портТочнее ходят..но только в момент соединения и проверки ключей.
Читал разные Траблшутинги в доках по Openswan, мои ошибки там не описаны... :-(

[System admin]

must die Вот еще что заметил только недавно...при загрузке ядра...в логах почитал такие сообщения :
Mar 26 02:21:23 anteygw kernel: klips_info:ipsec_init: KLIPS startup, Openswan KLIPS IPsec stack version: cvs2002Mar12_02:19:03
Mar 26 02:21:23 anteygw kernel: NET: Registered protocol family 15
Mar 26 02:21:23 anteygw kernel: klips_info:ipsec_alg_init: KLIPS alg v=0.8.1-0 (EALG_MAX=255, AALG_MAX=251)
Mar 26 02:21:23 anteygw kernel: klips_info:ipsec_alg_init: calling ipsec_alg_static_init()
Mar 26 02:21:23 anteygw kernel: KLIPS cryptoapi interface: alg_type=15 alg_id=12 name=aes keyminbits=128 keymaxbits=256, found(0)
Mar 26 02:21:23 anteygw kernel: KLIPS cryptoapi interface: alg_type=15 alg_id=253 name=twofish keyminbits=128 keymaxbits=256, found(0)
Mar 26 02:21:23 anteygw kernel: KLIPS cryptoapi interface: alg_type=15 alg_id=252 name=serpent keyminbits=128 keymaxbits=256, found(0)
Mar 26 02:21:23 anteygw kernel: KLIPS cryptoapi interface: alg_type=15 alg_id=6 name=cast5 keyminbits=128 keymaxbits=128, found(0)
Mar 26 02:21:23 anteygw kernel: KLIPS cryptoapi interface: alg_type=15 alg_id=7 name=blowfish keyminbits=96 keymaxbits=448, found(0)
Mar 26 02:21:23 anteygw kernel: KLIPS cryptoapi interface: alg_type=15 alg_id=3 name=des3_ede keyminbits=192 keymaxbits=192, found(0)
Mar 26 02:21:23 anteygw kernel: KLIPS cryptoapi interface: alg_type=15 alg_id=2 name=des keyminbits=64 keymaxbits=64, found(0)
Mar 26 02:21:23 anteygw kernel: IPv4 over IPv4 tunneling driver
Mar 26 02:21:23 anteygw kernel: GRE over IPv4 tunneling driver
Mar 26 02:21:23 anteygw kernel: ip ah init: can't add protocol --------я так понимаю по этому может и не быть шифрования :-(-----------
Mar 26 02:21:23 anteygw kernel: ip esp init: can't add protocol ---------------------------------------------------------------------------------------------

Что может быть ?

[must die]

System admin

Может попробуешь использовать Netkey вместо KLIPS - это реализация ipsec встроенная в ядра 2.6.
Если осталось стандартное ядро, попробуй загрузиться в него и попробовать поднять тунель.

[System admin]

must die Нуууу стандартного ядра 2.6 небыло у меня никогда...а что надо сделать чтоб включить этот Netkey ?
Нужен ли для этого Openswan ? И есть ли у тебя какая то понятная ссылка на настройку через Netkey..а то я в этом деле новичок, но очень надо научиться это делать...

Спасиб :-)

[must die]

System admin

Какая у тебя система и ядро?

[System admin]

must die Slackware 10.1 и 11.0 ядра скомпилировал из исходников v2.6.15.1
Openswan скачал последний...щас не припомню версию...