linux – 使用iptables,匹配通过IPSEC隧道到达的数据包

背景

　　近日在调试阿里云的vpn网关应用同IDC服务器上strongswan进行双向互通 。

　　由于IDC没有硬件出口网关设备，配置iptables网关代替。

主要步骤:

　　一、云上ecs已经可以正常ping通并连接上IDC内网服务器。此处参靠阿里云上配置即可轻松完成，不在赘述。

　　二、IDC内网通过iptables策略联通ecs的方式

　　　　思路：

　　　　　　我在隧道模式下使用IPSEC.

　　　　 　　如何制定一个iptables规则,它只匹配通过IPSEC隧道到达的数据包(即在IPSEC解密它们之后 – 当它们到达时和解密之前不是IPSEC数据包).

　　　　关键是要有一个只能通过IPSEC访问并且世界其他地方无法访问的端口

　　　　　　需要使用策略模块,并指定ipsec策略以匹配此流量.例如,以下规则允许所有入站流量到tcp端口1580.不要忘记规则顺序在iptables中很重要,并且您可能还需要允许返回半数据包,具体取决于您当前的OUTPUT限制.

iptables -A INPUT -m policy --pol ipsec --dir in -p tcp --dport 1580 -j ACCEPT

　　      我的具体配置如下：

　　　　

iptables -I INPUT -s SIP -p esp -j ACCEPT
iptables -I INPUT -s SIP -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s SIP -p udp --dport 4500 -j ACCEPT
iptables -I INPUT -m policy --pol ipsec --dir in -j ACCEPT
iptables -I FORWARD -m policy --pol ipsec --dir in -j ACCEPT
iptables -t nat -I POSTROUTING -o eth0 -s LIP -m policy --dir out --pol ipsec -j ACCEPT

SIP为云vpn网关的地址；
LIP为IDC内网的地址；

　　在网关的服务器上增加以上的iptabels策略后，IDC和ecs的内网可以双向互通。　

感谢内容

　　　　 https://lauri.xn--vsandi-pxa.com/2017/04/strongswan-config-examples.html

　　　　http://www.voidcn.com/article/p-xntcuooj-btx.html