Как правильно настроить маршрутизацию у клиентов в StrongSwan?

Question

[John Doe]

Есть настроенный IKEV VPN сервер StrongSwan.

Проблема в том, что если клиент подключается к удаленной сети, он прекрасно видит ресурсы, но не видит интернет.
Если в свойствах подключения, убрать птицу -- Использовать основной шлюз в удаленной сети, то инет появляется, но пропадают ресурсы локальной сети к которой он подключился.
Конфиг StrongSwan

config setup
    charondebug="ike 1, knl 1, cfg 0"
    uniqueids=no

conn ikev2-vpn
    auto=add
    compress=no
    type=tunnel
    keyexchange=ikev2
    fragmentation=yes
    forceencaps=yes
    dpdaction=clear
    dpddelay=300s
    rekey=no
    left=%any
    leftid=@net.mynet.ru
    leftcert=server-cert.pem
    leftsendcert=always
    leftsubnet=192.168.10.0/24 
    right=%any
    rightid=%any
    rightauth=eap-mschapv2
    rightsourceip=10.10.41.0/24
    rightdns=192.168.10.10,192.168.10.100
    rightsendcert=never
    eap_identity=%identity
    ike=chacha20poly1305-sha512-curve25519-prfsha512,aes256gcm16-sha384-prfsha384-ecp384,aes256-sha1-modp1024,aes128-sha1-modp1024,3des-sha1-modp1024!
    esp=chacha20poly1305-sha512,aes256gcm16-ecp384,aes256-sha256,aes256-sha1,3des-sha1

Если же в конфиге StrongSwan указать
leftsubnet=0.0.0.0/0

То, тогда будет работать и то и то, но в этом случае, клиенты ломятся в интернет через офисную сеть.

Answer 1

[AlexVWill]

Я так понял, что надо чтобы VPN использовался только для ресурсов удаленной сети, а весь интернет траффик удаленных пользователей шел у них через собственные сети?
Тогда надо использовать опцию Split Tunneling
https://docs.strongswan.org/docs/5.9/howtos/forwar...

Split-Tunneling
With split-tunneling the clients will only send traffic for specific destination subnets to the gateway. For both protocol versions split-tunneling is easy to deploy f traffic selectors (TS) can freely be configured on both peers. In that case you’d simply use specific values for the local_ts and remote_ts options.

На клиенте настраивается соответствующей опцией

spoiler

Comments

[John Doe]

Скорее всего, это то, что надо.

Пытаюсь на десятке выполнить

Set-VpnConnection -name MyConnection -SplitTunneling 0

Получаю: Параметр задан неверно Invalid Argument

[AlexVWill]

Пытаюсь на десятке выполнить

Не знаю, за ненадобностью. А ты правильно создаешь VPN соединение?

Split tunneling is enabled by default but with the same limitations seen since Windows 7, i.e. the virtual IP has to be from the remote subnet or routes have to be added manually, e.g. via the Add-VpnConnectionRoute PowerShell command.

На Андроиде попробовал - работает как надо.