Huawei AR161FG-L + PfSense 2.6.0 - ipsec s2s

[Konstanti]

@rnduser
Да , все верно
Я Вам повторю, что на данный момент проблема вов торой стороне туннеля . По какой-то причине ответа нет
Надо смотреть , что происходит со стороны Huawei
Начните с хоста 10.9.30.220
Получает ли он пакет , отправляет ли на него запрос
Если отправляет , то куда ( какой у него шлюз по умолчанию)
И тд и тп

[rnduser]

@konstanti
Message: 10:40:45 router001-k85 %%01FW-LOG/5/PACKET_FILTER(l)[586]:Packet filter permit: protocol=1, source-ip=192.168.22.100, source-port=43996,destination-ip=10.9.20.220, destination-port=43996, interzone-Local-wan outbound.
NAT пихает запрос наружу в дефолтный GW? мимо туннеля?

[Konstanti]

@rnduser
Это не Nat пихает , а ядро Huawei не находит этот трафик "интересным" . Проверяйте селекторы трафика (ACL) , или в каком виде ответ приходит на GW

[rnduser]

@konstanti
||spoiler||
<router001-k85>display acl all
Total quantity of nonempty ACL number is 3

Basic ACL GigabitEthernet0/0/4 2999, 1 rule
Acl's step is 5
rule 5 permit (236 matches)

Advanced ACL 3990, 3 rules
allow ipsec to local
Acl's step is 5
rule 10 permit icmp (36 matches)
rule 30 permit udp destination-port eq 500 (8 matches)
rule 35 permit udp destination-port eq 4500

Advanced ACL p_GigabitEthernet0/0/4_1 3999, 1 rule
Acl's step is 5
rule 5 permit ip source 10.9.30.0 0.0.0.255 destination 10.9.20.0 0.0.0.255
||spoiler||
ничего не попадает в ACL policy (((

[Konstanti]

@rnduser

Попробуйте добавить со стороны HW в ACL 3999 еще одно правило , только вместо IP поставить ICMP

[rnduser]

@konstanti
а смысл? совпадений (match) с ACL - нуль.

[Konstanti]

@rnduser
попробуйте .
в ACL 3999 будет 2 правила
или в rule 5 убрать ip и оставить одно

[rnduser]

@konstanti
нет. так не работает ))
||Message: 11:02:26 router001-k85 %%01IKE/5/IKE_NEGO_FAIL(l)[979]:IPSec tunnel negotiation fails. (IfIndex=7, SeqNum=0, PeerAddress=192.168.22.200, PeerPort=500, Reason=receive proposal mismatch or use sm in ikev2)||spoiler||||

[Konstanti]

@rnduser
не работает как ?
если добавить новое правило или убрать ip из правила 5 ?

[Konstanti]

@rnduser
сделайте так
добавьте в ACL 3999
такое правило
rule 6 permit ip source 10.9.20.0 0.0.0.255 destination 10.9.30.0 0.0.0.255

итого , будет 2 правила в acl 3999

[rnduser]

@konstanti
пробовал, и заменить и добавить.

[Konstanti]

@rnduser

сделайте : как я написал
добавьте в ACL 3999 зеркальное правило

[rnduser]

@konstanti
Новый текстовый документ (4).txt

в туннель не заворачивается(
счетчики по нулям

[Konstanti]

@rnduser

ICMP ,насколько я понимаю, немного не IP , может быть в этом причина того , что HW не заворачивает его в туннель
Я верно понимаю , что если добавить в ACL 3999 правило

rule 6 permit icmp source 10.9.30.0 0.0.0.255 destination 10.9.20.0 0.0.0.255

то туннель не поднимается ?

[rnduser]

@konstanti said in Huawei AR161FG-L + PfSense 2.6.0 - ipsec s2s:

то туннель не поднимается ?

поднимается, но в логах ошибки

[Konstanti]

@rnduser
обе фазы или только одна ?
какие ошибки ?

[rnduser]

@konstanti не поднималась вторая фаза. лог уже потер, и вернул как было

[rnduser]

@konstanti вот что интересно.:
nat outbound?, это базовый ацл разрешающий все ip наружу с Gi0/0/4
поди и туннельный пакеты туда же летят?
К этому же интерфейсу прикручена айписек политика...

Spoiler

#
interface GigabitEthernet0/0/4
tcp adjust-mss 1200
ip address 192.168.22.100 255.255.255.0
nat outbound 2999
zone wan
ipsec policy p_2_p1

[Konstanti]

@rnduser

а что за ACL 2999 ?

[rnduser]

@konstanti
вот что nat session table all выдает когда пингуешь хост за ПфСенсом.
ACL 2999 - Basic ACL, вида permit any. т.е. направление - только исходящее.

Spoiler

Protocol : ICMP(1)
SrcAddr Vpn : 192.168.22.100
DestAddr Vpn : 10.9.20.220
Type Code IcmpId : 8 0 44004
NAT-Info