Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Huawei AR161FG-L + PfSense 2.6.0 - ipsec s2s

    Scheduled Pinned Locked Moved Russian
    94 Posts 3 Posters 37.2k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • R
      rnduser @Konstanti
      last edited by rnduser

      @konstanti
      ||spoiler||
      <router001-k85>display acl all
      Total quantity of nonempty ACL number is 3

      Basic ACL GigabitEthernet0/0/4 2999, 1 rule
      Acl's step is 5
      rule 5 permit (236 matches)

      Advanced ACL 3990, 3 rules
      allow ipsec to local
      Acl's step is 5
      rule 10 permit icmp (36 matches)
      rule 30 permit udp destination-port eq 500 (8 matches)
      rule 35 permit udp destination-port eq 4500

      Advanced ACL p_GigabitEthernet0/0/4_1 3999, 1 rule
      Acl's step is 5
      rule 5 permit ip source 10.9.30.0 0.0.0.255 destination 10.9.20.0 0.0.0.255
      ||spoiler||
      ничего не попадает в ACL policy (((

      K 1 Reply Last reply Reply Quote 0
      • K
        Konstanti @rnduser
        last edited by Konstanti

        @rnduser

        Попробуйте добавить со стороны HW в ACL 3999 еще одно правило , только вместо IP поставить ICMP

        R 1 Reply Last reply Reply Quote 0
        • R
          rnduser @Konstanti
          last edited by

          @konstanti
          а смысл? совпадений (match) с ACL - нуль.

          K 1 Reply Last reply Reply Quote 0
          • K
            Konstanti @rnduser
            last edited by

            @rnduser
            попробуйте .
            в ACL 3999 будет 2 правила
            или в rule 5 убрать ip и оставить одно

            R 1 Reply Last reply Reply Quote 0
            • R
              rnduser @Konstanti
              last edited by rnduser

              @konstanti
              нет. так не работает ))
              ||Message: 11:02:26 router001-k85 %%01IKE/5/IKE_NEGO_FAIL(l)[979]:IPSec tunnel negotiation fails. (IfIndex=7, SeqNum=0, PeerAddress=192.168.22.200, PeerPort=500, Reason=receive proposal mismatch or use sm in ikev2)||spoiler||||

              K 2 Replies Last reply Reply Quote 0
              • K
                Konstanti @rnduser
                last edited by

                @rnduser
                не работает как ?
                если добавить новое правило или убрать ip из правила 5 ?

                1 Reply Last reply Reply Quote 0
                • K
                  Konstanti @rnduser
                  last edited by Konstanti

                  @rnduser
                  сделайте так
                  добавьте в ACL 3999
                  такое правило
                  rule 6 permit ip source 10.9.20.0 0.0.0.255 destination 10.9.30.0 0.0.0.255

                  итого , будет 2 правила в acl 3999

                  R 1 Reply Last reply Reply Quote 0
                  • R
                    rnduser @Konstanti
                    last edited by

                    @konstanti Снимок экрана от 2023-01-23 14-07-07.png
                    пробовал, и заменить и добавить.

                    K 1 Reply Last reply Reply Quote 0
                    • K
                      Konstanti @rnduser
                      last edited by

                      @rnduser

                      сделайте : как я написал
                      добавьте в ACL 3999 зеркальное правило

                      R 1 Reply Last reply Reply Quote 0
                      • R
                        rnduser @Konstanti
                        last edited by rnduser

                        @konstanti
                        Новый текстовый документ (4).txt

                        в туннель не заворачивается(
                        счетчики по нулям

                        K 1 Reply Last reply Reply Quote 0
                        • K
                          Konstanti @rnduser
                          last edited by

                          @rnduser

                          ICMP ,насколько я понимаю, немного не IP , может быть в этом причина того , что HW не заворачивает его в туннель
                          Я верно понимаю , что если добавить в ACL 3999 правило

                          rule 6 permit icmp source 10.9.30.0 0.0.0.255 destination 10.9.20.0 0.0.0.255

                          то туннель не поднимается ?

                          R 1 Reply Last reply Reply Quote 0
                          • R
                            rnduser @Konstanti
                            last edited by

                            @konstanti said in Huawei AR161FG-L + PfSense 2.6.0 - ipsec s2s:

                            то туннель не поднимается ?

                            поднимается, но в логах ошибки

                            K 1 Reply Last reply Reply Quote 0
                            • K
                              Konstanti @rnduser
                              last edited by

                              @rnduser
                              обе фазы или только одна ?
                              какие ошибки ?

                              R 2 Replies Last reply Reply Quote 0
                              • R
                                rnduser @Konstanti
                                last edited by

                                @konstanti не поднималась вторая фаза. лог уже потер, и вернул как было

                                1 Reply Last reply Reply Quote 0
                                • R
                                  rnduser @Konstanti
                                  last edited by rnduser

                                  @konstanti вот что интересно.:
                                  nat outbound?, это базовый ацл разрешающий все ip наружу с Gi0/0/4
                                  поди и туннельный пакеты туда же летят?
                                  К этому же интерфейсу прикручена айписек политика...

                                  #
                                  interface GigabitEthernet0/0/4
                                  tcp adjust-mss 1200
                                  ip address 192.168.22.100 255.255.255.0
                                  nat outbound 2999
                                  zone wan
                                  ipsec policy p_2_p1

                                  K 1 Reply Last reply Reply Quote 0
                                  • K
                                    Konstanti @rnduser
                                    last edited by

                                    @rnduser

                                    а что за ACL 2999 ?

                                    R 2 Replies Last reply Reply Quote 0
                                    • R
                                      rnduser @Konstanti
                                      last edited by

                                      @konstanti
                                      вот что nat session table all выдает когда пингуешь хост за ПфСенсом.
                                      ACL 2999 - Basic ACL, вида permit any. т.е. направление - только исходящее.

                                      Protocol : ICMP(1)
                                      SrcAddr Vpn : 192.168.22.100
                                      DestAddr Vpn : 10.9.20.220
                                      Type Code IcmpId : 8 0 44004
                                      NAT-Info

                                      1 Reply Last reply Reply Quote 0
                                      • R
                                        rnduser @Konstanti
                                        last edited by

                                        @konstanti или нет?
                                        ничего не понимаю уже.
                                        Вот пинг на ту сторону. вот вывод NAT

                                        [router001-k85]display nat session destination 10.9.20.220
                                        NAT Session Table Information:
                                        Protocol : ICMP(1)
                                        SrcAddr Vpn : 10.9.30.220
                                        DestAddr Vpn : 10.9.20.220
                                        Type Code IcmpId : 8 0 1
                                        NAT-Info
                                        New SrcAddr : 192.168.22.100
                                        New DestAddr : ----
                                        New IcmpId : 10425

                                        K 1 Reply Last reply Reply Quote 0
                                        • K
                                          Konstanti @rnduser
                                          last edited by

                                          @rnduser
                                          Все верно , по какой-то причине ICMP пакеты не заворачиваются в туннель и идут дальше на выход через ВАН интерфейс , где проходят через NAT и ..... теряются

                                          R 1 Reply Last reply Reply Quote 1
                                          • R
                                            rnduser @Konstanti
                                            last edited by rnduser

                                            @konstanti получается нужно поправить ACL прикрученый NATом к Gi0/0/4
                                            интересно, так прокатит?

                                            [router001-k85]display acl 3001
                                            Advanced ACL 3001, 2 rules
                                            Nat outbound
                                            Acl's step is 5
                                            rule 10 deny ip source 10.9.30.0 0.0.0.255 destination 10.9.20.0 0.0.0.255
                                            rule 20 permit ip

                                            R 1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.