Finalmente, conecte mi win 7 a strongSwan VPN, pero no hay Internet

Creo que he seguido todas las instrucciones, y mi win 7 se conectó, pero no hay Internet.

Fondo:

Sistema operativo del servidor : ubuntu 12.04 en linode xen VPS

Versión strongSwan : 4.6.4

configuraciones en /etc/ipsec.conf :

config setup
        charonstart=yes      
        plutostart=yes     
        nat_traversal=yes
        uniqueids=yes

conn ios
        keyexchange=ikev1
        authby=xauthpsk
        xauth=server
        left=%defaultroute
        leftsubnet=0.0.0.0/0
        leftfirewall=yes
        right=%any
        rightsubnet=10.11.0.0/24
        rightsourceip=10.11.0.0/24
        pfs=no
        auto=add

conn win7         
        keyexchange=ikev2
        ike=aes256-sha1-modp1024!
        esp=aes256-sha1!
        dpdaction=clear
        dpddelay=300s
        rekey=no
        left=%defaultroute
        leftsubnet=0.0.0.0/0
        leftauth=pubkey
        leftcert=serverCert.pem
        leftid="C=CH, O=strongSwan, CN=VPS ip"
        right=%any
        rightsourceip=10.11.1.0/24
        rightauth=eap-mschapv2
        rightsendcert=never
        eap_identity=%any
        auto=add

dns agregado en /etc/strongswan.conf :

charon {
dns1 = 8.8.8.8
dns2 = 208.67.222.222
...
pluto {
dns1 = 8.8.8.8
dns2 = 208.67.222.222
...

usuario agregado en /etc/ipsec.secrets :

: PSK "mypskpass"
user1 : XAUTH "pass1"

: RSA serverKey.pem
user2 : EAP "pass2"

#include /var/lib/strongswan/ipsec.secrets.inc

Se agregaron algunas reglas nuevas en /etc/iptables.firewall.rules

*filter
# Accept IPsec VPN connections
-A INPUT -p udp --dport 500 -j ACCEPT
-A INPUT -p udp --dport 4500 -j ACCEPT

-A FORWARD -s 10.11.0.0/24 -j ACCEPT
-A FORWARD -s 10.11.1.0/24 -j ACCEPT
COMMIT
*nat

# Allow IPsec VPN connections

-A POSTROUTING -s 10.11.0.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 10.11.1.0/24 -o eth0 -j MASQUERADE

COMMIT

Y reglas de iptables activadas :

iptables-restore < /etc/iptables.firewall.rules

Luego reinició ipsec :

ipsec restart

Hasta este punto, mis dispositivos iOS pueden conectarse a él y todo funciona bien .

Después de eso, generé certificados para el lado del servidor y del cliente, luego convertí .pem en .p12 y lo importé a win 7.

Lo bueno es que mi win 7 ahora puede conectarse a vps (pero no hay conexión a internet.

Realmente no sé qué parte salió mal, ¿alguien podría ayudarme?

Gracias

vpn ipsec

— Shane
fuente

¿Cómo se configura el enrutamiento después de establecer la VPN?

— Hennes

@Hennes: ¿Qué quieres decir con configuración de enrutamiento? Win 7 se asignó con 10.11.1.1 como se esperaba, y también dns es correcto, pero supongo que podría haber algún tipo de problema NAT, simplemente no sé cómo configurarlo correctamente.

— Shane

Me preguntaba si todo su tráfico ahora se enruta a través de la VPN al otro punto final del túnel VPN. En ese caso, debe verificar las reglas de reenvío de IP en ese punto final, o habilitar el túnel dividido.

— Hennes

@Hennes: Bueno, cuando estoy probando win 7 no hay otros clientes / dispositivos en línea, por lo que realmente no entiendo lo que quieres decir con "se enruta a través de la VPN a otro punto final del túnel VPN". Y también establezco exactamente las mismas reglas de iptables para iOS y dispositivos con win 7, solo los métodos de autenticación son diferentes, simplemente no veo por qué no funciona para win 7.

— Shane

¿Hay alguna diferencia en la situación de NAT entre los clientes iOS y Windows 7? ¿Son las reglas de iptables mencionadas anteriormente? ¿Cuál es la política predeterminada de sus cadenas de iptables?

— ecdsa

Lo has configurado leftfirewall=yesen tu conexión iOS pero no en la otra. Con esta opción habilitada, se instalan reglas de firewall adicionales para cada cliente conectado. Además, si no hay NAT entre la puerta de enlace y los clientes, deberá permitir el tráfico ESP en las cadenas INPUTy OUTPUTya que el tráfico no estará encapsulado UDP.

-A INPUT  -i eth0 -p esp -j ACCEPT
-A OUTPUT -o eth0 -p esp -j ACCEPT

— ecdsa
fuente

Muchas gracias amigo! ¡Acabo de agregar leftfirewall=yesa la configuración de conexión de win 7 y ahora todo funciona bien!

— Shane