IPSEC NAT/BINAT

bellera

la red local que especifica el proveedor en la phase 2 es 10.136.39.XX/48. pero mi red local es 192.168.XX.XX/24

Será 28, no 48, pienso.

andres.rodriguez

josep,

en realidad me equivoque la red es /28 la que el proveedor me pide que tenga. pero igual tu me púedes ayudar a saber que es lo que esta pasando.

bellera

@bellera:

Las máscaras de Local Network y In case you need NAT/BINAT on this network specify the address to be translated en fase 2 deben coincidir.

Es un bug, https://redmine.pfsense.org/issues/3198

andres.rodriguez

hola josep,

como te decia por correo no me muetra una traza completa, solo me muetra el primer salto que es mi firewall el pfsense.

andres.rodriguez

Buen dia josep,,

Estamos realizando las pruebas, sobre la VPN, y necesitaria como saber que ip esta nateando segun la red con mascara/28.

bellera

Diagnostics: States

Diagnostics: Command prompt

pfctl -ss | egrep '(>.*>|<.*<)'

Este comando permite ver todas las traducciones de ip/puerto en curso, https://forum.pfsense.org/index.php?topic=52687.msg282056#msg282056

andres.rodriguez

estuve revisando estos comandos, pero no me arroja informacion clara, voy a tratar de explicarte a detalle lo que necesito.

ej

como te decia mi red es

192.168.20.0/28 pero para alcanzar los servidor 10.170.39.228 del proveedor tengo que natearla por NAT/BINAT a la red 10.136.39.48/28 esto ya esta y funciona por que la IPSEC esta arriba.

entonces las pruebas son las siguientes.

estoy haciendo una traza o ping desde la ip 192.168.20.20.4 al servidor 10.170.39.228, aca lo que quiero saber es con que ip llega o que ip natea del rango 10.136.39.48/28 cuando intenta alcanzar ese servidor.

si yo le digo al proveedor que las pruebas las estoy haciendo desde la 192.168.20.4 me va a decir que esa ip no la conoce y que por eso tengo que natearla.

no se si me hago entender.

bellera

Activar debug de IPsec, System: Advanced: Miscellaneous: IPsec Debug

Ver qué pasa, Status: System logs: IPsec

Postea resultados si no comprendes bien qué dicen…

andres.rodriguez

estos son los resultados:

Jul 11 14:47:27 	racoon: DEBUG: b0968f73 ba12284f 1d4ae0c3 66cb5aab 08100501 b2a9abed 0000005c b652fb8d 460158da 94a60dd3 1a2efb84 f0dce8de a393485f 1ce55260 0c5932ac b4204104 3bd72844 47b29c7b 360ab30c 38e058e3 1270bcae 0f029f72 24abad4b
Jul 11 14:47:27 	racoon: DEBUG: sendto Information notify.
Jul 11 14:47:27 	racoon: DEBUG: IV freed
Jul 11 14:47:27 	racoon: [MetLife Colombia Colombia]: [200.32.82.AAA] DEBUG: DPD R-U-There sent (0)
Jul 11 14:47:27 	racoon: [MetLife Colombia Colombia]: [200.32.82.AAA] DEBUG: rescheduling send_r_u (5).
Jul 11 14:47:27 	racoon: DEBUG: ===
Jul 11 14:47:27 	racoon: DEBUG: 84 bytes message received from 200.32.82.AAA[500] to 190.85.197.XXX[500]
Jul 11 14:47:27 	racoon: DEBUG: b0968f73 ba12284f 1d4ae0c3 66cb5aab 08100501 a3c0a686 00000054 1aa5f1da 52a6a444 fdebab95 6fbd8fc1 266b4c18 8d5b8987 d8a55da0 f6374552 e360d812 8b112220 c44ab5bd 818fc8ab c971ece9 b218cfeb
Jul 11 14:47:27 	racoon: DEBUG: receive Information.
Jul 11 14:47:27 	racoon: DEBUG: compute IV for phase2
Jul 11 14:47:27 	racoon: DEBUG: phase1 last IV:
Jul 11 14:47:27 	racoon: DEBUG: b9f7ac2d da76534c a3c0a686
Jul 11 14:47:27 	racoon: DEBUG: hash(sha1)
Jul 11 14:47:27 	racoon: DEBUG: encryption(3des)
Jul 11 14:47:27 	racoon: DEBUG: phase2 IV computed:
Jul 11 14:47:27 	racoon: DEBUG: 8fa2b9eb 391c6bec
Jul 11 14:47:27 	racoon: DEBUG: begin decryption.
Jul 11 14:47:27 	racoon: DEBUG: encryption(3des)
Jul 11 14:47:27 	racoon: DEBUG: IV was saved for next processing:
Jul 11 14:47:27 	racoon: DEBUG: c971ece9 b218cfeb
Jul 11 14:47:27 	racoon: DEBUG: encryption(3des)
Jul 11 14:47:27 	racoon: DEBUG: with key:
Jul 11 14:47:27 	racoon: DEBUG: 91abe98d 3d3cb900 7ad62da2 5c80467a d746b625 ff39e30b
Jul 11 14:47:27 	racoon: DEBUG: decrypted payload by IV:
Jul 11 14:47:27 	racoon: DEBUG: 8fa2b9eb 391c6bec
Jul 11 14:47:27 	racoon: DEBUG: decrypted payload, but not trimed.
Jul 11 14:47:27 	racoon: DEBUG: 0b000018 4ddd4dbe 707b34df c9c829b8 5e0a9b97 3df6ca70 00000020 00000001 01108d29 b0968f73 ba12284f 1d4ae0c3 66cb5aab 000001b2
Jul 11 14:47:27 	racoon: DEBUG: padding len=179
Jul 11 14:47:27 	racoon: DEBUG: skip to trim padding.
Jul 11 14:47:27 	racoon: DEBUG: decrypted.
Jul 11 14:47:27 	racoon: DEBUG: b0968f73 ba12284f 1d4ae0c3 66cb5aab 08100501 a3c0a686 00000054 0b000018 4ddd4dbe 707b34df c9c829b8 5e0a9b97 3df6ca70 00000020 00000001 01108d29 b0968f73 ba12284f 1d4ae0c3 66cb5aab 000001b2
Jul 11 14:47:27 	racoon: DEBUG: IV freed
Jul 11 14:47:27 	racoon: DEBUG: HASH with:
Jul 11 14:47:27 	racoon: DEBUG: a3c0a686 00000020 00000001 01108d29 b0968f73 ba12284f 1d4ae0c3 66cb5aab 000001b2
Jul 11 14:47:27 	racoon: DEBUG: hmac(hmac_sha1)
Jul 11 14:47:27 	racoon: DEBUG: HASH computed:
Jul 11 14:47:27 	racoon: DEBUG: 4ddd4dbe 707b34df c9c829b8 5e0a9b97 3df6ca70
Jul 11 14:47:27 	racoon: DEBUG: hash validated.
Jul 11 14:47:27 	racoon: DEBUG: begin.
Jul 11 14:47:27 	racoon: DEBUG: seen nptype=8(hash)
Jul 11 14:47:27 	racoon: DEBUG: seen nptype=11(notify)
Jul 11 14:47:27 	racoon: DEBUG: succeed.
Jul 11 14:47:27 	racoon: [MetLife Colombia Colombia]: [200.32.82.AAA] DEBUG: DPD R-U-There-Ack received
Jul 11 14:47:27 	racoon: [MetLife Colombia Colombia]: [200.32.82.AAA] DEBUG: received an R-U-THERE-ACK

bellera

Desgraciadamente eso sólo parece informar del establecimiento del túnel. ¿Probaste a pinguear a ver si el debug de racoon dice algo más?

Si hay dudas sobre si el NAT/BINAT funciona adecuadamente te propongo hagas un montaje provisional con una LAN que tenga el rango de máscara 28 que te solicita el proveedor y pruebes.

Sería la forma de comprobar que IPsec te funciona en condiciones "normales", sin NAT/BINAT.

andres.rodriguez

el debug que te envie, se genero en el momento que tenia un ping sostenido a la ip de destino, pero no se logra ver nada, entonces realizare la emulacion de una red con la que me solicita el proveedor y te comento.