Добрый день, коллеги.
Настраиваю сервер с двумя интерфейсами, белый и серый адрес.
На нем установлен vpn клиент, который соединяется с vpn сервером, настроил свой сервер для раздачи интернета через vpn тунель.
(Firewalld) Настройка выполняется для двух сетевых интерфейсов — ens224 (внутренний) и tun0 (тунель):
Код:
firewall-cmd --direct --permanent --add-rule ipv4 nat POSTROUTING 0 -o tun0 -j MASQUERADE
firewall-cmd --direct --permanent --add-rule ipv4 filter FORWARD 0 -i ens224 -o tun0 -j ACCEPT
firewall-cmd --direct --permanent --add-rule ipv4 filter FORWARD 0 -i tun0 -o ens224 -m state --state RELATED,ESTABLISHED -j ACCEPT
В подсети с интерфейсом ens224 (10.102.0.0/24) есть виртуальная Cisco CSR-1000v, на ней я настроил route-map для доступа к серверу с других подсетей:
Код:
conf t
ip access-list extended LIST_VPN
permit ip 0.0.0.0 255.255.255.255 188.114.98.0 0.0.0.255
permit ip 0.0.0.0 255.255.255.255 188.114.99.0 0.0.0.255
end
conf t
route-map NAT-VPN permit 10
match ip address LIST_VPN
set ip next-hop 10.102.0.3
end
conf t
interface GigabitEthernet2
ip policy route-map NAT-VPN
end
Где 10.102.0.3 адрес сервера с ВПН клиентом, GigabitEthernet2 - внутренний интерфейс CSR-1000v для подсети 10.102.0.0/24
и на тунельный интерфейс тоже повесил:
Код:
interface Tunnel100
description -=GRE-IPSEC_TO_COD=-
ip address 172.20.2.1 255.255.255.252
ip tcp adjust-mss 1350
ip ospf message-digest-key 1 md5 7 000000000000
ip ospf mtu-ignore
ip ospf cost 120
ip policy route-map NAT-VPN
tunnel source GigabitEthernet1
tunnel mode ipsec ipv4
tunnel destination 000.000.000.000
tunnel protection ipsec profile CODCSR-IPsecProfile
Из подсети 10.102.0.0/24 трафик ходит согласно описанному route-map и все нормально, а если из других подсетей подключенных через interface Tunnel100
traceroute доходит до сервера 10.102.0.3, я вижу в iftop что ответ на пинг отправляется но к клиенту он не попадает хотя с самого сервера все подсети пингуются нормально.
Подскажите может я не дописал какие то правила для Firewalld на сервере или не правильно настроил CSR-1000v ?
