Сетевая схема, адреса и предварительная проверка¶

1. Пример двух хостов¶

Параметр	Узел А	Узел Б
Имя для оператора	`niceos-gost`	`niceos-swan2`
Underlay IPv4	`192.168.10.15`	`192.168.10.26`
Защищённый IP на `lo`	`10.200.1.1/32`	`10.200.2.1/32`
Интерфейс IPsec	`ipsec0`	`ipsec0`
Локальный IKE ID	`@niceos-left`	`@niceos-right`
Удалённый IKE ID	`@niceos-right`	`@niceos-left`
Порт IKE	UDP 500	UDP 500
NAT-T / ESP-in-UDP	UDP 4500	UDP 4500

Эти адреса — пример испытательного стенда, не постоянные адреса для всех пользователей. Для каждого развёртывания назначьте собственные underlay IP, защищённые сети и идентификаторы. Защищённые адреса не должны конфликтовать с существующими маршрутами и Docker/VLAN.

2. Сначала проверяем обычную сеть¶

На узле А:

ip -4 addr show dev eth0
ip route get 192.168.10.26
ping -c 3 192.168.10.26

На узле Б:

ip -4 addr show dev eth0
ip route get 192.168.10.15
ping -c 3 192.168.10.15

Если ICMP запрещён сетевой политикой, используйте наблюдение за UDP/500 и UDP/4500 через tcpdump или журнал charon. Отсутствие ping само по себе не доказывает запрет IKE.

3. Временные защищённые адреса на loopback¶

Узел А:

ip -4 addr show dev lo | grep -q '10.200.1.1/32' || ip addr add 10.200.1.1/32 dev lo

Узел Б:

ip -4 addr show dev lo | grep -q '10.200.2.1/32' || ip addr add 10.200.2.1/32 dev lo

Эти команды действуют до перезагрузки. Для постоянной настройки используйте механизм systemd-networkd НАЙС.ОС, см. сетевое администрирование. Не создавайте пользовательские конфиги NetworkManager или /etc/sysconfig/network-scripts/.

4. Планирование реального site-to-site¶

При двух локальных подсетях указывайте префиксы (например, 10.11.0.0/24 и 10.22.0.0/24) в local_ts/remote_ts, настраивайте межсетевую маршрутизацию и FORWARD в обе стороны. Пример /32 ниже не следует автоматически считать готовым маршрутизатором. Пересечение подсетей, асимметричные пути, NAT исходящих адресов и IPv6 требуют отдельного проекта.

5. Перед запуском¶

timedatectl status
ip rule show
ip route show table 220
iptables -S INPUT
iptables -S OUTPUT

Не меняйте маршрут по умолчанию ради IPsec. В проверенном профиле таблица 220 содержит только защищённый удалённый адрес, а запрет обхода на OUTPUT остаётся независимо от наличия SA. Маршрутизация · Правила firewall.