Question 1

Ubuntu (Linode) Strongswan 5.6.2 Kết nối với AWS (site to site).

Tôi có thể ping từ điểm cuối AWS tới Ubuntu VPN.
Tôi không thể ping từ điểm cuối AWS đến điểm cuối Ubuntu.
Tôi không thể ping từ Ubuntu VPN tới AWS bất cứ thứ gì.

Ubuntu (VPN) công khai: 1.2.3.4 | Ubuntu (VPN) riêng tư: 192.168.234.113/24

AWS (VPN) công khai: 4.5.6.7 | AWS (VPN) riêng tư: 169.254.177.44/30

AWS (điểm cuối) riêng tư: 10.11.1.197

Ubuntu (điểm cuối) riêng tư: 192.168.136.15

Tôi có thể ping 169.254.177.46 của bộ điều hợp đường hầm từ ubuntu (cục bộ), nhưng không phải từ xa 169.254.177.45 mà tôi giả sử là cổng khách hàng (máy chủ đích không thể truy cập được)

[email protected]:~# ping 10.11.1.197
PING 10.11.1.197 (10.11.1.197) 56(84) bytes of data.
From 169.254.177.46 icmp_seq=1 Destination Host Unreachable
From 169.254.177.46 icmp_seq=2 Destination Host Unreachable

ip a

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
    link/ether f2:3c:93:db:4d:c0 brd ff:ff:ff:ff:ff:ff
    inet 1.2.3.4/24 brd 194.195.211.255 scope global eth0
       valid_lft forever preferred_lft forever
    inet 192.168.234.113/17 brd 192.168.255.255 scope global eth0
       valid_lft forever preferred_lft forever
    inet6 2600:3c02::f03c:93ff:fedb:4dc0/64 scope global dynamic mngtmpaddr noprefixroute
       valid_lft 60sec preferred_lft 20sec
    inet6 fe80::f03c:93ff:fedb:4dc0/64 scope link
       valid_lft forever preferred_lft forever
3: [email protected]: <NOARP> mtu 1480 qdisc noop state DOWN group default qlen 1000
    link/ipip 0.0.0.0 brd 0.0.0.0
6: [email protected]: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1419 qdisc noqueue state UNKNOWN group default qlen 1000
    link/ipip 1.2.3.4 peer 4.5.6.7
    inet 169.254.177.46 peer 169.254.177.45/30 scope global Tunnel1
       valid_lft forever preferred_lft forever
    inet6 fe80::200:5efe:c2c3:d3cb/64 scope link
       valid_lft forever preferred_lft forever

các tuyến đường

10.11.1.0              0.0.0.0         255.255.255.0   U     100    0        0 Tunnel1
169.254.177.44  0.0.0.0         255.255.255.252 U     0      0        0 Tunnel1
192.168.128.0    0.0.0.0         255.255.128.0   U     0      0        0 eth0
194.195.211.0    0.0.0.0         255.255.255.0   U     0      0        0 eth0

chính sách xfrm

src 192.168.128.0/17 dst 0.0.0.0/0
        dir out priority 391295
        mark 0x64/0xffffffff
        tmpl src 1.2.3.4 dst 4.5.6.7
                proto esp spi 0xcdecfff9 reqid 1 mode tunnel
src 0.0.0.0/0 dst 192.168.128.0/17
        dir fwd priority 391295
        mark 0x64/0xffffffff
        tmpl src 4.5.6.7 dst 1.2.3.4
                proto esp reqid 1 mode tunnel
src 0.0.0.0/0 dst 192.168.128.0/17
        dir in priority 391295
        mark 0x64/0xffffffff
        tmpl src 4.5.6.7 dst 1.2.3.4
                proto esp reqid 1 mode tunnel
src 0.0.0.0/0 dst 0.0.0.0/0
        socket in priority 0
src 0.0.0.0/0 dst 0.0.0.0/0
        socket out priority 0
src 0.0.0.0/0 dst 0.0.0.0/0
        socket in priority 0
src 0.0.0.0/0 dst 0.0.0.0/0
        socket out priority 0
src ::/0 dst ::/0
        socket in priority 0
src ::/0 dst ::/0
        socket out priority 0
src ::/0 dst ::/0
        socket in priority 0
src ::/0 dst ::/0
        socket out priority 0

Question 2

Khi thiết lập VPN site-to-site, tôi đã gặp phải các vấn đề kỳ lạ tương tự. Một số điều cần kiểm tra có thể hữu ích:

Kiểm tra xem truyền tuyến có được bật trên mạng con và điểm cuối trong AWS hay không.
Kiểm tra các nhóm bảo mật và NACL.
Nếu bạn đang cố ping một phiên bản EC2, hãy kiểm tra các nhóm bảo mật trên đó cho phép ping
Nếu nghi ngờ - hãy vẽ sơ đồ kết nối từ máy chủ lưu trữ tại chỗ đến VPN tới AWS, đồng thời kiểm tra từng bước và hướng.

Tôi nghĩ rằng tôi cũng đã sử dụng trang này và trang này - nếu bạn đang cố gắng làm cho nó an toàn nhất có thể, có lẽ tốt nhất nên bắt đầu với những trang kém an toàn hơn cho đến khi bạn ủi hết các nếp nhăn!

answer