роблема с приоритетами подключений в IPsec/IKEv2 для разных клиентов

null@example.com (MrQ1V1) — Fri, 21 Mar 2025 04:33:46 +0000

Приветствую участников форума!

Столкнулся с проблемой настройки IPsec/IKEv2 сервера, где каждому сертификату необходимо назначить свои ограничения по доступу к определенным IP-адресам. Однако возникла сложность с работой подключений для iPhone и Linux-клиентов.

Описание проблемы:
У меня есть три типа подключений (netvision, tiv, zan), каждый из которых использует свой сертификат и имеет уникальные настройки доступа (leftsubnet).
В текущей конфигурации подключение netvision находится выше остальных в файле /etc/ipsec.d/ikev2.conf.
Для корректной работы подключений tiv и zan на iPhone и Linux-клиентах их нужно передвинуть выше netvision. Если этого не сделать, то клиенты всегда подключаются к первому совпадению (netvision), игнорируя остальные.
Конфигурация:
Основная конфигурация /etc/ipsec.conf

version 2.0

config setup
    ikev1-policy=accept
    virtual-private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12,%v4:!192.168.42.0/24,%v4:!192.168.43.0/24
    uniqueids=no

conn shared
    left=%defaultroute
    leftid= адрес убрал
    right=%any
    encapsulation=yes
    authby=secret
    pfs=no
    rekey=no
    keyingtries=5
    dpddelay=30
    dpdtimeout=300
    ikev2=never
    ike=aes256-sha2;modp2048,aes128-sha2;modp2048,aes256-sha1;modp2048,aes128-sha1;modp2048
    phase2alg=aes_gcm-null,aes128-sha1,aes256-sha1,aes256-sha2_512,aes128-sha2,aes256-sha2
    ikelifetime=24h
    salifetime=24h
    sha2-truncbug=no

conn l2tp-psk
    auto=add
    leftprotoport=17/1701
    rightprotoport=17/%any
    type=transport
    also=shared

conn xauth-psk
    auto=add
    leftsubnet=8.8.8.8/32
    rightaddresspool=192.168.43.10-192.168.43.250
    modecfgdns="8.8.8.8 8.8.4.4"
    leftxauthserver=yes
    rightxauthclient=yes
    leftmodecfgserver=yes
    rightmodecfgclient=yes
    modecfgpull=yes
    cisco-unity=yes
    also=shared

include /etc/ipsec.d/*.conf

Файл /etc/ipsec.d/ikev2.conf:

conn ikev2-cp
    left=%defaultroute
    leftcert= убрал :)
    leftsendcert=always
    leftrsasigkey=%cert
    right=%any
    rightca=%same
    rightrsasigkey=%cert
    narrowing=yes
    dpddelay=30
    retransmit-timeout=300s
    ikev2=insist
    rekey=no
    pfs=no
    ike=aes_gcm_c_256-hmac_sha2_256-ecp_256,aes256-sha2,aes128-sha2,aes256-sha1,aes128-sha1
    phase2alg=aes_gcm-null,aes128-sha1,aes256-sha1,aes128-sha2,aes256-sha2
    ikelifetime=24h
    salifetime=24h
    encapsulation=yes
    leftid=
    modecfgdns="8.8.8.8 8.8.4.4"
    mobike=no

# netvision
conn netvision
    auto=add
    leftsubnet=11.66.104.0/24
    rightid="CN=netvision, O=GKU NSO CODD"
    rightaddresspool=192.168.43.10-192.168.43.250
    also=ikev2-cp
    priority=1

# tiv
conn tiv
    auto=add
    leftsubnet=11.66.104.0/24,11.68.104.0/24
    rightid="CN=tiv, O=GKU NSO CODD"
    rightaddresspool=192.168.43.10-192.168.43.250
    also=ikev2-cp
    priority=2

# zan
conn zan
    auto=add
    leftsubnet=11.66.104.0/24,11.68.104.0/24
    rightid="CN=zan, O=GKU NSO CODD"
    rightaddresspool=192.168.43.10-192.168.43.250
    also=ikev2-cp
    priority=3

Что я пробовал:
Изменение порядка подключений в файле /etc/ipsec.d/ikev2.conf:
Переместил tiv и zan выше netvision.
Это решило проблему для iPhone и Linux, но на android и windows работает в любом случае.

Попробовал задать приоритеты (priority=1, priority=2, priority=3), но это не повлияло на выбор подключения.

Добавил этот параметр в ikev2-cp, чтобы уменьшить количество ложных совпадений, но проблема осталась.

Вопрос:
Как можно организовать корректную работу всех подключений, чтобы:

Каждый сертификат (netvision, tiv, zan) имел свои ограничения по доступу к IP-адресам.
iPhone и Linux могли подключаться к нужному профилю (tiv или zan), не нарушая работу других клиентов?
Буду благодарен за любые идеи и предложения!

Linux Forum — роблема с приоритетами подключений в IPsec/IKEv2 для разных клиентов

роблема с приоритетами подключений в IPsec/IKEv2 для разных клиентов