Problema com VPN utilizando Openswan

lacrymachristy
(usa Debian)

Enviado em 28/05/2010 - 11:34h

Olá pessoal, estou com um problema aqui. Preciso criar uma VPN utilizando IPSec, e vi que o Openswan é uma solução para isso. Tenho que fazer uns testes fechados, então, tenho duas máquinas com Ubuntu 9.10 ligadas por um cabo cross-over, sem nada no meio delas. Só preciso levantar o túnel, mas não consigo de jeito nenhum, mesmo seguindo os tutoriais que achei. Aqui vai a configuração do meu arquivo ipsec.conf:

conn host-to-host
# Left security gateway, subnet behind it, nexthop toward right.
type=tunnel
left=192.168.0.20
leftsubnet=192.168.0.0/24
[email protected]
leftrsasigkey=0sAQPqYoYWHtn7v91glBtTgRCAHAPLQP6mXKMrqNiO.....
leftnexthop=%defaultroute
# Right security gateway, subnet behind it, nexthop toward left.
right=192.168.0.17
rightsubnet=192.168.0.0/24
[email protected]
rightrsasigkey=0sAQOkgLNr1rqvUCiUAFqVaYVBvuhVrGX8ADpZIAp.....
rightnexthop=%defaultroute
# To authorize this connection, but not actually start it,
# at startup, uncomment this.
auto=start

Alguém sabe identificar no que eu estou errando? Consigo pingar as máquinas normalmente, mas na hora de levantar o túnel (ipsec auto --up host-to-host) recebo a mensagem: 024 need to --listen before --initiate. E não saio disso. Não liguem se estou fazendo algo realmente [*****], é a primeira vez que tento utilizar esse programa. Ah, e os arquivos são exatamente iguais nas duas máquinas, elas estão atualizadas. Não sei se isso é relevante, ou se é assim mesmo, mas quando crio as chaves de cada lado (left e right), só consigo criar 1 tipo de chave por máquina, não as duas na mesma. Está correto isso? Abraços e obrigado desde já.

irado
(usa XUbuntu)

Enviado em 28/05/2010 - 16:18h

acho que vc não captou a msg de tuneis vpn. Embora TUDO indique que a conexão se dá ponto-a-ponto, é quase isso mas não é bem isso. Vc teria que ter um (ou mais) roteadores entre os pontos virtuais. Um cabo cross ligando 172.xx com 192.xxx simplesmente não funcionará ;)

BTW.. OpenSWAN.. é ruim hem? risos. Porque vc REALMENTE precisa ipsec? se REALMENTE precisar IPSec, a melhor coisa então é partir para o pfsense ou um BSD, onde o IPSec é parte do SO e não um "remendo" meio pro porco, como os *SWAN.