Hallo IP Phone Forum :huhu:,
nach dem Update auf OS 6.20 habe ich beschlossen mir (wieder mal) die VPN Konfiguration vorzunehmen. Schon mal vorab: der Tunnel kommt hoch, die SA's scheinen vernünftig ausgehandelt zu werden - aber es läuft kein Traffic über den Tunnel bzw. erst nach dem ersten Re-Keying.
Hier die Details, weiter unten noch genauere Fehlerbeschreibung und tcpdump:
Peer A:
Fritz!Box 7490 @ Fritz!OS 6.20
Dynamische IP (<Dyn IP>), mit DynDNS via myfritz (<DynDNS>)
Lokale IP / lokales Netz: 192.168.10.1 / 24
Peer B:
Linux VPS (ArchLinux, Kernel 3.15.8-1, getestet mit StrongSwan 5.2.0 und ipsec-tools/racoon 0.8.2-2)
Statische IP (<Linux IP>)
Lokale IP / lokales Netz: 192.168.20.1 / 24
Fritz!Box vpn.cfg:
Linux ipsec.conf:
Ausgabe von ipsec statusall:
Ausgabe von ip xfrm policy:
Vielleicht auch interessant, hier die Ausgabe von tcpdump -i any -n "host <Dyn IP> and port not 22" während vom Fritz!Box Netz aus ein ping 192.168.20.1 läuft:
Die ersten beiden Zeilen enthalten das ICMP/Ping Paket, und in der dritten Zeile teilt die Fritz!Box dem Linux Server mit, dass sie nicht erreichbar sei, das verstehe ich nicht ...
Noch ein bisschen merkwürdiger: warte ich bis zum Re-Keying von StrongSwan, dann geht der Ping (und auch anderer Traffic) mit ~15ms durch den Tunnel, ohne dass irgendwas geändert wurde. Mit Racoon konnte ich das nicht nachstellen, da bleibt es bei admin prohibited filter.
Ich erinnere mich, dass ich vor etwa einem Jahr auch schon soweit war (damals noch mit der FB 7340), dann aber auch nicht weiter kam und irgendwann frustriert aufgegeben habe... Vielleicht seht ihr ja, wo das Problem liegen könnte.
Danke schon mal - auch, dass Du bis hierher durchgehalten hast
,
Basti
nach dem Update auf OS 6.20 habe ich beschlossen mir (wieder mal) die VPN Konfiguration vorzunehmen. Schon mal vorab: der Tunnel kommt hoch, die SA's scheinen vernünftig ausgehandelt zu werden - aber es läuft kein Traffic über den Tunnel bzw. erst nach dem ersten Re-Keying.
Hier die Details, weiter unten noch genauere Fehlerbeschreibung und tcpdump:
Peer A:
Fritz!Box 7490 @ Fritz!OS 6.20
Dynamische IP (<Dyn IP>), mit DynDNS via myfritz (<DynDNS>)
Lokale IP / lokales Netz: 192.168.10.1 / 24
Peer B:
Linux VPS (ArchLinux, Kernel 3.15.8-1, getestet mit StrongSwan 5.2.0 und ipsec-tools/racoon 0.8.2-2)
Statische IP (<Linux IP>)
Lokale IP / lokales Netz: 192.168.20.1 / 24
Fritz!Box vpn.cfg:
Code:
connections {
enabled = yes;
editable = no;
conn_type = conntype_lan;
name = "Linux VPS";
always_renew = yes;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = [B]<Linux IP>[/B];
remote_virtualip = 0.0.0.0;
keepalive_ip = 192.168.20.1;
localid {
fqdn = "[B]<DynDNS>[/B]";
}
remoteid {
ipaddr = "[B]<Linux IP>[/B]";
}
mode = phase1_mode_idp;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "[B]<PSK>[/B]";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.10.0;
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.20.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.20.0 255.255.255.0";
}Linux ipsec.conf:
Code:
# ipsec.conf - strongSwan IPsec configuration file
config setup
listen=[B]<Linux IP>[/B]
# strictcrlpolicy=yes
# uniqueids = no
conn home
keyexchange=ikev1
#
left=[B]<Linux IP>[/B]
leftsubnet=192.168.20.0/24
#
ike=aes256-sha-modp1024!
esp=aes256-sha1-modp1024!
#
right=%[B]<DynDNS>[/B]
rightid=@[B]<DynDNS>[/B]
rightsubnet=192.168.10.0/24
#
ikelifetime=1h
keylife=1h
#
authby=psk
auto=addAusgabe von ipsec statusall:
Code:
Connections:
home: [B]<Linux IP>...<DynDNS>[/B],0.0.0.0/0,::/0 IKEv1
home: local: [B][<Linux IP>][/B] uses pre-shared key authentication
home: remote: [B][<DynDNS>][/B] uses pre-shared key authentication
home: child: 192.168.20.0/24 === 192.168.10.0/24 TUNNEL
Security Associations (1 up, 0 connecting):
home[1]: ESTABLISHED 14 minutes ago, [B]<Linux IP>[<Linux IP>][/B]...[B]<Dyn IP>[<DynDNS>][/B]
home[1]: IKEv1 SPIs: 2b1ea0e9812e7e3a_i 74fe849745de1632_r*, pre-shared key reauthentication in 28 minutes
home[1]: IKE proposal: AES_CBC_256/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024
home{1}: INSTALLED, TUNNEL, ESP SPIs: ce9028ee_i d7ab977f_o
home{1}: AES_CBC_256/HMAC_SHA1_96, 74384 bytes_i (885 pkts, 1s ago), 74384 bytes_o (885 pkts, 1s ago), rekeying in 28 minutes
home{1}: 192.168.20.0/24 === 192.168.10.0/24Ausgabe von ip xfrm policy:
Code:
src 192.168.10.0/24 dst 192.168.20.0/24
dir fwd priority 2883
tmpl src [B]<Dyn IP>[/B] dst [B]<Linux IP>[/B]
proto esp reqid 2 mode tunnel
src 192.168.10.0/24 dst 192.168.20.0/24
dir in priority 2883
tmpl src [B]<Dyn IP>[/B] dst [B]<Linux IP>[/B]
proto esp reqid 2 mode tunnel
src 192.168.20.0/24 dst 192.168.10.0/24
dir out priority 2883
tmpl src [B]<Linux IP>[/B] dst [B]<Dyn IP>[/B]
proto esp reqid 2 mode tunnel
src 0.0.0.0/0 dst 0.0.0.0/0
socket in priority 0
src 0.0.0.0/0 dst 0.0.0.0/0
socket out priority 0
src 0.0.0.0/0 dst 0.0.0.0/0
socket in priority 0
src 0.0.0.0/0 dst 0.0.0.0/0
socket out priority 0
src ::/0 dst ::/0
socket in priority 0
src ::/0 dst ::/0
socket out priority 0
src ::/0 dst ::/0
socket in priority 0
src ::/0 dst ::/0
socket out priority 0Vielleicht auch interessant, hier die Ausgabe von tcpdump -i any -n "host <Dyn IP> and port not 22" während vom Fritz!Box Netz aus ein ping 192.168.20.1 läuft:
Code:
13:53:38.610352 IP [B]<Dyn IP>[/B] > [B]<Linux IP>[/B]: ESP(spi=0xc6c6e35f,seq=0xa89), length 132
13:53:38.610477 IP [B]<Linux IP>[/B] > [B]<Dyn IP>[/B]: ESP(spi=0xaf692d11,seq=0xa89), length 132
13:53:38.622172 IP [B]<Dyn IP>[/B] > [B]<Linux IP>[/B]: ICMP host [B]<Dyn IP>[/B] unreachable - admin prohibited filter, length 36Die ersten beiden Zeilen enthalten das ICMP/Ping Paket, und in der dritten Zeile teilt die Fritz!Box dem Linux Server mit, dass sie nicht erreichbar sei, das verstehe ich nicht ...
Noch ein bisschen merkwürdiger: warte ich bis zum Re-Keying von StrongSwan, dann geht der Ping (und auch anderer Traffic) mit ~15ms durch den Tunnel, ohne dass irgendwas geändert wurde. Mit Racoon konnte ich das nicht nachstellen, da bleibt es bei admin prohibited filter.
Ich erinnere mich, dass ich vor etwa einem Jahr auch schon soweit war (damals noch mit der FB 7340), dann aber auch nicht weiter kam und irgendwann frustriert aufgegeben habe... Vielleicht seht ihr ja, wo das Problem liegen könnte.
Danke schon mal - auch, dass Du bis hierher durchgehalten hast
,Basti
