Shit, jeg er helt skeløjet efter at have brugt det meste af dagen på at prøve at få en VPN-gateway til at opføre sig ordentligt, og jeg mangler stadig at få den til at route trafik korrekt fra ydersiden til hosts på indersiden 😵‍💫

[nerdd@mstdn.social]

@kramse Jeg er i gang med at flytte et gammelt setup fra Digital Ocean til Hetzner, så jeg har egentlig bare oversat en eksisterende /etc/ipsec.conf til /etc/swanctl/swanctl.conf. I sin tid brugte jeg https://www.digitalocean.com/community/tutorials/how-to-set-up-an-ikev2-vpn-server-with-strongswan-on-ubuntu-18-04-2, men skippede punkt 6, fordi vi brugte den eksterne firewall hos Digital Ocean.

@klgn @holsta

[nerdd@mstdn.social]

@pmakholm Det eneste, jeg har af firewall kørende på gatewayen er iptables, hvor der bliver tilføjet et par “forward accept” regler mellem de virtuelle ip'er og subnettet på indersiden, når klienter opretter en forbindelse: En regel hvor virtuel ip er source og subnet destination og en regel, hvor det er omvendt.

[nerdd@mstdn.social]

@gunnar @reynir Yes, jeg fandt frem til et standard script, som jeg har tilføjet nu, og det opretter to forward accept regler, hvor den virtuel ip og det interne subnet er source/destination. Desværre har det ikke hjulpet noget.

[nerdd@mstdn.social]

@pmakholm Hm, når jeg prøver at ssh'e til 10.135.0.3, som er gatewayens interne ip, og jeg lytter på det interface med tcpdump, ser jeg pakker med “10.10.10.1.58571 > 10.135.87.234.ssh”. 10.135.87.234 virker sært, synes jeg.

[nerdd@mstdn.social]

Hm, jeg har gravet mere i det.

Jeg opretter en VPN-forbindelse til gatewayen og får ip 10.10.10.1, og så kan jeg pinge gatewayens interne IP (10.135.0.3), og når jeg bruger tcpdump på det eksterne interface, ser jeg pakkerne. Når jeg pinger en anden host, ser jeg dem også, men det kan jeg i tcpdump på den anden host.

Når jeg så prøver at ssh’e til gatewayens interne ip, ser jeg dette:

"IP 10.10.10.1.58785 > 10.135.87.234.ssh”

Hvad pokker går 10.135.87.234 ud på?

[nerdd@mstdn.social]

Ooooog nu gik der en prås op for Rasmus!

10.135.87.234 er den interne ip på VPN'en ved den udbyder, jeg er ved at flytte væk fra, og jeg havde i min lokale ~/.ssh/config flg. stående:

Host 10.135.* !10.135.87.234
ProxyJump 10.135.87.234

Når jeg opdaterer det til:

Host 10.135.* !10.135.0.3
ProxyJump 10.135.0.3

Så virker det hele!

[nerdd@mstdn.social]

Tak til @klgn, @pmakholm, @gunnar, @reynir og @kramse for hjælp og indspark!

[infonauten@helvede.net]

@nerdd nogle gange hjælper det bare at skrive det. Så får hjernen vendt det igen. Fedt at du fik det løst!

[klgn@expressional.social]

@nerdd @pmakholm @gunnar @reynir @kramse Sådan. Stærkt klaret

[nerdd@mstdn.social]

@infonauten Det hjælper også at kigge på ip’en, jeg bruger, når jeg ssh'er til den gamle VPN

Det er ubeskriveligt fedt. Nu kan jeg komme videre med at flytte resten af kundens setup.