Как использовать MASQUERADE с ipsec туннлем?

Question

[black_list_man]

Имеется Raspberry с подключенной к eth0 IP камерой и установленным IKEV2 туннелем.
IP адрес камеры 192.168.97.100
Виртульный адрес raspberry 10.10.10.1
Задача получить доступ к RTSP стриму камеры с любого, подключенного устойства в виртуальной сети, в том числе по UPD.

создал правила IPTABLES

-A PREROUTING -d 10.10.10.0/24 -p tcp -m tcp --dport 554 -j DNAT --to-destination 192.168.97.100:554
-A POSTROUTING -s 192.168.97.100/32 -d 10.10.10.0/24 -o eth0 -p udp -j SNAT --to-source 10.10.10.1

Первое правило позволяет другим участникам виртульной сети устанавиливать соединение с камерой по протоколу RTSP, а также получать стрим по TCP протоколу.
Второе правило позволяет получить доступ к RTSP стриму по UDP.
Но(!) дело в том, что виртульный адрес raspberry не статичен, и SNAT работает только в частном случае.
Тут просится MASQUERADE, но он не работает, видимо потому что у IPSEC туннеля нет своего интерфейса.
Как заставить NAT подставлять текущий виртуальный адрес?

Comments

[Drno]

так задай её статичный адрес..

[Николай Медведков]

если нет интерфейса от куда тогда он получит адрес

[ValdikSS]

Николай Медведков, от физического интерфейса, на который приходят IPsec-пакеты. IPsec это не VPN-туннель в классическом понимании, а подсистема шифрования (и туннелирования) где-то между маршрутизацией и обработкой пакетов. У IPsec-туннелей, как правило, нет сетевого интерфейса.

[Николай Медведков]

ValdikSS, В iptables masquerade, обязательно требует наличие сетевого интерфейса, без него его же нельзя использовать?

Answer 1

[ValdikSS]

Прямой ответ на ваш вопрос: https://docs.strongswan.org/docs/5.9/howtos/forwar...

Однако это неправильный, сложный подход. Всё, что вам нужно — добавить маршрут к 192.168.97.100 у VPN-клиентов через VPN-туннель, а также убедиться, что маршрутизация этого адреса не заблокирована на Raspberry (VPN-сервере, как я полагаю).

Comments

[black_list_man]

Нет, Raspberry это клиент. Роботизировання платформа GSM связью и IP камерой. Таких платформ может быть несколько. Видео должно быть доступно с условной станции управления, которая тоже находится за NAT и также является клиентом VPN.
Я впрочем нашел еще один способ. Strongswan позволяет выполнять скрипт при изменении статуса подключения. В таком скрипте можно просто каждый раз создавать SNAT правило с текущим виртуальным адресом, а старое удалять, если такое имеется.