PROBLEMAS CON IPSEC-OPT1 EN 1.2BETA - ERROR: failed to pre-process packet.

juan · May 17, 2007, 9:54 PM

En una configuracion de varios tuneles IPSEC funcionando correctamente, si cambio la puerta de enlace de uno de los tuneles a opt1/wan2, todos los tuneles siguientes de la configuracion dejan de funcionar.

Configuracion antes del cambio WAN2/OPT1 en el SITE13

Status Local net Remote net Interface Remote gw P1 mode P1 Enc. Algo P1 Hash Algo Description
ok LAN 192.168.8.0/24 WAN x.x.x.x aggressive 3DES MD5 SITE8
ok LAN 192.168.6.0/24 WAN x.x.x.x aggressive 3DES MD5 SITE6
ok LAN 192.168.13.0/24 WAN x.x.x.x aggressive 3DES MD5 SITE13
ok LAN 192.168.62.0/24 WAN x.x.x.x aggressive 3DES MD5 SITE62
ok LAN 192.168.53.0/24 WAN x.x.x.x aggressive 3DES MD5 SITE53
ok LAN 192.168.68.0/24 WAN x.x.x.x aggressive 3DES MD5 SITE68

Configuracion depues del cambio WAN2/OPT1 en el SITE13

Status Local net Remote net Interface Remote gw P1 mode P1 Enc. Algo P1 Hash Algo Description
ok LAN 192.168.8.0/24 WAN x.x.x.x aggressive 3DES MD5 SITE8
ok LAN 192.168.6.0/24 WAN x.x.x.x aggressive 3DES MD5 SITE6
err LAN 192.168.13.0/24 WAN2 x.x.x.x aggressive 3DES MD5 SITE13
err LAN 192.168.62.0/24 WAN x.x.x.x aggressive 3DES MD5 SITE62
err LAN 192.168.53.0/24 WAN x.x.x.x aggressive 3DES MD5 SITE53
err LAN 192.168.68.0/24 WAN x.x.x.x aggressive 3DES MD5 SITE68

IPSEC LOG ERROR:

May 17 17:18:23 racoon: ERROR: failed to pre-process packet.
May 17 17:18:23 racoon: ERROR: failed to get proposal for responder.
May 17 17:18:23 racoon: ERROR: no policy found: 192.168.68.0/24[0] 172.26.0.0/24[0] proto=any dir=in
May 17 17:18:23 racoon: INFO: respond new phase 2 negotiation: wan.wan.wan.wan[500]<=>SITE68[500]
May 17 17:18:21 racoon: ERROR: failed to pre-process packet.
May 17 17:18:21 racoon: ERROR: failed to get proposal for responder.
May 17 17:18:21 racoon: ERROR: no policy found: 192.168.53.0/24[0] 172.26.0.0/24[0] proto=any dir=in
May 17 17:18:21 racoon: INFO: respond new phase 2 negotiation: wan.wan.wan.wan[500]<=>SITE53[500]
May 17 17:18:20 racoon: ERROR: failed to pre-process packet.
May 17 17:18:20 racoon: ERROR: failed to get proposal for responder.
May 17 17:18:20 racoon: ERROR: no policy found: 192.168.62.0/24[0] 172.26.0.0/24[0] proto=any dir=in
May 17 17:18:20 racoon: INFO: respond new phase 2 negotiation: wan.wan.wan.wan[500]<=>SITE62[500]
May 17 17:18:18 racoon: ERROR: failed to pre-process packet.
May 17 17:18:18 racoon: ERROR: failed to get proposal for responder.
May 17 17:18:18 racoon: ERROR: no policy found: 192.168.13.0/24[0] 172.26.0.0/24[0] proto=any dir=in
May 17 17:18:18 racoon: INFO: respond new phase 2 negotiation: wan.wan.wan.wan[500]<=>SITE13[500]

¿Sabeis que puede estar pasando?

ccampodonico · May 18, 2007, 5:08 PM

Hola,
según esto:
failed to get proposal for responder.
May 17 17:18:18 racoon: ERROR: no policy found: 192.168.13.0/24[0] 172.26.0.0/24[0] proto=any dir
no hace match la policy en ambos peers…
¿cuando cambias la wan a wan2 , cambias tambien la ip en la cofiguración del otro equipo hacia wan2?

juan · May 18, 2007, 8:40 PM

Si, efectivamente tambien la cambie.

El caso es que he conseguido evitar este mensaje de error modificando a IPs fijas las configuracion del WAN y WAN2 (anteriormente en IP fija entregada por DHCP), sin embargo tampoco consigo que se establezca la conexion, ahora las rules se crean correctamente, pero no los tuneles, se muestran los mensajes de error tipicos que se suelen postear en los foros cuando se emplean túneles IPSECs en OPT1, este problema en teoria estaba resuelto en los ultimos SNAPSHOTs 1.1 y en la beta 1.2.

16:51:08 racoon: ERROR: phase1 negotiation failed due to time up. xxxxxxxxxxxxxxxxxxxxx
16:50:57 last message repeated 4 times
16:50:18 racoon: NOTIFY: the packet is retransmitted by yyyyyyyyyyyyyyyy[500].
16:50:07 racoon: INFO: received Vendor ID: ??????
16:50:07 racoon: INFO: begin Aggressive mode.
16:50:07 racoon: INFO: respond new phase 1 negotiation: zzzzzzzzzzzz[500]<=>yyyyyyyyyyy[500]

¿Alguien ha conseguido crear tuneles IPSEC en WAN y OPT1 simultaneamente para una misma subred local?