rigacci.org

User Tools

Site Tools

Trace: • Istanze multiple del database Redis • IPSEC con Debian GNU/Linux
doc:appunti:linux:sa:ipsec

Differences

This shows you the differences between two versions of the page.

Link to this comparison view

Both sides previous revisionPrevious revision
Next revision		Previous revision
doc:appunti:linux:sa:ipsec [2018/01/08 12:24] – [Configurazione Debian 8 Jessie] niccolodoc:appunti:linux:sa:ipsec [2026/09/25 12:36] (current) – [SNAT con Shorewall >= 5.1.0] niccolo
Line 621: Line 621:
 </file> </file>
  
-=== Mascheramento (SNAT) ===+=== Mascheramento (SNAT) con Shorewall < 5.1.0 ===
  
 Si può utilizzare l'indirizzo IP locale del firewall IPSEC (**192.168.100.1**) per mascherare tutta la rete locale (**192.168.100.0/24**) che esce verso la rete privata remota (**10.51.49.128/26**) via IPSEC, basta aggiungere la seguente regola in **''/etc/shorewall/masq''**: Si può utilizzare l'indirizzo IP locale del firewall IPSEC (**192.168.100.1**) per mascherare tutta la rete locale (**192.168.100.0/24**) che esce verso la rete privata remota (**10.51.49.128/26**) via IPSEC, basta aggiungere la seguente regola in **''/etc/shorewall/masq''**:
Line 636: Line 636:
 SNAT        all  --  192.168.100.0/24  10.51.49.128/26  policy match dir out pol ipsec to:192.168.100.1 SNAT        all  --  192.168.100.0/24  10.51.49.128/26  policy match dir out pol ipsec to:192.168.100.1
 </code> </code>
 +
 +==== SNAT con Shorewall >= 5.1.0 ====
 +
 +È possibile fare il source NAT del traffico verso una VPN IPSEC con delle opportune righe nel file **/etc/shorewall/snat**.
 +
 +<file>
 +#ACTION                 SOURCE                  DEST
 +
 +# Rete locale 10.10.0.0/16.
 +SNAT(192.168.70.1)      10.10.0.0/16            net0:192.168.200.0/24   -       -       yes
 +SNAT(192.168.70.1)      10.10.0.0/16            net0:192.168.200.0/24
 +
 +# Indirizzo punto-punto di tunnel OpenVPN.
 +SNAT(192.168.70.1)      172.16.30.70            net0:192.168.200.0/24   -       -       yes
 +SNAT(192.168.70.1)      172.16.30.70            net0:192.168.200.0/24
 +
 +# Rete remota 10.11.12.0/24 (via OpenVPN).
 +SNAT(192.168.70.1)      10.11.12.0/24           net0:192.168.200.0/24   -       -       yes
 +SNAT(192.168.70.1)      10.11.12.0/24           net0:192.168.200.0/24
 +</file>
 +
 +  * L'indirizzo locale da usare come SNAT ACTION deve essere quello del firewall che rientra nella **leftsubnet** di ipsec.conf.
 +  * L'indirizzo source può essere quello della LAN, l'indirizzo punto-punto di una OpenVPN, la rete remota raggiungibile via OpenVPN, ecc.
 +  * Nell'esempio sopra **net0** è l'interfaccia esterna che gestisce IPSEC e l'indirizzamento è la **rightsubnet** di ipsec.conf.
 +
 ===== Glossario ===== ===== Glossario =====
  
doc/appunti/linux/sa/ipsec.1515410651.txt.gz · Last modified: by niccolo