nach Update IPsec Probelme - Verbindung zu einer Fritzbox

Rico

https://redmine.pfsense.org/issues/10632
Wieso setzt du eine DEV version ein und nicht STABLE?

-Rico

cybero2912

Hallo,
ich hatte bis jetzt keine Probleme mit der 2.5

der Link von dir ist 3 Monate alt und zwischen meinen Updates lagen nur 10 Tage, die Version mit der es funktioniert hat war somit erst 10 Tage alt
Gruß Robert

JeGr

schau dir mal mein Thema an im allgemeinen Unterforum wie die Einstellungen zur FB sein können und wie du der FB bspw Main Mode beibringst. Ich sehe da aggressive mode was schon länger immer wieder Probleme machen kann und nicht mehr unterstützt werden sollte. Mit ein wenig Skript Magie kann die FB auch AES mit Main Mode. Warum das so bescheuert sein muss - keine Ahnung.

No Proposal Chosen sieht daher stark nach P1 oder P2 mismatch aus

cybero2912

Hallo,
die Konfiguration lief bis vor wenigen Tagen ohne Probleme und das seit ca. einem Jahr. Ich vermute daher eher einen Fehler im aktuellen Update für die 2.5

Gruß Robert

NOCling

Da du das VPN mit der Fritz ja eingerichtet hast, solltest du doch wissen was die kann und was nicht.
Hast du deine P1 und P2 Settings schon geprüft?

Im log sollte doch alles stehen um raus zu finden, was bei Aufbau zur AVM Kiste falsch läuft.

Sicher das nur du ein Update auf der Sense gemacht hast, die AVM Teile rollen ja gerade mit 7.2x durch die Landschaft und da wird ja gerade der VPN Teil explizit angepackt. Hier soll ein wenig mehr Power raus geholt werden., wohu die haben Hardware AES entdeckt, irre 2020 bereits, jedenfalls für die neueren Kisten die das wohl können. Sprich 65/75er Reihe.

Ggf. hast du ja so eine Gegenstelle und omg, die kann auf einmal sogar was im VPN.

Der Einwand von JeGr ist berechtigt, Main ist das was man verwenden wollte, Aggressiv Mode ist der ich scheiße auf Security Mode und leider bei AVM wohl immer noch Stand der Technik, oder dankt dem Update halt nicht mehr.
Mir war es leider auch nur möglich, mit der Agro Einstellung den Tunnel dauerhaft stabil hin zu bekommen zu einer 64/74er Reihe.

cybero2912

Hallo,
es hat sich an den Fritzboxen nichts geändert!
Die eine läuft auf 7.12 und die andere auf 7.21 was aber auch vor dem Update funktioniert hat. Das Problem wurde definitiv durch das Update verursacht, da es keine Änderung gab.
Gruß Robert

NOCling

Aber die P1 und P2 in der sense hast dir noch nicht angeschaut oder?
Nicht das hier der Aggro Mode raus geflogen ist, das würde dann sehr schnell erklären warum das gleich bei P1 auf die fresse fliegt.

cybero2912

Hallo,
da ist alles wie vorher und auch der "Aggressiv Mode" ist noch da und aktiviert.

Mich wundert aber die Log Zeile:

charon	1235	07[IKE] <2044> no IKE config found for 91.64.***.***...91.66.**.**, sending NO_PROPOSAL_CHOSEN

was soll das. heißen "no IKE config found" ? warum findet er die Konfig nicht ?

Gruß Robert

JeGr

Er findet nicht "die konfig nicht", sondern NO PROPOSAL CHOSEN heißt, dass er sich mit der Gegenstelle auf KEINE gültige ausgewählte Einstellung der Phase einigen kann. Also das Cipherset in P1 oder das Enc-Set in P2. Wenn nichts da ist was er matchen kann - dann kommt NO PROPOSAL CHOSEN.

Am Einfachsten ist es da die pfSense auf "receiver only" zu schalten, IPSEC durchstarten und dann die Fritze dazu zu bringen, dass SIE die Verbindung versucht aufzubauen.

Dann solltest du im LOG sehen, was die Fritz anbietet, was die pfSense antwortet und ob da eine Übereinstimmung erzielt werden kann. Als Receiver erhält Strongswan/IPSEC auf der pfSense mehr Logs, daher sinnvoller.

cybero2912

Hallo,
nach weiteren Updates in den letzen Tagen wird die Verbindung seit gestern wieder hergestellt und das ohne die kleinste Änderung an der Konfiguration. Der einzige kleine Schönheitsfehler der noch geblieben ist, ist das die beiden Tunnel im Status noch als nicht verbunden angezeigt werden. Vermutlich verschwindet dieser Anzeigefehler dann noch mit einem der nächsten Updates.
Gruß Robert