Bonjour à tous,

Je rencontre un problème avec mes ESXi.
Voici mon installation:

- J'ai deux machines ESXi 6.7, toutes deux distantes (différents FAI). Toutes deux ont une IP publiques, servant à se connecter au VMKernel par défaut, pour le management.
- J'ai installé sur chaque ESX un pare-feu, et j'ai monté un tunnel IPSec pour faire communiquer les deux LAN pour mes VMs.
Réseau 1 (ESX1): 172.30.29.0/24
Réseau 2 (ESX2): 172.30.30.0/24
J'ai fait une Policy rule sur mes firewall pour autoriser tous les protocoles et tous les types de traffic depuis et vers IPSec.


Pour sécuriser un minimum mon infra, j'ai l'habitude d'ajouter de nouveaux ports VMKernel sur le LAN de mes VMs, pour ne pouvoir s'y connecter que depuis le LAN, puis de supprimer le VMKernel sur la partie WAN.

J'ai donc ajouté mon port VMKernel comme suit, avec l'IP 172.30.30.252:


Je me retrouve donc avec un port de management, directement sur mon "LAN" où est présent mon firewall, qui fait la liaison, via IPSec, vers l'autre ESXi:


Par défaut, ESXi utilise le stack réseau par défaut, basé sur l'IP publique (et donc utilise la GW du WAN), j'ai donc défini via le CLI la gateway (le firewall de l'ESXi) à utiliser pour le port vmk1:


Le but est que la VM 172.30.29.101 (présente sur l'ESX1) arrive à joindre le port de management de l'ESX2, via IPsec. Je lance donc un ping depuis l'ESX2 vers la VM en question:


Le ping passe bien, idem dans l'autre sens:


Je me dis cool, j'ai réussi du premier coup. J'essai donc de me connecter à l'interface de management de l'ESX2, à partir d'une VM sur l'ESX1, et paf, rien ne se passe.
je lance alors un tcpdump sur l'ESX2, et relance ma requête HTTPS:

ça me semble bien communiquer... du coup je ne comprend pas.

J'ai pensé à un souci de MTU, peut-être que les entêtes HTTPS de passe pas via l'IPSec, il faut surement descendre un peu? Qu'en penseez-vous?

Merci d'avoir lu de pavé...

Cordialement,
DamienC