まず、参考にしたのは
http://www.compnet.jp/archives/3849
このサイト
RTX1100等のRTXシリーズはお仕事始めてからちょくちょくいじることがあったルータなので中身を知っている。
とりあえず、書いたある通り設定してみる。
tunnel select 1
description tunnel OpenSwan-VPN
ipsec tunnel 10
ipsec sa policy 10 1 esp 3des-cbc sha-hmac
ipsec ike encryption 1 3des-cbc
ipsec ike esp-encapsulation 1 off
ipsec ike group 1 modp1024
ipsec ike hash 1 sha
ipsec ike keepalive use 1 on dpd
ipsec ike local address 1 <ルータのローカルIP>
ipsec ike log 1 key-info message-info payload-info
ipsec ike payload type 1 3
ipsec ike pre-shared-key 1 text <事前共有鍵>
ipsec ike remote address 1
ipsec auto refresh 1 on
ip tunnel tcp mss limit auto
tunnel enable 1
ここで注意して欲しいのは、ローカルIPを設定してるけど
ipsec ike nat-travasal on
を絶対に入れちゃダメなこと。これ、入れたらつながらないです。
私は、その固定概念に捉えられて、2日位悩んでました。
そして、OpenSwan側。
インストールや初期設定部分は今回は省きます。
接続設定は主に
/etc/ipsec.conf
と
/etc/ipsec.d/rtx1100.secrets
まずは、
ipsec.confから
conn myhome-subnet
also=myhome
rightsourceip=<ルーターのローカルIP>
rightsubnet=<ルーターの置いてあるサブネット※A.B.C.D/XXで記載です。>
dpddelay = 5
dpdtimeout = 20
dpdaction = restart
auto=start
これで、対向先のネットワークを指定する。
また、この情報を書き込むときの「also=」はこれをconnする前に指定された接続をしてください。
ということらしい。
conn myhome
type=tunnel
authby=secret
auth=esp
ike=3des-sha1-modp1024
phase2alg=3des-sha1
left=<サーバのグローバルIP>
leftid=<サーバのグローバルIP>
leftsourceip=
leftsubnet=
right=<接続先のグローバルIP>
rightid=<接続先ルーターのIP>
rightnexthop=%defaultroute
ikelifetime=8h
keylife=1h
と設定。
/etc/ipsec.d/rtx1100.secrets
こちらには<自分のグローバルIP> <対向ルータのローカルIP>: PSK "事前共有鍵"
にて記載。
ちなみにこれも判例的な「:PSK "事前共有鍵"」だとうまく行きません。
そこで丸々半日使いました。
無事接続。
OpenSwanの仮想IPアドレスへping・・・
アレ通らない。
って思ったら相互ルーティング入ってませんでしたorz
入れて無事に完了。
今は安定して動いてます。
