小编aut*_*eek的帖子

这是我第一次尝试站点到站点 VPN。我选择使用 IPec 是因为它似乎是我需要完成的工作的最佳解决方案。上周我遵循了几个不同的教程，但收效甚微。现在，在 ping 对面子网时，我似乎无法成功执行 ping 操作。我知道我错过了一些东西，我只是不知道是什么。

我能说的最好，我应该在路由表中看到一些东西。现在，发往另一个子网的流量未经封装就出去，并被第一个接收到不可路由私有 IP 目的地的路由器丢弃。

我尝试将 MASQUERADE 和 RELATED,ESTABLISHED 规则添加到 iptables，认为可能会有所帮助。我最终冲淡了这个想法。现在 iptables 的默认策略是在两个 Ubuntu 机器上的所有链上都接受。当 IPsec 工作时我会调整一些东西。

“服务 ipsec 状态”的输出

IPsec running  - pluto pid: 1059
pluto pid 1059
1 tunnels up
some eroutes exist

两个站点的 /etc/ipsec.conf

version 2 

config setup
    dumpdir=/var/run/pluto/

    nat_traversal=yes
    virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12,%v6:fd00::/8,%v6:fe80::/10
    protostack=netkey
    force_keepalive=yes
    keep_alive=60


conn site1-site2
    leftsubnets=10.248.248.64/16
    rightsubnet=10.131.250.194/16
    auto=start
    left=162.243.XXX.XXX
    right=178.62.YYY.YYY

    leftid=@site1
    rightid=@site2
    authby=secret
    ike=aes128-sha1;modp1024
    phase2=esp
    phase2alg=aes128-sha1;modp1024
    aggrmode=no
    ikelifetime=8h
    salifetime=1h
    dpddelay=10
    dpdtimeout=40
    dpdaction=restart
    type=tunnel
    forceencaps=yes

来自两个站点的“ipsec verify”的输出（IP 转发在 /etc/sysctl.conf 中）

Checking …