@UBNT-jaffe

- При использовании вручную созданных IPSEC-соединений список интерфейсов VTI отсутствует. Я видел предыдущие примеры использования VTI для маршрутизации через конкретные подключения, но при выполнении sudo infconfig отображаются только VLAN-интерфейсы.

@UBNT-jaffe

Спасибо, что ответили. В этом примере eth0 — это LAN1. По сути, я пытался разгрузить (возможно, неправильный термин) трафик, идущий с VTI65 и попадающий в нужный диапазон источников, отправляя его на следующий хоп — другой роутер в моей локальной сети. Однако я только что наткнулся на информацию про асимметричную маршрутизацию и задумался, что, возможно, мне нужно использовать LAN2 для передачи трафика с VTI на другой роутер, который не является основным USG.

На удалённом объекте я выставил следующий хоп на нужный роутер (я могу его пинговать, могу сделать трассировку), но попытка переправить трафик на удалённый шлюз не удаётся. Похоже, нужно использовать другой LAN-интерфейс, а не пытаться делать всё через LAN1. Поэтому я попробую LAN2, чтобы посмотреть, продвинусь ли дальше.

По поводу правила 5005 — оно было нужно на основном объекте, чтобы доставлять трафик с VTI с удалённого сайта и выводить его через локальный WAN-интерфейс. USG не обрабатывал внешний трафик, который шёл через VTI. Я проверял: настраивал VTI, указывал следующий хоп от удалённой сети на LAN IP основного USG. Пинги, трассировка работают как надо. Но попытка открыть веб-страницы и пинги внешних IP — всё падало. Добавление SNAT для маскировки трафика с VTI, который идёт с удалённого сайта, позволило пройти веб-трафику через основной USG из удалённой сети.

Добавление подсетей из других примеров типа 0.0.0.0/128 и подобных в GUI не принимается, поэтому единственным рабочим вариантом оставались правила.

Правило 5005 не помогло с передачей трафика с VTI на другой роутер в той же локальной сети, так что, как сказал выше, попробую LAN2, чтобы решить возможные проблемы с асимметричной маршрутизацией.

@UBNT-jaffe

Да, была странная ситуация, когда на интерфейсе pptpc0 постоянно сбрасывалось расстояние, и маршрутизация переставала работать. Использование GUI для повторного добавления или CLI временно решало проблему, пока снова не выпадало (даже в json). Двигаясь дальше, я заметил ещё одну проблему, которую, очевидно, я что-то упустил.

У меня есть STS-сайт с включённым и настроенным IPSEC, я включил динамическую маршрутизацию (без неё PBR-правила не работают). Я настроил next-hop на VLAN в PBR-правиле на IP-адрес внутреннего прокси, который запущен в моей основной локальной сети. С удалённого сайта я могу пинговать и делать tracert до прокси, как и ожидалось.

Я экспериментировал с SNAT, DNAT и PBR, пытаясь направить трафик удалённого сайта из определённого VLAN через STS IPSEC-ссылку к прокси в основном офисе. Сейчас хотя бы вижу, что трафик доходит до прокси, хоть и с нулевым размером. Пробовал несколько правил SNAT, но безуспешно, поэтому работает только PBR на удалённом сайте и DNAT на локальном — явно чего-то не хватает на локальном сайте для правильной передачи трафика прокси. Есть идеи, чего не хватает в этой ситуации?

set firewall group address-group VPN_grp address 10.43.44.0/24  
set service nat rule 4950 description 'VPN routed traffic'  
set service nat rule 4950 log disable  
set service nat rule 4950 protocol all  
set service nat rule 4950 inbound-interface vti65  
set service nat rule 4950 inside-address address <proxyip>  
set service nat rule 4950 source group address-group VPN_grp  
set service nat rule 4950 type destination  

set service nat rule 5005 description 'VPN_grp_localredir'  
set service nat rule 5005 log disable  
set service nat rule 5005 exclude  
set service nat rule 5005 protocol all  
set service nat rule 5005 outbound-interface eth0  
set service nat rule 5005 source group address-group VPN_grp  
set service nat rule 5005 type masquerade  

В итоге в логах прокси появляется вот что:  
1518279231.355 0 10.43.44.6 TAG_NONE/400 2127 GET / - HIER_NONE/- text/html

@UBNT-jaffe нужно было добавить правило SNAT.

@UBNT-jaffe

Спасибо за это, я видел это в другой теме. Тем не менее, таблица 2 тоже ни к чему не приводит, а маршрут интерфейса игнорируется. Невероятно раздражает, что такие базовые вещи, как маршрут, почему-то просто не работают. Это и в GUI, и в CLI — всё просто уходит через шлюз, и никакой PBR не применяется.