Solved: IPSec Tunnel Problem
-
das ist bei Dir home und Office beides Pfsense, home dynamic mit ip für 24 stunden, seis drum, das geht zwischen 2 pfsensen auf jeden fall, ich habe reichlich davon laufen, du hast die 1.2 im Einsatz nicht 1.21 Alpha testing, denke ich, nimm den Haken bei ipsec raus, apply und setze in neu, so das racoon neu lädt…in 1.2 ist da ein bug
-
Wenn ich das nicht schon ein paar Mal gemacht hätte - inklusive kompletter Tunnel löschen und neu eintippern - würde ich freudig einem laufenden Racoon entgegensehen. Habe ich aber leider schon.
Wie gesagt: Settings sind wie beschrieben, Main Mode, My IP Adress als Identifier. Speichern, Haken rein bei IPSec -> SPD wird angelegt, Logs wie ganz am Anfang beschrieben. Kein Muks von Racoon dass er loslegt. Nur IP/Port Bindings und der PF_KEY Fehler.
Und du liegst richtig, beide laufen 1.2rel, kein Alpha oder Snapshot. Auch mit dem Cisco als Gegenstelle (also der eigentliche Job) tut sich nix.
-
Das ist eigenartig, sogar sehr, wie lange hast Du gewartet, nachdem Du den Haken fuer IPSEC enabled gesetzt hast?
-
Jun 10 09:38:07 racoon: [Self]: INFO: 172.16.61.1[500] used as isakmp port (fd=20)
Jun 10 09:38:07 racoon: INFO: fe80::20d:b9ff:fe04:ab90%sis0[500] used as isakmp port (fd=19)
Jun 10 09:38:07 racoon: INFO: fe80::20d:b9ff:fe04:ab92%sis2[500] used as isakmp port (fd=18)
Jun 10 09:38:07 racoon: [Self]: INFO: 127.0.0.1[500] used as isakmp port (fd=17)
Jun 10 09:38:07 racoon: INFO: ::1[500] used as isakmp port (fd=16)
Jun 10 09:38:07 racoon: INFO: fe80::1%lo0[500] used as isakmp port (fd=15)
Jun 10 09:38:07 racoon: INFO: fe80::20d:b9ff:fe04:ab90%ng0[500] used as isakmp port (fd=14)
Jun 10 09:38:07 racoon: [Self]: INFO: 217.233.142.213[500] used as isakmp port (fd=13)
Jun 10 09:38:06 racoon: INFO: unsupported PF_KEY message REGISTER
Jun 10 09:38:06 racoon: [Self]: INFO: 172.16.61.1[500] used as isakmp port (fd=20)
Jun 10 09:38:06 racoon: INFO: fe80::20d:b9ff:fe04:ab90%sis0[500] used as isakmp port (fd=19)
Jun 10 09:38:06 racoon: INFO: fe80::20d:b9ff:fe04:ab92%sis2[500] used as isakmp port (fd=18)
Jun 10 09:38:06 racoon: [Self]: INFO: 127.0.0.1[500] used as isakmp port (fd=17)
Jun 10 09:38:06 racoon: INFO: ::1[500] used as isakmp port (fd=16)
Jun 10 09:38:06 racoon: INFO: fe80::1%lo0[500] used as isakmp port (fd=15)
Jun 10 09:38:06 racoon: INFO: fe80::20d:b9ff:fe04:ab90%ng0[500] used as isakmp port (fd=14)
Jun 10 09:38:06 racoon: [Self]: INFO: 217.233.142.213[500] used as isakmp port (fd=13)
Jun 10 09:38:06 racoon: INFO: Resize address pool from 0 to 255
Jun 10 09:38:06 racoon: INFO: Reading configuration from "/var/etc/racoon.conf"
Jun 10 09:38:06 racoon: INFO: @(#)This product linked OpenSSL 0.9.7e-p1 25 Oct 2004 (http://www.openssl.org/)
Jun 10 09:38:06 racoon: INFO: @(#)ipsec-tools 0.7 (http://ipsec-tools.sourceforge.net)Siehe Forenposting. Fast ne halbe Stunde jetzt und immer noch nix. Das ist der Output meiner Home-pfSense. Die in der Firma, an der ich grad sitze zeigt dasselbe nur mit ihren eigenen IF-IPs.
Ich weiß wirklich nicht, warum der nicht loslaufen will. Die pf zuhause ist ein stinknormales DSL Setup mit nem Modem vorndran (Zwangstrennung ist erst wieder um 6h, für den Test müsste es als "statische IP" durchgehen). Die in der Firma ist etwas komplexer und hat 2 WANs, wobei aber beide statisch sind und hat 3 LANs (Firma, DMZ und TestLAN). Könnte da das Problem sein? Nur warum läuft dann Racoon auf keiner der beiden los? (Mal davon abgesehen dass ich den Tunnel zum Zielfirmencisco gestern den ganzen Tag lang aktiv hatte und sich in den Logs überhaupt nichts getan hat..)
Generell: Hast du oder sonst jemand überhaupt schon IPSec mit einem Cisco Endpunkt erfolgreich in Betrieb? Dass pf->pf geht denk ich schon, auch wenns hier grade nicht geht.
??? ??? ???
-
Das ist die Home-PF. Die andere ist natürlich vice-versa konfiguriert. Gleiche Einstellungen, nur beim Identifier die 213er IP, Remote Network 172.16.61.0/24, Remote Gateway die 217er IP, etc.
Vielleicht hilft das weiter.
-
Hallo,
bei my identifier = ip adress bleibt das Feld leer, nix eintragen, noch einmal probieren. Ich habe keine Cisco als Endpoint laufen, im Forum gabs aber Threads zu Lauffähigkeit mit Cisco Pixen.
Auf jeden Fall geht pfs zu pfs….Gruß
Heiko -
Habe auch das Feld schon leer gelassen - gleiches Phänomen. Allerdings hatte ich ja oben sicherheitshalber nicht MY IP Adress sondern nur "IP Adress" ausgewählt um genau was reinschreiben zu können (und um auszuschließen, dass bei My IP Adress was falsches übergeben wird).
-
sehr eigenartig, Automatically ping host muss im übrigen eine lokale Adresse des anderen Endpoints sein, sinnvollerweise die LAN Adresse der Firewall.
-
Aaaaha, das ist schonmal was, was nicht stimmte. Aber ich bin da echt am Verzweifeln langsam, zumal mir auch der ISP vom Kunden im Genick sitzt und fragt was da nicht läuft/so lange dauert.. Sonst vielleicht noch Ideen? Evtl. statt als Tunnel als Mobiler Client definieren? Wobei ich ja dann keine Möglichkeit habe das Fremd- bzw. eigene Netz anzugeben.. verflixt..
-
also das kann nur ein Konfigurationsfehler sein, wenn Du nicht mal pf zu pf ans Rennen bekommst.
Anbei einmal ein funktionierendes Setup…, willst Du den Tunnel vom Opt aufbauen?, versuch mal vom LAN Net, wenn dem so ist.
-
Ich habe mal versucht deine Konfiguration nachzuahmen, kein Erfolg. Beide pfSense stehen da und tun nix.. Ich weiß wirklich nicht weiter. Was kann das für eine Ursache haben? Brauchen sie nach dem neu Einrichten einen Neustart oder derlei?
-
:o :o :o
Heute morgen wegen eines Versuchs (Interface Alias per .sh Skript beim Booten einbinden) die Firewall hier in der Firma neugestartet und - es geht! Tunnel ein/aus, IPsec ein/aus, jetzt tut sich auf einmal was. Verbindung zur pf zu Hause im Labor problemlos, dann Tunnel abgeschaltet und zum Kundencisco verbunden -> läuft! Fabulös ;DSollte also jemand ein ähnliches Problem haben: Öfter mal neu starten nach dem einschalten/konfigurieren von IPsec, Racoon scheint zickig zu sein ;)
Nochmals danke für die Mühe, Heiko.
Gruß Jens
-
Erstmal schön zu hören, das sighup für racoon sollte in der 1.21 erledigt sein. Wunder dauern halt etwas länger…aber schön das es jetzt geht :D
-
Da sagst du was ;) Kommt man sich mitunter doof vor nach so vielen Jahren immer noch die einfachste Lösung.. allerdings kann ich zu meiner Entschuldigung sagen, dass ich unsere 5NIC Kiste in der Firma auch nicht einfach zur PrimeTime neu booten kann ;) auch wenn sie fix wieder da ist. Aber der Tunnel zum RZ ist vital und da beißen sie mir den Kopf ab wenn ich den einfach übern Tag absäge - neues VPN hin oder her ;D
Tja so einfach kanns sein :) Allerdings glaub ich nicht an ein SIGHUP Problem, da ich den Daemon manuell gekillt und selbst mit -ddd Optionen gestartet hatte. Das muss was anderes gewesen sein, was sich auf den Start ausgewirkt hat. Vielleicht eine Interfacekonfiguration oder was dergleichen.
-
wart auf die 1.21, da sind einige bugs, auch und gerade im ipsec behoben, dann schauen wir weiter….
-
Och ich test das gerne nochmal - jetzt wo ich weiß, dass es sauber läuft wenn man dem störrischen Esel mal Beine macht ;)
