有在 GCP(Google Cloud Platform)搭建 strongswan 的嘛?

[churchmice]

搭完可以正常连接上,但是访问不了 google 家的所有网站,因为 google 的服务器跟 VPS 在同一个内网的关系?
有办法解决吗?

1.在默认防火墙的基础上加了 ESP,AH,UDP:500,UDP:4500 的放行规则
2. 虚拟 IP 池设置的是 10.0.64.0/24
3. 也在 iptables 里面加了 iptables -t nat -A POSTROUTING -s 10.0.64.0/24 -o eth0 -j MASQUERADE

具体的配置如下:

config setup
#charondebug="ike 1, knl 1, cfg 0"
uniqueids=no

conn ikev2-vpn
# leftfirewall=yes
auto=add
compress=no
type=tunnel
keyexchange=ikev2
fragmentation=yes
forceencaps=yes
ike=aes256-sha1-modp1024,3des-sha1-modp1024!
esp=aes256-sha1,3des-sha1!
dpdaction=clear
dpddelay=300s
rekey=no
left=%any
leftid=@bla_bla_bla
leftcert=/etc/ipsec.d/certs/serverCert.pem
leftsendcert=always
leftsubnet=0.0.0.0/0
right=%any
rightid=%any
rightauth=eap-mschapv2
rightdns=8.8.8.8,8.8.4.4
rightsourceip=10.0.64.0/24
rightsendcert=never
eap_identity=%identity

[blues9]

@churchmice
对了，还有一个现象就是 google 家的网站访问都没问题，别的就不行。总感觉是路由哪里有问题，但找不到原因。

[churchmice]

@blues9 tcpdump 看了下是 MTU 有问题

need to frag (mtu 1398), length 556



所以 ping 没有问题,但是 wget 有问题

[churchmice]

@blues9 搞定,在客户端把 MTU 设成 1360 就好了

[blues9]

@churchmice
恭喜。我的 openvpn 还是没搞定，还是 dns 不通

[churchmice]

@blues9 那只能 server 端 tcpdump 抓包了

[sdrzlyz]

同样的问题。其他网站 ok，但是 google 自家的就不行，也是通过客户端设施 MTU 可以搞定。这个很奇怪啊。。。为什么默认的 1400 就不行呢？ server 端的 mtu 是 1460.

[churchmice]

@sdrzlyz GCP 内网的锅吧

[blues9]

我的 open vpn 的问题后来解决了，需要在创建 instance 的时候在网络设置里打开 ip forwarding 开关。