IPsec mit VTI, kein automat. Start bei Datenverkehr

[mimugmail]

War das jetzt ne Frage oder ein alter Screenshot oder geht jetzt alles?

[GaardenZwerch]

Hallo,

ja ipsec1000 ist da, Danke, und sorry für meine Blindheit.

Letzte Frage: 'Manual SPD' macht hier wohl keinen Sinn. Habe ich eine chance ein src NAT hinzukriegen mit diesem setup?
Danke

[mimugmail]

manual spd müsste funktionieren, keine Ahnung auf welchem Interface. Ich glaub das hat mal einer zum Laufen gebracht.

[GaardenZwerch]

Hallo,

ich krieg das im Moment nicht gebacken. Traffic geht in ipsec1000 (und enc0), aber das NAT greift nicht.
Vielleicht müsste mein NAT jetzt auf ipsec1000 arbeiten und nicht meht auf enc0.

Danke

[mimugmail]

... keine Ahnung auf welchem Interface.

Einfach testen ...

[GaardenZwerch]

Hallo,

in der NAT config kann ich als Interface ja nur 'IPsec' auswählen. Generiert wird dann 'enc0' in der config.xml. Auf der Gegenseite sehe ich dann nur original SRC Adressen auf enc0 und ipsec1000.

Wenn ich aber in der config.xml enc0 durch ipsec1000 ersetze und neu starte oder opnsense-shell reload mache passiert folgendes

• auf enc0 sowie auf ipsec1000 sehe ich geNATtete SRC Adressen 
• das SPI ist das gleiche wie auf der Gegenseite
• auf der Gegenseite herrscht Stille auf enc0 und ipsec1000, obwohl ipsec neu aufbaut
• es werden keinerlei Pakete mehr zwischen den beiden Gateways ausgetauscht

Wenn ich in der Konfig wieder auf enc0 zurückwechsle beim NAT, dann kommen dir Pakete wieder drüben an, aber mit original SRC.

[mimugmail]

Bei Routed IPSec wird ein neues Interfaces angelegt, das kannst du assignen und dann kannst du das auch als NAT Interface auswählen. Steht das nicht in der Doku?

[GaardenZwerch]

Ja stimmt. War mir gar nicht aufgefallen da es sogar automatischt assigned wird und den Namen aus der Description der Phase1 übernimmt.

Leider ändert es nichts an dem Verhalten:
wähle ich IPsec als interface im NAT, wird nicht geNATet, wähle ich ipsec1000, wird sieht es nach NAT aus, aber auf der Gegenseite kommt nichts mehr an, obwohl IPsec richtig verbindet, die route nach "192.168.2.0/24     10.111.1.2         UGS    ipsec1000" da ist...

[alh]

Hast du das mit dem NAT lösen können? Ich stehe nämlich vor genau dem gleichen Problem.

[mimugmail]

NAT und route-based IPsec ist momentan schwierig.
Du könntest mal die tuning parameter hier testen:

https://github.com/opnsense/docs/pull/279/files