wie route ich ein ipsec gateway, klartext ins lokale lan/int

[darwin]

wie route ich ein ipsec gateway, klartext ins lokale lan/internet?
ich moechte das w-lan sichern!



ipsec gw eth0 192.168.1.14 gw 192.168.1.1
eth1 192.168.3.1
ipsec0 192.168.3.1

echo 1 > /proc/sys/net/ipv4/ip_forward

ipchains -A forward -i eth0 -s 192.168.3.0/24 -j MASQ


client 192.168.3.2
255.255.255.0
192.168.3.1 gw
192.168.1.2 dns


sobald ipsec in spiel kommt erreiche ich leider nur vom client aus
den ipsec server auf 192.168.3.1, das interne netz 192.168.1.0/24
und das internet ist nicht erreichbar.

weitere filterregeln sind nicht konfiguriert.

ipsec setup start
echo 0 > /proc/sys/net/ipv4/conf/eth1/rp_filter
echo 0 > /proc/sys/net/ipv4/conf/ipsec0/rp_filter

weiss jemand rat?

[darwin]

das ganze mal ohne ipchains -A forward -i eth0 -s 192.168.3.0/24 -j MASQ

wlan client 192.168.3.2
255.255.255.0
192.168.1.2 dns
route ADD 192.168.1.0 MASK 255.255.255.0 192.168.3.1


ipsec gw eth0 192.168.1.14
255.255.255.0
gw 192.168.1.1
eth1 192.168.3.1
255.255.255.0
ipsec0 192.168.3.1
echo 1 > /proc/sys/net/ipv4/ip_forward


win server 192.168.1.2
255.255.255.0
gw 192.168.1.1
dns 127.0.0.1
route ADD 192.168.3.0 MASK 255.255.255.0 192.168.1.14

solange ipsec deaktiviert ist funktioniert die kommunikation zwischen client und winserver.

starte ich jedoch ipsec setup kann der client ip 192.168.3.2 nur mit dem ipsec gw ip 192.168.3.1 kommunizieren.
hat jemand eine idee wie ich vom client 192.168.3.2 <--> 192.168.1.2 pingen kann???

selbst ein ping vom client 192.168.3.2 auf 192.168.1.14 ist nicht moeglich(zeitüberschreitung der anforderung)