1. Forum
  2. FidoNet Russia
  3. RU.UNIX.BSD

  • strongswan+mschapv2

    From Sergey Anohin@2:5034/10.1 to All on Wed Jan 14 16:34:39 2026
    Hello!

    А кто-то юзал сабж для всяких стандартных клиентов типа android/ios/windows? Попробовал ради академического интереса в формате конфига ipsec.conf, ну заводилось только через psk.
    Винда например подсовывала в качестве имени юзера ip внутренний, а андроид идентификатор )
    Или ipsec.conf это тупиковая ветвь эволюции и может надо заводить через swanctl?
    С радиусом тоже не вышло, мусор долетал в username.

    С наилучшими пожеланиями, Sergey Anohin.

    --- wfido
    * Origin: https://5034.ru/wfido (2:5034/10.1)
  • From Eugene Grosbein@2:5006/1 to Sergey Anohin on Fri Jan 23 14:31:58 2026
    14 янв. 2026, среда, в 16:34 NOVT, Sergey Anohin написал(а):

    А кто-то юзал сабж для всяких стандартных клиентов типа android/ios/windows?
    Попробовал ради академического интереса в формате конфига ipsec.conf, ну заводилось только через psk.
    Винда например подсовывала в качестве имени юзера ip внутренний, а андроид идентификатор )
    Или ipsec.conf это тупиковая ветвь эволюции и может надо заводить через swanctl?
    С радиусом тоже не вышло, мусор долетал в username.

    Всё работает и с радиусом, и без.

    https://dadv.livejournal.com/210154.html https://dadv.dreamwidth.org/196385.html

    Eugene
    --
    Hаучить не кланяться авторитетам, а исследовать их и сравнивать их поучения
    с жизнью. Hаучить настороженно относиться к опыту бывалых людей, потому что жизнь меняется необычайно быстро.
    --- slrn/1.0.3 (FreeBSD)
    * Origin: RDTC JSC (2:5006/1@fidonet)
  • From Sergey Anohin@2:5034/10.1 to Eugene Grosbein on Fri Jan 23 12:55:17 2026
    Hello, Eugene!

    Всё работает и с радиусом, и без.
    https://dadv.livejournal.com/210154.html https://dadv.dreamwidth.org/196385.html

    а костылях вчера получил более менее рабочую конфигурацию, только есть нюансы:

    1. В андроид клиенте IPSec идентификатор упорно суется в Username (ну я пользую самбу как хранилище лдап юзеров) не раскурил до конца может, как только не крутил чет не допер пока,
    с виндой таких проблем нет

    2. Скрипт на сколько я понял из статьи у меня не завелся (или маршрут криво ставится на локалхост не помню 4 утра было),
    в общем у меня заработал такой варик:

    #!/bin/sh
    PATH=/bin:/sbin:/usr/bin:/usr/sbin

    mtu=1400
    me=10.10.10.1

    case "$PLUTO_VERB" in
    up-client)
    if [ -n "$PLUTO_REQID" ]; then
    ifname=$(ifconfig ipsec create)

    ifconfig $ifname group "r${PLUTO_REQID}g"

    ifconfig $ifname inet $me "$PLUTO_PEER_SOURCEIP" netmask 255.255.255.255
    ifconfig $ifname reqid "$PLUTO_REQID"
    ifconfig $ifname mtu $mtu up

    route delete $me >/dev/null 2>&1
    route add $me -iface $ifname
    fi
    ;;
    down-client)
    if [ -n "$PLUTO_REQID" ]; then

    ifname=$(ifconfig -g "r${PLUTO_REQID}g")
    if [ -n "$ifname" ]; then

    for i in $ifname; do
    ifconfig $i destroy
    done
    fi

    route delete $me >/dev/null 2>&1
    fi
    ;;
    esac
    exit 0

    Сам конфиг в таком виде:

    connections {
    vpn {
    version = 2
    send_cert = always
    pull = 0
    dpd_delay = 5
    local_addrs = <my ext IP>
    pools = radius
    proposals = 3des-aes128-aes192-aes256-sha1-sha256-sha384-modp1024,aes256-sha256-modp2048,aes256-sha256-modp1024,aes256-sha256-modp4096,default
    reauth_time = 0
    encap = yes
    fragmentation = yes
    mobike = yes

    local {
    auth = pubkey
    certs = <cert>
    id = fqdn:<domain name>
    }

    remote {
    auth = eap-radius
    eap_id = %any
    }

    children {
    roadw-eap {
    mode = tunnel
    ipcomp = no
    copy_df = no
    start_action = none
    close_action = clear
    dpd_action = clear
    local_ts = 0.0.0.0/0
    remote_ts = dynamic
    esp_proposals = 3des-aes128-aes192-aes256-sha1-sha256-sha384-modp1024,aes256-sha256-modp2048,aes256-sha256-modp1024,aes256-sha256-modp4096,default
    rekey_time = 0
    updown = /usr/local/etc/swanctl/conf.d/updown.sh
    }
    }
    }
    }

    pools {
    radius {
    addrs = 10.10.10.2-10.10.10.254
    dns = 10.10.10.1, 8.8.8.8, 1.1.1.1
    }
    }


    Конфа радиус модуля:
    eap-radius {
    eap_start = no
    load = yes
    forward_identity = yes
    servers {
    radius {
    address = 127.0.0.1
    secret = <secret>
    auth_port = 1812
    acct_port = 1813
    retransmit_base = 1.0
    retransmit_tries = 5
    sockets = 5
    nas_identifier = <fqdn>
    }
    }
    }

    радиус модуль mschap:
    mschap {
    use_mppe = yes
    require_encryption = yes
    require_strong = yes
    winbind = yes
    ntlm_auth = "/usr/local/bin/ntlm_auth --request-nt-key --username=%{%{Stripped-User-Name}:-%{%{mschap:User-Name}:-%{%{User-Name}:-None}}} --challenge=%{%{mschap:Challenge}:-00} --nt-response=%{%{mschap:NT-Response}:-00}"
    ntlm_auth_timeout = 10
    with_ntdomain_hack = yes

    pool {
    start = ${thread[pool].start_servers}
    min = ${thread[pool].min_spare_servers}
    max = ${thread[pool].max_servers}
    spare = ${thread[pool].max_spare_servers}
    uses = 0
    retry_delay = 10
    lifetime = 86400
    cleanup_interval = 300
    idle_timeout = 600
    }

    }


    С наилучшими пожеланиями, Sergey Anohin.

    --- wfido
    * Origin: https://5034.ru/wfido (2:5034/10.1)
  • From Eugene Grosbein@2:5006/1 to Sergey Anohin on Tue Jan 27 14:06:34 2026
    23 янв. 2026, пятница, в 12:55 NOVT, Sergey Anohin написал(а):

    2. Скрипт на сколько я понял из статьи у меня не завелся (или маршрут криво
    ставится на локалхост не помню 4 утра было),

    Скрипт рабочий, ты поди переносы строк неправильно прописал.

    в общем у меня заработал такой варик:
    #!/bin/sh
    PATH=/bin:/sbin:/usr/bin:/usr/sbin
    mtu=1400
    me=10.10.10.1
    case "$PLUTO_VERB" in
    up-client)
    if [ -n "$PLUTO_REQID" ]; then
    ifname=$(ifconfig ipsec create)
    ifconfig $ifname group "r${PLUTO_REQID}g"
    ifconfig $ifname inet $me "$PLUTO_PEER_SOURCEIP" netmask 255.255.255.255

    Hазначение IP автоматически добавляет up, поэтому второй up ниже лишний.

    ifconfig $ifname reqid "$PLUTO_REQID"
    ifconfig $ifname mtu $mtu up

    Смена mtu после установления IP может приводить к проблемам,
    перенеси смену mtu либо в одну команду с назначением IP,
    либо даже выше назначения IP.

    route delete $me >/dev/null 2>&1
    route add $me -iface $ifname

    Тут ты непонятно что делаешь. Hафига ты удаляешь
    маршрут на IP-адрес самого сервера? Hафига ты
    засовываешь такой маршрут в клиентский интерфейс?
    Hичего этого не нужно и даже бессмысленно это и вредно.

    Eugene
    --- slrn/1.0.3 (FreeBSD)
    * Origin: RDTC JSC (2:5006/1@fidonet)
  • From Sergey Anohin@2:5034/10.1 to Eugene Grosbein on Tue Jan 27 20:04:57 2026
    Hello, Eugene!

    Скрипт рабочий, ты поди переносы строк неправильно прописал.

    Можно будет пересмотреть на досуге

    route delete $me >/dev/null 2>&1
    route add $me -iface $ifname
    Тут ты непонятно что делаешь. Hафига ты удаляешь
    маршрут на IP-адрес самого сервера? Hафига ты
    засовываешь такой маршрут в клиентский интерфейс?
    Hичего этого не нужно и даже бессмысленно это и вредно.

    Со скриптом из статьи (в скрипте я пишу me=10.10.10.1):

    ipsec0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> metric 0 mtu 1460
    description: ikev2: <IPSEC id> 10.10.10.2 <vpn-server-ext-ip> <vpn-client-ext-ip>
    tunnel inet <vpn-server-ext-ip> --> <vpn-client-ext-ip>
    inet 10.10.10.1 --> 10.10.10.2 netmask 0xffffffff
    groups: ipsec r1g
    reqid: 1
    nd6 options=29<PERFORMNUD,IFDISABLED,AUTO_LINKLOCAL>

    Routing tables

    Internet:
    Destination Gateway Flags Netif Expire
    [порезано]
    10.10.10.1 link#12 UHS lo0
    10.10.10.2 link#12 UH ipsec0
    [порезано]



    С наилучшими пожеланиями, Sergey Anohin.

    --- wfido
    * Origin: https://5034.ru/wfido (2:5034/10.1)
  • From Sergey Anohin@2:5034/10.1 to Eugene Grosbein on Tue Jan 27 20:21:48 2026
    Hello, Eugene!

    route delete $me >/dev/null 2>&1
    route add $me -iface $ifname

    Тут ты непонятно что делаешь. Hафига ты удаляешь
    маршрут на IP-адрес самого сервера? Hафига ты
    засовываешь такой маршрут в клиентский интерфейс?
    Hичего этого не нужно и даже бессмысленно это и вредно.

    Жесткий дебаг был, спасибо за замечания, поправил!

    В моем случае мешает строка:
    tunnel "$PLUTO_ME" "$PLUTO_PEER"

    Без этого работает

    #!/bin/sh
    PATH=/bin:/sbin:/usr/bin:/usr/sbin

    mtu=1400
    me=10.10.10.1

    case "$PLUTO_VERB" in
    up-client)
    if [ -n "$PLUTO_REQID" ]; then
    ifname=$(ifconfig ipsec create)
    ifconfig $ifname group "r${PLUTO_REQID}g"
    ifconfig $ifname inet $me "$PLUTO_PEER_SOURCEIP" netmask 255.255.255.255 reqid "$PLUTO_REQID" mtu $mtu
    fi
    ;;
    down-client)
    if [ -n "$PLUTO_REQID" ]; then
    ifname=$(ifconfig -g "r${PLUTO_REQID}g")
    if [ -n "$ifname" ]; then
    for i in $ifname; do
    ifconfig $i destroy
    done
    fi
    fi
    ;;
    esac
    exit 0




    С наилучшими пожеланиями, Sergey Anohin.

    --- wfido
    * Origin: https://5034.ru/wfido (2:5034/10.1)
  • From Sergey Anohin@2:5034/10.1 to Eugene Grosbein on Tue Jan 27 22:44:27 2026
    Hello, Eugene!

    Скрипт рабочий, ты поди переносы строк неправильно прописал.

    Итого, в моем кейсе скрипт отсюда:

    https://dadv.livejournal.com/210154.html

    рабочий, но если убрать:

    tunnel "$PLUTO_ME" "$PLUTO_PEER"

    Возможно у меня специфическая конфигурация какая-то.
    У меня внешний IP поднимается интерфейсе ng0 через mpd5 и pppoe.

    Если без tunnel то
    #setkey -DP
    10.10.10.2[any] 0.0.0.0/0[any] any
    in ipsec
    esp/tunnel/<ext-vpn-client-ip>-<ext-vpn-server-ip>/unique:1
    created: Jan 27 22:36:37 2026 lastused: Jan 27 22:36:52 2026
    lifetime: 9223372036854775807(s) validtime: 0(s)
    spid=537 seq=1 pid=44426 scope=global
    refcnt=3
    0.0.0.0/0[any] 10.10.10.2[any] any
    out ipsec
    esp/tunnel/<ext-vpn-server-ip>-<ext-vpn-client-ip>/unique:1
    created: Jan 27 22:36:37 2026 lastused: Jan 27 22:36:48 2026
    lifetime: 9223372036854775807(s) validtime: 0(s)
    spid=538 seq=0 pid=44426 scope=global
    refcnt=3

    если с tunnel, то

    # setkey -DP
    10.10.10.2[any] 0.0.0.0/0[any] any
    in ipsec
    esp/tunnel/<ext-vpn-client-ip>-<ext-vpn-server-ip>/unique:1
    created: Jan 27 22:38:15 2026 lastused: Jan 27 22:38:16 2026
    lifetime: 9223372036854775807(s) validtime: 0(s)
    spid=539 seq=5 pid=45069 scope=global
    refcnt=1
    0.0.0.0/0[any] 0.0.0.0/0[any] any
    in ipsec
    esp/tunnel/<ext-vpn-client-ip>-<ext-vpn-server-ip>/unique:1
    spid=545 seq=4 pid=45069 scope=ifnet ifname=ipsec0
    refcnt=1
    ::/0[any] ::/0[any] any
    in ipsec
    esp/tunnel/<ext-vpn-client-ip>-<ext-vpn-server-ip>/unique:1
    spid=547 seq=3 pid=45069 scope=ifnet ifname=ipsec0
    refcnt=1
    0.0.0.0/0[any] 10.10.10.2[any] any
    out ipsec
    esp/tunnel/<ext-vpn-server-ip>-<ext-vpn-client-ip>/unique:1
    created: Jan 27 22:38:15 2026 lastused: Jan 27 22:38:15 2026
    lifetime: 9223372036854775807(s) validtime: 0(s)
    spid=540 seq=2 pid=45069 scope=global
    refcnt=1
    0.0.0.0/0[any] 0.0.0.0/0[any] any
    out ipsec
    esp/tunnel/<ext-vpn-server-ip>-<ext-vpn-client-ip>/unique:1
    spid=546 seq=1 pid=45069 scope=ifnet ifname=ipsec0
    refcnt=1
    ::/0[any] ::/0[any] any
    out ipsec
    esp/tunnel/<ext-vpn-server-ip>-<ext-vpn-client-ip>/unique:1
    spid=548 seq=0 pid=45069 scope=ifnet ifname=ipsec0
    refcnt=1

    с tunnel трафик не ходит.

    С наилучшими пожеланиями, Sergey Anohin.

    --- wfido
    * Origin: https://5034.ru/wfido (2:5034/10.1)
  • From Eugene Grosbein@2:5006/1 to Sergey Anohin on Wed Feb 4 07:29:21 2026
    27 янв. 2026, вторник, в 22:44 NOVT, Sergey Anohin написал(а):

    [skip]

    с tunnel трафик не ходит.

    В /etc/sysctl.conf добавь:

    net.key.preferred_oldsa=0
    net.inet.ipsec.filtertunnel=1

    И либо перезагрузись, либо удали все политики командами:
    setkey -F; setkey -FP

    Eugene
    --
    Поэты - страшные люди. У них все святое.
    --- slrn/1.0.3 (FreeBSD)
    * Origin: RDTC JSC (2:5006/1@fidonet)
  • From Sergey Anohin@2:5034/10.1 to Eugene Grosbein on Wed Feb 4 15:26:48 2026
    Hello, Eugene!

    с tunnel трафик не ходит.
    В /etc/sysctl.conf добавь:
    net.key.preferred_oldsa=0
    net.inet.ipsec.filtertunnel=1
    И либо перезагрузись, либо удали все политики командами:
    setkey -F; setkey -FP

    # sysctl net.key.preferred_oldsa=0
    net.key.preferred_oldsa: 1 -> 0
    # sysctl net.inet.ipsec.filtertunnel=1
    net.inet.ipsec.filtertunnel: 0 -> 1

    # setkey -F; setkey -FP
    # setkey -D
    No SAD entries.
    # setkey -DP
    No SPD entries.

    После подключения:

    ipsec0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> metric 0 mtu 1400
    description: ikev2: <IPSEC ID> 10.10.10.2 <ext-server IP> <ext client IP>
    tunnel inet <ext-server IP> --> <ext client IP>
    inet 10.10.10.1 --> 10.10.10.2 netmask 0xffffffff
    groups: ipsec r1g
    reqid: 1
    nd6 options=29<PERFORMNUD,IFDISABLED,AUTO_LINKLOCAL>

    # netstat -nr
    Routing tables
    Internet:
    Destination Gateway Flags Netif Expire
    [skip]
    10.10.10.1 link#12 UHS lo0
    10.10.10.2 link#12 UH ipsec0
    [skip]

    # setkey -DP
    10.10.10.2[any] 0.0.0.0/0[any] any
    in ipsec
    esp/tunnel/<ext client IP>-<ext-server IP>/unique:1
    created: Feb 4 15:13:15 2026 lastused: Feb 4 15:13:20 2026
    lifetime: 9223372036854775807(s) validtime: 0(s)
    spid=42 seq=5 pid=78425 scope=global
    refcnt=1
    0.0.0.0/0[any] 0.0.0.0/0[any] any
    in ipsec
    esp/tunnel/<ext client IP>-<ext-server IP>/unique:1
    spid=48 seq=4 pid=78425 scope=ifnet ifname=ipsec0
    refcnt=1
    ::/0[any] ::/0[any] any
    in ipsec
    esp/tunnel/<ext client IP>-<ext-server IP>/unique:1
    spid=50 seq=3 pid=78425 scope=ifnet ifname=ipsec0
    refcnt=1
    0.0.0.0/0[any] 10.10.10.2[any] any
    out ipsec
    esp/tunnel/<ext-server IP>-<ext client IP>/unique:1
    created: Feb 4 15:13:15 2026 lastused: Feb 4 15:13:15 2026
    lifetime: 9223372036854775807(s) validtime: 0(s)
    spid=43 seq=2 pid=78425 scope=global
    refcnt=1
    0.0.0.0/0[any] 0.0.0.0/0[any] any
    out ipsec
    esp/tunnel/<ext-server IP>-<ext client IP>/unique:1
    spid=49 seq=1 pid=78425 scope=ifnet ifname=ipsec0
    refcnt=1
    ::/0[any] ::/0[any] any
    out ipsec
    esp/tunnel/<ext-server IP>-<ext client IP>/unique:1
    spid=51 seq=0 pid=78425 scope=ifnet ifname=ipsec0
    refcnt=1
    # setkey -D
    <ext-server IP>[4500] <ext client IP>[2179]
    esp-udp mode=tunnel spi=2110722774(0x7dcf12d6) reqid=1(0x00000001)
    E: aes-cbc d477e360 96a42912 374872ac 118bf3b7
    A: hmac-sha2-256 982be6e5 0fb787e1 534b06a2 0316c79d 8d36780a 68e44803 835cf57a b210151a
    seq=0x00000000 replay=0 flags=0x00000000 state=mature
    created: Feb 4 15:13:15 2026 current: Feb 4 15:13:26 2026
    diff: 11(s) hard: 0(s) soft: 0(s)
    last: hard: 0(s) soft: 0(s)
    current: 0(bytes) hard: 0(bytes) soft: 0(bytes)
    allocated: 0 hard: 0 soft: 0
    sadb_seq=1 pid=78460 refcnt=1
    <ext client IP>[2179] <ext-server IP>[4500]
    esp-udp mode=tunnel spi=3302333642(0xc4d59cca) reqid=1(0x00000001)
    E: aes-cbc f4bcdd87 9df6c238 27e46a23 ad8c3c65
    A: hmac-sha2-256 8415e870 1da5143a fdf6578a bfec9da5 2b034c10 8fc43f04 a27661f4 92731653
    seq=0x00000023 replay=4 flags=0x00000000 state=mature
    created: Feb 4 15:13:15 2026 current: Feb 4 15:13:26 2026
    diff: 11(s) hard: 0(s) soft: 0(s)
    last: Feb 4 15:13:15 2026 hard: 0(s) soft: 0(s)
    current: 9444(bytes) hard: 0(bytes) soft: 0(bytes)
    allocated: 35 hard: 0 soft: 0
    sadb_seq=0 pid=78460 refcnt=1



    и пинги не идут на 10.10.10.2

    Где-то я встречал про двойную инкапсуляцию писали что-то. Это не какая-то багофича моей версии ОС?

    FreeBSD server.5034.ru 13.2-RELEASE-p9 FreeBSD 13.2-RELEASE-p9 releng/13.2-c78c31d2e SERVER amd64

    если без опции tunnel

    # setkey -D
    <ext-server IP>[4500] <ext-client IP>[2234]
    esp-udp mode=tunnel spi=634435229(0x25d0b69d) reqid=1(0x00000001)
    E: aes-cbc 179659a9 7fcbe14f 98cd2176 cca6b455
    A: hmac-sha2-256 eef7520e aa527d40 287e73a9 5fc3e980 bea5285c 95f90992 4b40dbd8 67d0b2a3
    seq=0x0000003a replay=0 flags=0x00000000 state=mature
    created: Feb 4 15:22:23 2026 current: Feb 4 15:22:27 2026
    diff: 4(s) hard: 0(s) soft: 0(s)
    last: Feb 4 15:22:23 2026 hard: 0(s) soft: 0(s)
    current: 29800(bytes) hard: 0(bytes) soft: 0(bytes)
    allocated: 58 hard: 0 soft: 0
    sadb_seq=1 pid=83828 refcnt=1
    <ext-client IP>[2234] <ext-server IP>[4500]
    esp-udp mode=tunnel spi=3449724873(0xcd9e9fc9) reqid=1(0x00000001)
    E: aes-cbc ba750ccd 221efd45 ae3200ce 26891904
    A: hmac-sha2-256 92a7b3cb a2a5bb75 9a23591f 90c46044 a05e54f2 7982f038 4f89aec8 dbc265c9
    seq=0x00000045 replay=4 flags=0x00000000 state=mature
    created: Feb 4 15:22:23 2026 current: Feb 4 15:22:27 2026
    diff: 4(s) hard: 0(s) soft: 0(s)
    last: Feb 4 15:22:23 2026 hard: 0(s) soft: 0(s)
    current: 9257(bytes) hard: 0(bytes) soft: 0(bytes)
    allocated: 69 hard: 0 soft: 0
    sadb_seq=0 pid=83828 refcnt=1
    # setkey -DP
    10.10.10.2[any] 0.0.0.0/0[any] any
    in ipsec
    esp/tunnel/<ext-client IP>-<ext-server IP>/unique:1
    created: Feb 4 15:22:23 2026 lastused: Feb 4 15:22:24 2026
    lifetime: 9223372036854775807(s) validtime: 0(s)
    spid=62 seq=1 pid=83836 scope=global
    refcnt=1
    0.0.0.0/0[any] 10.10.10.2[any] any
    out ipsec
    esp/tunnel/<ext-server IP>-<ext-client IP>/unique:1
    created: Feb 4 15:22:23 2026 lastused: Feb 4 15:22:24 2026
    lifetime: 9223372036854775807(s) validtime: 0(s)
    spid=63 seq=0 pid=83836 scope=global
    refcnt=1

    и траф ходит

    С наилучшими пожеланиями, Sergey Anohin.

    --- wfido
    * Origin: https://5034.ru/wfido (2:5034/10.1)
  • From Eugene Grosbein@2:5006/1 to Sergey Anohin on Mon Feb 9 11:47:57 2026
    04 февр. 2026, среда, в 15:26 NOVT, Sergey Anohin написал(а):

    Где-то я встречал про двойную инкапсуляцию писали что-то. Это не какая-то багофича моей версии ОС?
    FreeBSD server.5034.ru 13.2-RELEASE-p9 FreeBSD 13.2-RELEASE-p9 releng/13.2-c78c31d2e SERVER amd64

    Hе исключено, версия давным-давно EoL и никто не станет
    разбираться, что там с ней было по багам. Обновись как минимум до 13.5,
    хотя и ей жить осталось недолго. Меньше чем через месяц выйдет 14.4,
    типа намёк.

    Eugene
    --
    А ученый уподобляется обученному слону, которого погонщик поставил перед преградой. Он пользуется силой разума, как слон --- силой мышц, подчиняясь приказу. Это необычайно удобно: ученый отныне готов на все, так как ни за
    что уже не отвечает.
    --- slrn/1.0.3 (FreeBSD)
    * Origin: RDTC JSC (2:5006/1@fidonet)
  • From Sergey Anohin@2:5034/10.1 to Eugene Grosbein on Mon Feb 9 12:12:54 2026
    Hello, Eugene!

    Hе исключено, версия давным-давно EoL и никто не станет
    разбираться, что там с ней было по багам. Обновись как минимум до 13.5, хотя и ей жить осталось недолго. Меньше чем через месяц выйдет 14.4,
    типа намёк.

    Уже давно в планах, пока хотел на 13ую latest, потом прыгнуть на 14. Даже вроде мир и ядро собрано было, но уже не помню, проще пересобрать.
    А фундаментально, что дает опция tunnel? В том плане если и без нее работает. Или типа должно быть наоборот? Без нее не должно работать?

    С наилучшими пожеланиями, Sergey Anohin.

    --- wfido
    * Origin: https://5034.ru/wfido (2:5034/10.1)
  • From Eugene Grosbein@2:5006/1 to Sergey Anohin on Wed Feb 11 21:45:50 2026
    09 февр. 2026, понедельник, в 12:12 NOVT, Sergey Anohin написал(а):

    А фундаментально, что дает опция tunnel? В том плане если и без нее работает.
    Или типа должно быть наоборот? Без нее не должно работать?

    Из man ipsec:

    To properly filter on the inner packets of an ipsec tunnel with
    firewalls, you can change the values of the following sysctls

    Name Default Enable
    net.inet.ipsec.filtertunnel 0 1
    net.inet6.ipsec6.filtertunnel 0 1

    Успешно расшифрованные входящие пакеты по дефолту считаются
    доверенными и не пропускаются через пакетные фильтры,
    а доставляются сразу. Переключение filtertunnel в 1 включает
    фильтрацию таких входящих пакетов после расшифровки.

    Eugene
    --
    Прекрасны тонко отшлифованная драгоценность; победитель, раненный в бою;
    слон во время течки; река, высыхающая зимой; луна на исходе; юная женщина, изнуренная наслаждением, и даятель, отдавший все нищим. (Дхарма)
    --- slrn/1.0.3 (FreeBSD)
    * Origin: RDTC JSC (2:5006/1@fidonet)
  • From Eugene Grosbein@2:5006/1 to Sergey Anohin on Wed Feb 11 21:48:29 2026
    09 февр. 2026, понедельник, в 12:12 NOVT, Sergey Anohin написал(а):

    А фундаментально, что дает опция tunnel? В том плане если и без нее работает.
    Или типа должно быть наоборот? Без нее не должно работать?

    А если ты про настройку tunnel интерфейса ipsecX,
    то для входящего трафика она определяет, через какой
    из таких интерфейсов трафик будет "входить", для tcpdump,
    для ipfw, для счетчиков разных.

    Eugene
    --
    Поэты - страшные люди. У них все святое.
    --- slrn/1.0.3 (FreeBSD)
    * Origin: RDTC JSC (2:5006/1@fidonet)
  • From Sergey Anohin@2:5034/10.1 to Eugene Grosbein on Wed Feb 11 18:50:34 2026
    Hello, Eugene!

    А если ты про настройку tunnel интерфейса ipsecX,
    то для входящего трафика она определяет, через какой
    из таких интерфейсов трафик будет "входить", для tcpdump,
    для ipfw, для счетчиков разных.

    Да, все так, без опции tunnel трафик не видать в tcpdump на ipsec0, но он ходит.
    После обновления буду смотреть что там, пока что я вижу только что политики setkey отличаются с tunnel и без.

    С наилучшими пожеланиями, Sergey Anohin.

    --- wfido
    * Origin: https://5034.ru/wfido (2:5034/10.1)