Jump to content

gaaronk

Forum Members
  • Content Count

    184
  • Joined

  • Days Won

    1

gaaronk last won the day on May 16 2017

gaaronk had the most liked content!

Community Reputation

32 Excellent

About gaaronk

  • Rank
    Advanced Member

Equipment

  • Keenetic
    Giga III

Recent Profile Visitors

The recent visitors block is disabled and is not being shown to other users.

  1. gaaronk

    Добрый день. Включён IPv6 segment в режиме mode dhcp Судя по всему разным клиентам выдаются одинаковые адреса. Как посмотреть dhcp6 lease для домашнего сегмента?
  2. gaaronk

    Вопрос. А зачем при включённом ipv6 firewall открыты все порты на вход со стороны оборудования провайдера? В цепочке INPUT есть правило разрешающее все для source fe80::/10 В том числе и со стороны WAN интерфейса. По сути с link local адресов провайдера есть полный доступ к маршрутизатору. версия 3.1.10
  3. gaaronk

    Прошу прощения за задержку с ответом. Нет, полиси роутинга нет, но есть IPSec site-to-site. Такое впечатление что дергается в момент перестроения IKE SA, а не IPSec SA. Насчёт -w спасибо, попробую.
  4. gaaronk

    Забыл добавить - прошивка 2.15.C.5.0-0
  5. Подскажите пожалуйста, как правильно добавлять правила в цепочку PREROUTING в таблицу mangle ? Надо добавить три правила. Через скрипт в /opt/etc/ndm/netfilter.d/ это сделать НЕ ПОЛУЧАЕТСЯ. Скрипт дергается 5-6 раз в секунду. Вот например время когда вызывался скрипт. Mon Jul 8 06:10:36 MSK 2019 Mon Jul 8 06:10:36 MSK 2019 Mon Jul 8 06:10:36 MSK 2019 Mon Jul 8 06:10:36 MSK 2019 Mon Jul 8 06:10:36 MSK 2019 Mon Jul 8 06:10:49 MSK 2019 Mon Jul 8 06:10:49 MSK 2019 Mon Jul 8 06:10:49 MSK 2019 Mon Jul 8 06:10:49 MSK 2019 Mon Jul 8 06:10:49 MSK 2019 Mon Jul 8 06:10:50 MSK 2019 В итоге получается полная каша. Правила или дублируются, или не вставляются. Или вставляется 1-2 из трех. Как ПРАВИЛЬНО это делать?
  6. Нет не надо. В центре для удаленных точек которые за NAT можно не указывать адрес удаленной точки. tunnel source <WAN> или tunnel source auto а tunnel destination вообще не выставляем. Именно так все и работает, адрес автоматически выставляется на основе политики, полученной от IPsec. Можно даже автотуннели настроить, главное что бы имена интерфейсов на разных концах туннеля совпадали. То есть центре создаете интерфейсы Gre1 и Gre2. На первой удаленной точке делаете Gre1 интерфейс, на второй соотвественно Gre2 Все работает. Все описано. Каждая точка стучится в центр, при смене адреса у нее туннель переподнимается автоматом.
  7. bird лучше Белый адрес нужен только для центра звезды.
  8. Натяните везде GRE туннели и их шифруйте IPSec'ом. А там внутрь туннеля по маршрутизации что хотите то и отправляйте. У меня внутри туннелей бегает ospf на базе bird.
  9. gaaronk

    Вставлете правила с уникальным комментарием, например -m comment --comment unic_marker Потом в начале скрипта /opt/sbin/iptables -L -n -t filter | grep -q "unic_marker" && exit 0
  10. А какой опцией передается маршрут? Надо через 249
  11. Да, но нет. МСЭ имеет приоритет перед tunnels input И перед _NDM_IPSEC_INPUT_FILTER. Если я взаимодействую с пиром "B" по GRE с ипеском, то использование МСЭ разрешит любой GRE от "B", и запретит от остальных. Что никак не решает задачу - разрешить GRE ТОЛЬКО от "B" и ТОЛЬКО шифрованный.
  12. А как настроить firewall что бы разрешить только шифрованный GRE ? В цепочке _NDM_IPSEC_INPUT_FILTER мы разрешаем шифрованные GRE от наших пиров, и потом дропаем нешифрованный от них же. Разумно и логично. А потом в _NDM_TUNNELS_INPUT разрешаем от всех остальных... Как это запретить?
  13. Web морда не умеет делать правильные ACL для GRE туннелей. Только в CLI
  14. Если у вас такая схема, то вам надо обязательно: 1. Обновить кинетик до 2.10 2. Конфигурировать авто туннель на кинетикие в режиме ikev2 3. Посмотреть в /tmp/ipsec/ipsec.conf на кинетике какие он задал leftid и rightid что бы на линуксе настроить строго зеркально 4. Посмотреть в /tmp/ipsec/ipsec.conf на кинетике какие он задал ike, esp, ikelifetime, lifetime что бы на линуксе задать такие же 5. На линуксе в параметрах туннеля использовать как source локальный адрес линукса
×
×
  • Create New...