IPsec Pakete kommen aus dem Tunnel, aber nicht ans interne Interface

[makenoob]

Hallo,

der Aufbau und tcpdumps sind hier zu finden:

http://pastebin.ca/2133905

Ich versuche über einen IPsec Tunnel per lynx die Weboberfläche eines APs zu Testzwecken aufzurufen. Die Pakete wandern laut tcpdump auf in den Tunnel und werden von der anderen Seite auch wieder beantwortet; allerdings kommen die Pakete auf dem internen Interface em0 nicht an. Das interface ist mit "set skip on enc0" vom paketfiltern ausgenommen, die Pakete dürften mit "pass on $int_if from $anderes_netz" auf dem internen interface auch nicht geblockt werden. pflog0 zeigt ebenfalls keine blocks an.

Beide Endpunkte sind OpenBSD hosts mit nahezu identischen pf.configs... Nur mit dem unterschied, dass der Verkehr auf dem einen das dahinterliegende Netz erreicht und auf dem anderen nicht.

Vlt. hat jemand einen Tipp.

[mark05]

moin

funktioniert es den wenn pf abgeschaltet ist ?

pfctl -d

ip.forwarding an ?

routing geprueft ?
ipsec tunnel oder transport config ?


holger

[makenoob]

pf möchte ich jetzt ungern abschalten um das zu testen. sonstiger seitenaufbau oder internetverkehr mit anderen internethosts funktioniert problemlos.

route -n show:
[snip]

Encap:
Source Port Destination Port Proto SA(Address/Proto/Type/Direction)
192.168.75/24 0 192.168.50/24 0 0 88.xxx.yyy.86/esp/use/in
192.168.50/24 0 192.168.75/24 0 0 88.xxx.yyy.86/esp/require/out

ipsecctl -sa:
FLOWS:
flow esp in from 192.168.75.0/24 to 192.168.50.0/24 peer 88.xxx.yyy.86 srcid router.mydomain.org dstid host.dyndns.org type use
flow esp out from 192.168.50.0/24 to 192.168.75.0/24 peer 88.xxx.yyy.86 srcid router.mydomain.org dstid host.dyndns.org type require

SAD:
esp tunnel from 88.xxx.yyy.86 to 178.aaa.bbb.114 spi 0xa9b4f2ca auth hmac-sha2-384 enc blowfish
esp tunnel from 178.aaa.bbb.114 to 88.xxx.yyy.86 spi 0xe551e3eb auth hmac-sha2-384 enc blowfish

die gateways sind im tunnelmodus konfiguriert und die antworten kommen ja auch durch den tunnel zurück. die pakete gehen auf dem weg enc0 ---> em0 "verloren" und ich wüsste momentan nicht, wo ich da noch suchen könnte.

[mark05]

was sagt pflog ?

ist esp bzw ah (je nach konfig ) auch via pf erlaubt ?


sprich gibt es sowas wie
pass quick on enc0 esp

( syntax ggf pruefen )

holger

[makenoob]

pflog sagt nix (stand im originalpost) und enc0 ist mit "set skip enc0" vom filtern ausgenommen. esp darf auf das externe interface. Ich werd mir die pf-config nochmal ansehen und ggf. posten, falls ich nicht darauf komme, wo mein fehler liegt.