Site to Site IPsec с удалённой подсетью /32

Site to Site IPsec с удалённой подсетью /32, UniFi Network

Magusjunk

Guest

20.06.2019 14:30:00

К сожалению, это практически перепост с https://community.ui.com/questions/Site-to-Site-IPsec-with-remote-subnet-at-32/08125038-54ab-47da-a053-f9ec2b4c952e. У меня нет доступа к удалённой стороне, поэтому изменить маску на /24, как было решением в том посте, не получается. https://community.ubnt.com/t5/UniFi-Routing-Switching-Feature/IPsec-USG-allow-32-subnet-mask-for-tunnel-network/idc-p/1804371#M1447 были инструкции по настройке через .json файл, но, к сожалению, они исчезли после обновления форума. Любая помощь будет очень кстати.

gustavo-rojas

Guest

01.10.2019 21:43:00

@UI-jaffe Привет! Не знаю, как отправить тебе личное сообщение, но раз мой config.gateway.json не очень большой, размещу его здесь: {
"interfaces": {
"ethernet": {
"eth2": {
"mac": "x:x:x:x:x:x"
}
}
},
"service": {
"ssh": {
"disable-password-authentication": "''"
}
}
}
Я действительно не думаю, что в этом проблема. Я знаком с командами CLI и работой с .json, так что если нужно настраивать именно так, то для меня это не вопрос, я просто хочу знать, как это сделать, если это так. Спасибо заранее!

don5420 Guest	#3 01.11.2019 02:22:00 @UI-jaffe У меня такая же проблема. Ты так и не рассказал, как это сделать через JSON. Можешь, пожалуйста, поделиться этими шагами?

gustavo-rojas

Guest

02.10.2019 22:20:00

@UI-jaffe Это server.log до и после изменения
До изменения VPN:

[2019-10-02T17:02:56,761] <localhost-startStop-1> INFO system - ======================================================================
[2019-10-02T17:02:56,785] <localhost-startStop-1> INFO system - UniFi 5.11.46 (build atag_5.11.46_12723 - release/release) запущен
[2019-10-02T17:02:56,785] <localhost-startStop-1> INFO system - ======================================================================
[2019-10-02T17:02:56,789] <localhost-startStop-1> INFO system - BASE dir:/usr/lib/unifi
[2019-10-02T17:02:56,936] <localhost-startStop-1> INFO system - Текущий IP системы: x.x.x.x
[2019-10-02T17:02:56,943] <localhost-startStop-1> INFO system - Имя хоста: XXX
[2019-10-02T17:03:07,027] <localhost-startStop-1> INFO productinfo - Используются каналы controller=RELEASE, firmware=RELEASE. Доступные каналы контроллера=[RELEASE], доступные каналы прошивки=[RELEASE]. SSO отключен.
[2019-10-02T17:03:26,959] <pool-5-thread-1> INFO AwsIotConnection - Подключение успешно установлено
[2019-10-02T17:03:26,961] <pool-5-thread-1> INFO AbstractAwsIotClient - Активное клиентское подключение: 0ab64bb5-5059-4650-bf99-580036d01842:1537366580

После изменения VPN (другой Peer IP):

[2019-10-02T17:02:56,761] <localhost-startStop-1> INFO system - ======================================================================
[2019-10-02T17:02:56,785] <localhost-startStop-1> INFO system - UniFi 5.11.46 (build atag_5.11.46_12723 - release/release) запущен
[2019-10-02T17:02:56,785] <localhost-startStop-1> INFO system - ======================================================================
[2019-10-02T17:02:56,789] <localhost-startStop-1> INFO system - BASE dir:/usr/lib/unifi
[2019-10-02T17:02:56,936] <localhost-startStop-1> INFO system - Текущий IP системы: x.x.x.x
[2019-10-02T17:02:56,943] <localhost-startStop-1> INFO system - Имя хоста: XXX
[2019-10-02T17:03:07,027] <localhost-startStop-1> INFO productinfo - Используются каналы controller=RELEASE, firmware=RELEASE. Доступные каналы контроллера=[RELEASE], доступные каналы прошивки=[RELEASE]. SSO отключен.
[2019-10-02T17:03:26,959] <pool-5-thread-1> INFO AwsIotConnection - Подключение успешно установлено
[2019-10-02T17:03:26,961] <pool-5-thread-1> INFO AbstractAwsIotClient - Активное клиентское подключение: 0ab64bb5-5059-4650-bf99-580036d01842:1537366580
[2019-10-02T17:11:53,310] <webapi-6> WARN sanitize - В payload NetworkConf найден недопустимый ключ, key=ifname

gustavo-rojas Guest	#5 30.09.2019 15:25:00 @UI-jaffe У меня настроен VPN с удалённым доступом, но никаких других site-to-site нет. Пытаюсь отправить тебе config.gateway.json в личку, но не знаю, как это сделать.

UI-Team

Guest

27.09.2019 22:01:00

@gustavo-rojas У тебя несколько VPN настроено? Помнится, я сталкивался с такой проблемой, когда пытался создать вторую VPN к тому же адресу пира (но с другим локальным адресом). Если нет, можешь прислать мне в личку свой config.gateway.json?

gustavo-rojas

Guest

27.09.2019 21:00:00

Привет, @UI-jaffe. Спасибо за ответ. По твоим вопросам: да, я точно подключаюсь по SSH к нужному устройству, это не контроллер и не другой USG.
USG меняет статус с provisioning на connected после того, как я сохраняю конфигурацию VPN.
Я принудительно обновлял конфигурацию и переподключался по SSH, но всё так же — команда "show vpn" не показывает VPN.
Я использую config.gateway.json, ошибок при коммите нет.
Интересно, что если добавить в "Remote Subnets" случайную сеть /30, то VPN-конфигурация появляется в консоли по SSH, а если потом убрать эту сеть, чтобы следовать твоему совету, то конфигурация исчезает.

UI-Team

Guest

26.09.2019 15:20:00

Ты уверен, что подключаешься по SSH к нужному устройству? Не к контроллеру или какому-то другому USG? После того, как ты «сохранишь» конфигурацию VPN, меняется ли статус USG с Provisioning на Connected? Можешь ли ты принудительно обновить настройки на USG через Devices > USG > Manage device > force provision? Используешь ли ты config.gateway.json? Если да, проверь, нет ли «commit errors» во вкладке с уведомлениями в левом нижнем углу интерфейса контроллера.

gustavo-rojas

Guest

25.09.2019 21:57:00

@UI-jaffe Привет, извиняюсь за задержку с ответом. Я удалил предыдущий VPN, потому что он больше не нужен, но теперь у меня такая же проблема, как у @Magusjunk — мне нужно настроить VPN Site-to-Site на основе политики с удалённой подсетью /32. Я настроил VPN через графический интерфейс, не указывая удалённую подсеть, и подключился к файрволлу по SSH, но когда использую configure -> show vpn, моя конфигурация не отображается. Вот моя конфигурация из GUI:

Надеюсь, вы сможете помочь, заранее спасибо!

UI-Team Guest	#10 02.10.2019 17:47:00 @gustavo-rojas Можешь проверить server.log в Insights > controller logs и посмотреть, появляются ли какие-то ошибки API или вообще любые ошибки после того, как ты настроишь VPN? Просто внеси небольшое изменение (любое) и нажми "сохранить", затем сразу посмотри логи и выложи их сюда, пожалуйста.

Читают тему (гостей: 1)