VPNシステムとLinuxサーバーを使用して、企業ネットワークとAmazonのVirtual Private Cloudの間にIPSec VPN接続をセットアップしようとしています。残念ながら、私が見つけた唯一のガイドでは、ホストLinuxマシンを使用してトンネルを設定し、そのLinuxマシンでVPCインスタンスにアクセスする方法について説明していますが、インスタンスで企業ネットワークにアクセスする方法についてオンラインで見つけることはできません。 （またはそのネットワーク経由のインターネットの残りの部分）。
ネットワーク情報
Local subnet: 10.3.0.0/25
Remote subnet: 10.4.0.0/16
Tunnel 1:
Outside IP Addresses:
- Customer Gateway: : 199.167.xxx.xxx
- VPN Gateway : 205.251.233.121
Inside IP Addresses
- Customer Gateway : 169.254.249.2/30
- VPN Gateway : 169.254.249.1/30
Tunnel 2:
Outside IP Addresses:
- Customer Gateway: : 199.167.xxx.xxx
- VPN Gateway : 205.251.233.122
Inside IP Addresses
- Customer Gateway : 169.254.249.6/30
- VPN Gateway : 169.254.249.5/30
ここに私の/etc/ipsec-tools.confがあります：
flush;
spdflush;
spdadd 169.254.249.2/30 169.254.249.1/30 any -P out ipsec
esp/tunnel/199.167.xxx.xxx-205.251.233.121/require;
spdadd 169.254.249.1/30 169.254.249.2/30 any -P in ipsec
esp/tunnel/205.251.233.121-199.167.xxx.xxx/require;
spdadd 169.254.249.6/30 169.254.249.5/30 any -P out ipsec
esp/tunnel/199.167.xxx.xxx-205.251.233.122/require;
spdadd 169.254.249.5/30 169.254.249.6/30 any -P in ipsec
esp/tunnel/205.251.233.122-199.167.xxx.xxx/require;
spdadd 169.254.249.2/30 10.4.0.0/16 any -P out ipsec
esp/tunnel/199.167.xxx.xxx-205.251.233.121/require;
spdadd 10.4.0.0/16 169.254.249.2/30 any -P in ipsec
esp/tunnel/205.251.233.121-199.167.xxx.xxx/require;
spdadd 169.254.249.6/30 10.4.0.0/16 any -P out ipsec
esp/tunnel/199.167.xxx.xxx-205.251.233.122/require;
spdadd 10.4.0.0/16 169.254.249.6/30 any -P in ipsec
esp/tunnel/205.251.233.122-199.167.xxx.xxx/require;
これが私の/etc/racoon/racoon.confです：
remote 205.251.233.122 {
exchange_mode main;
lifetime time 28800 seconds;
proposal {
encryption_algorithm aes128;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group 2;
}
generate_policy off;
}
remote 205.251.233.121 {
exchange_mode main;
lifetime time 28800 seconds;
proposal {
encryption_algorithm aes128;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group 2;
}
generate_policy off;
}
sainfo address 169.254.249.2/30 any address 169.254.249.1/30 any {
pfs_group 2;
lifetime time 3600 seconds;
encryption_algorithm aes128;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
}
sainfo address 169.254.249.6/30 any address 169.254.249.5/30 any {
pfs_group 2;
lifetime time 3600 seconds;
encryption_algorithm aes128;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
}
BGPは正常に動作しているので、これらの構成を投稿するつもりはありません。
これがうまくいく
- Linuxボックスから、ローカルエンドポイント（169.254.249.2/169.254.249.6）とそれに対応するリモートエンドポイント（169.254.249.1/169.254.249.5）にpingを送信できます。
- VPCのインスタンスにpingしたり、SSHでインスタンスを作成したりすることもできます。
- VPCのリモートインスタンスから、ローカルエンドポイントとリモートエンドポイントにもpingを実行できます
- 10.3.0.0/25サブネット上のローカルサーバーにpingできない
単純なものがないと思いますが、{ローカルサブネット} <-> {リモートエンドポイント}を使用して、{ローカルエンドポイント} <-> {リモートサブネット}をミラーリングするためにipsec-tools.confにエントリを追加しようとしましたが、しかし、それはうまくいかなかったようです。
{リモートインスタンス}から{ローカルサーバー}にpingを実行すると、pingがタイムアウトします。パケットはeth0インターフェイスで表示されます（ローカルネットワークがeth1にある場合でも）。
Googleはほとんど助けになりませんでした。OpenSwanを使用しようとしている人、または同様の問題を抱えているがハードウェアルーターを使用している人、または古いツールを使用している人のみが表示されます。
私は専門家だが、ここからと思われwiki.debian.org/IPsec手動でIPSecを使用しているとき、私は..かかわらず、間違っているかもしれないリモート、ローカルネットワークへのルートを追加することが必要であること
—
user993553