К сожалению CLI на этой циске нет.gumeniuc писал(а):На этой циске есть CLI ?
При таком конфиге предполагается, что на фре и циске публичные статические IP адреса. У меня статика только на фре. Как при динамическом адресе на cisco прописывать gif и ipsec.conf на freebsd?werder31 писал(а):Вот мои рабочий конфиг. У меня обьеденено так 4-и сетки, но в конфиге я оставил только одну.
Только ping и trace route, capture packets и log.gumeniuc писал(а):на циске какие-то инструменты для диагностики есть ?
Как с хостов в сети так и с самой циски и фри.gumeniuc писал(а):откуда отправляете тестовые пинги ?
Если с циски пинговать сеть за тонелем пишет 5 пакетов послано, 0 получено. Если с циски сделать трасероут показывает, что пакеты на сеть за тонелем заварачиваются не в тонель, а идут на шлюз по умолчанию. Такая же картина и на freebsd. Такое ощущение, что не циска ни фри просто не знают куда заварачивать пакеты. Почему?gumeniuc писал(а):при пинге хоста из локальной сети с циски tcpdump что-то показывает ?
Код: Выделить всё
>>cat /etc/rc.conf | grep gif0
cloned_interfaces="gif0"
gif_interfaces="gif0"
gifconfig_gif0="111.111.111.111 222.222.222.222"
ifconfig_gif0="inet 192.168.200.1 192.168.200.3 netmask 255.255.255.0"
Как я могу сделать gif интерфейс если у меня со стороны циски динамика? Я так понимаю для gif-a обязательно наличие статики с обеих сторон?kharkov_max писал(а):1. Ракун не маршрутизит, а шифрует трафик, по политикам setkey.
Попробуйте начать с более простого, не шифровать...
т.е. соеденить сетки без racoon, только через gif, если заработает, нахлабучивайте далее.
2. setkey -DP показывает какие политики вообще есть, но НЕ показывает работает шифрование по ним или нет.
Что бы проверить шифрование по политикам нужно юзать setkey -D, и если тут пусто - то шифрованый трафик не ходит.
3. Думаю что имеет смысл задать gif интерфейс через rc.conf, хоты можно и скриптом.
Я бы убрал mtu оно не нужно ...4. У меня тоже когда то был косяк с ipsec-tool, нечто похожее, помогло обновление системы и всех портов.Код: Выделить всё
>>cat /etc/rc.conf | grep gif0 cloned_interfaces="gif0" gif_interfaces="gif0" gifconfig_gif0="111.111.111.111 222.222.222.222" ifconfig_gif0="inet 192.168.200.1 192.168.200.3 netmask 255.255.255.0"
Ничего не показывает, то есть никаких дополнительных маршрутов после установления тоннеля не появляется. Я пробовал и руками прописать маршрут на удаленную подсеть не помогает. Может конечно я не так маршрут прописываю - я прописывал:kharkov_max писал(а):А что говорит netstat -rn на freebsd после того как setkey -D что то начинает показывать ?
Я понимаю, что скорее всего не хватает какого-то маршрута, но какого именно? С gif понятно, он виден и ясно где что прописывать. Но без gif, когда все создается динамически, что и где прописывать я так и не пойму?kharkov_max писал(а):http://www.freebsd.org/doc/ru/books/han ... uting.html
Код: Выделить всё
flush;
spdflush;
spdadd aaa.aaa.8.0/24 bbb.bbb.0.0/24 any -P out ipsec esp/tunnel/XXX.XXX.XXX.XXX-YYY.YYY.YYY.YYY/use;
spdadd bbb.bbb.0.0/24 aaa.aaa.8.0/24 any -P in ipsec esp/tunnel/YYY.YYY.YYY.YYY-XXX.XXX.XXX.XXX/use;
Dynamic CryptoMapХрюша писал(а):что бы клиент который подключается имел динамический адрес?
И как же это реализовать на фре? Насколько я понял Dynamic CryptoMap это цисковская настройка?gumeniuc писал(а): Dynamic CryptoMap