openswan测试

1、老版防火墙的openswang网关对网关不通是因为没有打开ipsec的包过滤规则。

2、新版防火墙的在ipsec 中，网关对网关的模式，IKE隧道能建立起来，但加密子网ping不通加密子网，一方的网关也ping不通对方网关的内网口，但是我把防火墙中的NAT规则全删除了，就可以了，原因是VPN子网的机器跟着防火墙nat被代理出去了，而不走隧道走了，在防火墙做条规则，目的地址为对端VPN子网地址的时候，不给代理就行了，比如本端是4网段，对端是5网段，4网段被nat，在nat之前加一条规则，源地址为4网段的，目的地址为5网段的，ACCEPT，这样防火墙检测的时候，发现目的地址5网段，就不做nat处理，而是直接ACCEPT放行，如果不在nat之前加一条规则，源地址为4网段的，目的地址为5网段的ACCEPT 这样防火墙检测的时候，防火墙检测时，就被转到外网去了，则永远不会被转到私网的5网段了