Intro

緣起

我司有個域名，被偉大的墻雙向認證了，站點如果部署在墻內，墻外過來的訪問會被 reset；站點如果部署在墻外，墻內的訪問也會被 reset。我司用戶主要在墻內，所以，站點自然部署在墻內，但為了讓墻外用戶也能訪問，于是在墻外購置一 VPS，配置 nginx，proxy_pass 到墻內我們真正的服務器上。

這里有個技術問題：我們的真實服務器都是內網地址，不能通過外網直接訪問，所以，需要在墻外的 VPS 上到墻內真實服務器所在網段打一個 net to net 的 tunnel（其實 host to net 的也行，這是主要是考慮到也許以后墻外節點的擴展性問題），而且這個 tunnel 還需要加密，否則過墻的時候肯定會被感知而 reset 掉鏈接的。于是，我們這里采用的是 IPSec 加密。

環境

網絡拓撲圖如下：

net2net_IPSec_one_NATed_multinets.png

• Server A 直接有公網地址 1.2.3.4，帶的私網地址段是 10.0.0.1/24
• Server B 只有私網地址 10.0.1.2，通過設備 FW 給 map 了一個公網地址 2.3.4.5
• Server C 的缺省網關是設備 R_B&C(10.0.12.253)
• Server B 的缺省網關也是設備 R_B&C(10.0.1.253)
• 路由器 R_B&C 上的路由表里 10.0.0.0/24 的路由指向了 10.0.1.2

Howto

安裝軟件

在 Server A 和 Server B 上分別執行：

yum -y install libreswan;

配置

Server A

cat <<EOF >/etc/ipsec.d/B.conf
config setup
    protostack=netkey

conn A2B
    left=1.2.3.4
    leftsubnet=10.0.0.0/24
    leftsourceip=10.0.0.1
    right=2.3.4.5
    rightsubnets={10.0.1.0/24 10.0.12.0/24}
    rightsourceip=10.0.1.2
    authby=secret
    auto=start
EOF

cat <<EOF >/etc/ipsec.d/B.secrets
1.2.3.4 2.3.4.5 : PSK "3.5.7.9"
EOF

# for iptables, eth0 is the public network interface of Server A
if /etc/init.d/iptables status>/dev/null; then
    iptables -A INPUT -i eth0 -p esp -j ACCEPT;
    iptables -A INPUT -i eth0 -p udp \
        -m udp --sport 500 --dport 500 -j ACCEPT;
    iptables -A INPUT -i eth0 -p udp \
        -m state --state NEW -m udp -m multiport \
        --dports 50,51,500,4500 -j ACCEPT;
    iptables -A INPUT -i eth0 -p tcp \
        -m state --state NEW -m tcp -m multiport \
        --dports 50,51 -j ACCEPT;
    iptables -t nat -I POSTROUTING \
        -s 10.0.0.0/24 -d 10.0.1.0/24 \
        -o eth0 -j RETURN;
    iptables -t nat -I POSTROUTING \
        -s 10.0.0.0/24 -d 10.0.12.0/24 \
        -o eth0 -j RETURN;
fi

/etc/init.d/ipsec start;
chkconfig ipsec on;
ipsec auto --add A2B;
ipsec auto --up A2B;

Server B

cat <<EOF >/etc/ipsec.d/A.conf
config setup
    protostack=netkey

conn B2A
    left=%defaultroute
    leftid=2.3.4.5
    leftsubnets={ 10.0.1.0/24 10.0.12.0/24 }
    leftsourceip=10.0.1.2
    right=1.2.3.4
    rightsubnet=10.0.0.0/24
    rightsourceip=10.0.0.1
    authby=secret
    auto=start
EOF

cat <<EOF >/etc/ipsec.d/A.secrets
2.3.4.5 1.2.3.4 : PSK "3.5.7.9"
EOF

/etc/init.d/ipsec start;
chkconfig ipsec on;
ipsec auto --add B2A;
ipsec auto --up B2A;

重要點

要注意的點在于 Server A 上的 Iptables 配置，這個在當 IPSec server 有自己的公網地址而且還對內提供 SNAT 服務時會保證配置正確。