IPsec и AWS Site-to-Site VPN.

[Dimm500]

 

Подскажите, пожалуйста - пытаюсь поднять на Keenetic Giga (KN-1011) IPsec site-to-site VPN route based тоннель до Амазона, и это у меня даже получилось, но при помощи opkg и strongswan. Однако не получается туда ничего смаршрутизировать. Собственно Амазон после установки тоннеля поднимает 2 IP адреса внутри тоннеля, в моём случае это 169.254.48.129 на стороне Амазона и 169.254.48.130 на моей стороне. Для того чтобы попадать в приватные сетки на стороне Амазона, он предлагает на моей стороне прописать маршрут на эти сетки через адрес 169.254.48.129, а теперь две проблемы - после поднятия тоннеля на стороне кинетика не поднимается адрес 169.254.48.130. В статье https://medium.com/@tanmaybhandge/aws-site-to-site-vpn-connection-using-strongswan-fb2f2f1b1f44 предлагается сделать это руками при помощи vti интерфейса, но opkg это не умеет, и выдает ошибку

RTNETLINK answers: Operation not supported

Вторая проблема - я попробовал создать его с помощью алиаса и повесить вручную на wan интерфейс. Это получилось, но 169.254.48.129 не пингуется. В общем основной вопрос - можно это как-то обойти? Конфиг ipsec.conf от strongswan прилагаю:

/ # cat /opt/etc/ipsec.conf
# ipsec.conf - strongSwan IPsec configuration file
# basic configuration

config setup
        # strictcrlpolicy=yes
        # uniqueids = no

# Add connections here.

conn Tunnel1
        authby=secret
        auto=start
        type=tunnel
        keyexchange=ikev2
        keylife=1h
        ikelifetime=8h
        left=88.201.x.x
        leftid=88.201.x.x
        right=3.73.x.x
        esp=aes128-sha1-modp1024
        ike=aes128-sha1-modp1024
        keyingtries=%forever
        leftsubnet=192.168.21.0/24
        rightsubnet=100.64.0.0/24
        dpddelay=10
        dpdtimeout=30

Дополнительный вопрос - почему не получается настроить тоннель через стандартный интерфейс, вроде особых отличий от конфига там нет:

Изменено 28 сентября пользователем Dimm500
Случайно отправил не дописав пост

[Le ecureuil]

Во-первых, адреса из 169.254 - это IPv4 link-local, известный своими проблемами.

Во-вторых: а где self-test когда не поднимается?