Как настроить strongswan на внешнее подключение?

Question

[Адриан Макриденко]

Здравствуйте! Есть такая ситуация, нужно настроить vpn тунель по такой схеме:

Клиент -> Сервер -> Заказчика

Причем, должно быть так, что у заказчика нет доступа в сеть, он должен быть только в подсети сервера.
Нужно настроить такую подсеть, чтобы она на сервере,с доступом в интернет и имела тунель к заказчику.

Соединение сервер -> заказчик я сделал, вот конфиг:

config setup
  charondebug="ike 2, knl 2, cfg 2"

conn %default
  keyexchange=ikev2
  auto=add

conn vpn
  leftsourceip=%config
  leftcert=<сертификат>.crt
  leftfirewall=yes
  right=<адрес>
  rightsubnet=192.168.120.0/24
  rightid=@<адрес>
  type=tunnel
  authby=pubkey

сделать доступ к сервер( клиент -> сервер ) не получилось.

spoiler

Прошу прощения если где-то напутал с терминами, мало опыта с vpn сетями

Comments

[AlexVWill]

нарисуй топологию сети, куда кто должен получить доступ...

тунель по такой схеме:

Клиент -> Сервер -> Заказчика

звучит вообще непонятно

[Адриан Макриденко]

AlexVWill, честно, я сам не совсем понимаю, я прям 0 в этом

Должно быть так:
Разработчики(клиент) имеют должны подключаться к подсети сервера, а сервер подключается к подсети сервера заказчика



надеюсь чуть-чуть понятнее

[AlexVWill]

Адриан Макриденко, если я правильно понял задачу, тебе надо чтобы твой "Сервер" к которому подключаются клиенты имел в свою очередь доступ в некую сеть, в которой есть сервер заказчика... тогда логичнее сделать проще - сделать "Сервер" клиентов в свою очередь VPN клиентом сети, в качестве сервера которой будет сервер "Заказчик"...

[CityCat4]

Насколько я понял, клиенты должны подключаться к серверу (режим roadwarrior), который в свою очередь должен иметь туннель с заказчиком, то есть фактически туннелей два.
1. На схему нанести IP адреса. Шван не использует маршрутизацию (точнее говоря IPSec ее не использует), пакеты доставляются согласно политикам, вот их нужно будет очень внимательно писать.
2. Создать два соединения - одно туннель сеть-сеть сервера с заказчиком, второе roadwarrior - сервера с клиентами. Как создать - у швана хорошая документация, куча примеров.
Внимание! Если клиентами будет винда и авторизация по сертификатам - в сертификате сервера обязательно SAN, который должен содержать IP адрес! Иначе винда не сконнектится!