2 тоннеля IPSEC (Через 3 роутера)

[CBLoner]

Есть схема как на рисунке.

Если клиент цепляется по PPTP к ULTRA2 (IP 192.168.13.126/128) и ему прописать маршрут вида: route add 192.168.10.0 mask 255.255.255.0 192.168.13.126 metric 5 if 42 -p, то клиент видит сервер 192.168.10.230.

Вопрос, как прописать маршруты на всех кинетиках, чтобы клиент по двум туннелям попал на 192.168.10.230. Ресурсы сети за после первого туннеля видит, дальше нет. 

[KorDen]

Нужно использовать туннели (например IPIP) поверх IPsec, голым IPsec это не получится, IPsec-туннели нельзя маршрутизировать. В простейшем режиме можно два автоматических туннеля (по одному серверу на каждой ультре, клиенты на средней ультре и 4g), либо полностью ручной режим, т.е. создавать транспорты и затем уже IPIP-туннели.

 

PS: у меня несколько похожая ситуация (но чуть заморочнее), было вот тут:

 

Изменено 19 марта, 2017 пользователем KorDen

[gaaronk]

6 minutes ago, KorDen said:

Нужно использовать туннели (например IPIP) поверх IPsec, голым IPsec это не получится, IPsec-туннели нельзя маршрутизировать. В простейшем режиме можно два автоматических туннеля (по одному серверу на каждой ультре, клиенты на средней ультре и 4g), либо полностью ручной режим, т.е. создавать транспорты и затем уже IPIP-туннели.

Голым IPSec это получится, но не на кинетике, где для селектора трафика можно использовать только один элемент ACL.

Можно на средней ультре делать двусторонний NAT, что бы клиент лез к адресам из диапазона 192.168.13.0/128, а его натило в src из сети192.168.13.0/128  dst 192.168.10.230

Ну и virce versa.

[CBLoner]

Это чисто ограничение кинетика? То есть если у меня туннели по форме звезда, я не могу из одного луча, трафик зарулить в другой луч? Только ЛУЧ <-> ЦЕНТР?

Это через ipchains или что там сейчас? Раньше помню было iptables.... Или наоборот...  Это как шаблон строчки будет выглядеть для средней ультры?

Про IP-IP туннель для данной ситуации не понял, но был бы признателен в примере использования, дабы въехать в тему. 

[gaaronk]

Зарулить можно. Только надо на каждом spoke (луче) описать выделение трафика для засовывание в ipsec как

<local network> - <сеть центельного узла>

<local network> - <сеть spoke2>

<local network> - <сеть spoke3>

и тд. Что не очень удобно, но работает. Кинетик же из списка доступа читает только первую строчку. По этому обычно делают туннели и внутри них гоняют маршруты.

 

Сделайте full-mesh -  туннель между 4G и "второй ультрой"

 

С выделением трафика 192.168.13.128/25 - 192.168.10.0/24