Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Client IPSec EAP VPN does not work after upgrade to 2.5release

    Scheduled Pinned Locked Moved IPsec
    48 Posts 10 Posters 11.2k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • 4
      4920441 0
      last edited by

      Hi,

      after reckoning that pfsense 2.5 mangles the PSK's somewhat funny and re-set up my most important ipsec tunnels again as in that post mentioned...

      https://forum.netgate.com/topic/161096/2-5-upgrade-broke-some-not-all-ipsec/17?_=1613852046769

      ...I tried to revive my client EAP based ipsec server as well...

      but here simply useing the PSK which is mentioned in the secrects section does not work so far - besides it is also differend than the PSK you see in the webinterface....

      Feb 20 21:11:30 rotorouter charon[52332]: 16[CFG] <81> looking for peer configs matching 79.xxx.xx.xx[xx.xxx.xx]...80.xx.xx.xx[oneplus@whatever.org]
      Feb 20 21:11:30 rotorouter charon[52332]: 16[CFG] <81> no matching peer config found
      

      This - as any other ipsec connection - was working perfectly in the last 2.4.5 pfsense release...

      I don't know why pfsense cannot find a config for that EAP User which is configured correctly and worked until the update, everything is in the right place, despite (again) the fact that the PSK in /var/etc/ipsec/swanctl.conf does also NOT match the PSK VPN/IPsec/Pre-Shared Keys EAP entry for that same user....

      Any advice?

      Cheers

      4920441

      4 1 Reply Last reply Reply Quote 0
      • 4
        4920441 0 @4920441 0
        last edited by

        @4920441-0

        sorry for replying myself.... but

        simply deleting the EAP entry in the webinterface (VPN / IPSec / Pre-Shared Keys)
        and add a new one with EXACTLY the same data works....

        The really funny thing is the /var/etc/ipsec/swanctl.conf is exactly the same as before removal! How can this happen?

        When the EAP User was removed the appropriat secret entry was gone, though....

        Mystique.....

        1 Reply Last reply Reply Quote 1
        • jimpJ
          jimp Rebel Alliance Developer Netgate
          last edited by

          If it is 100% identical there should not have been a difference in behavior.

          Use the config history function under Diagnostics > Backup/Restore and compare the configurations before and after making the change.

          Remember: Upvote with the 👍 button for any user/post you find to be helpful, informative, or deserving of recognition!

          Need help fast? Netgate Global Support!

          Do not Chat/PM for help!

          1 Reply Last reply Reply Quote 0
          • matyi.szabolcsM
            matyi.szabolcs
            last edited by matyi.szabolcs

            The problem also occurred with us.

            After the upgrade, the IPsec tunnels could not connect.

            As a solution, we re-entered the Pre Shared Key from the config.xml Backup file and save.

            Alternatively, the entire backup file can be re-entered, but it involves a reboot.

            Another problem is that the IPsec Widget still does not display active connections. Not on the status side either.

            Tthe connection is active:
            OK - IPSEC VPN tunnel to xxx.xxx.xxx.xxx - ESTABLISHED 6 minutes ago
            OK - IPSEC VPN tunnel to xxx.xxx.xxx.xxx - ESTABLISHED 7 minutes ago
            OK - IPSEC VPN tunnel to xxx.xxx.xxx.xxx - ESTABLISHED 9 minutes ago

            Screenshot from 2021-02-23 13-52-36.png

            Screenshot from 2021-02-23 13-52-51.png

            Will there be an update to fix the problem?

            Thanks!

            1 Reply Last reply Reply Quote 0
            • matyi.szabolcsM
              matyi.szabolcs
              last edited by

              This post is deleted!
              1 Reply Last reply Reply Quote 0
              • jimpJ
                jimp Rebel Alliance Developer Netgate
                last edited by

                @matyi-szabolcs said in Client IPSec EAP VPN does not work after upgrade to 2.5release:

                As a solution, we re-entered the Pre Shared Key from the config.xml Backup file and save.

                If you look at the contents of config.xml before and after re-entering the key, are there any differences? Are there any differences in /var/etc/ipsec/swanctl.conf for keys before and after changing config.xml? There should not be, but if there are, I need to know what they are.

                The status problem is already known and fixed. To ensure you have all of the current known and fixed IPsec issues corrected, You can install the System Patches package and then create entries for the following commit IDs to apply the fixes:

                • ead6515637a34ce6e170e2d2b0802e4fa1e63a00 #11435
                • 57beb9ad8ca11703778fc483c7cba0f6770657ac #11435
                • 10eb04259fd139c62e08df8de877b71fdd0eedc8 #11442
                • ded7970ba57a99767e08243103e55d8a58edfc35 #11486
                • afffe759c4fd19fe6b8311196f4b6d5e288ea4fb #11487
                • 2fe5cc52bd881ed26723a81e0eed848fd505fba6 #11488

                Remember: Upvote with the 👍 button for any user/post you find to be helpful, informative, or deserving of recognition!

                Need help fast? Netgate Global Support!

                Do not Chat/PM for help!

                matyi.szabolcsM M 2 Replies Last reply Reply Quote 1
                • matyi.szabolcsM
                  matyi.szabolcs @jimp
                  last edited by matyi.szabolcs

                  Hi Support!

                  The following 2 paths have solved the widget and status page issue:

                  https://github.com/pfsense/pfsense/commit/95a4e1a0e42392fe4523bf769589f74864446f8c.patch
                  https://github.com/pfsense/pfsense/commit/4e5857b656c7bfd59efadbb9a124876a5516c7df.patch


                  i looked at the difference (config.xml) before and after the update.
                  Data differ in 32 places and are missing.

                  Unfortunately, I haven't seen the "swanctl.conf" file before. I will apply as soon as I know more!

                  Thanks!

                  matyi.szabolcsM A 2 Replies Last reply Reply Quote 1
                  • matyi.szabolcsM
                    matyi.szabolcs @matyi.szabolcs
                    last edited by matyi.szabolcs

                    @matyi-szabolcs

                    Unfortunately, there were problems with the ipsec connection again this morning. We've added additional patches and it now works.
                    However, the Ipsec Widget does not show an active link again.

                    activated patches:

                    • ead6515637a34ce6e170e2d2b0802e4fa1e63a00
                    • 57beb9ad8ca11703778fc483c7cba0f6770657ac
                    • 10eb04259fd139c62e08df8de877b71fdd0eedc8
                    • ded7970ba57a99767e08243103e55d8a58edfc35
                    • afffe759c4fd19fe6b8311196f4b6d5e288ea4fb
                    • 2fe5cc52bd881ed26723a81e0eed848fd505fba6
                    • 95a4e1a0e42392fe4523bf769589f74864446f8c
                    • 4e5857b656c7bfd59efadbb9a124876a5516c7df
                    DaddyGoD 1 Reply Last reply Reply Quote 0
                    • DaddyGoD
                      DaddyGo @matyi.szabolcs
                      last edited by DaddyGo

                      @matyi-szabolcs said in Client IPSec EAP VPN does not work after upgrade to 2.5release:

                      Unfortunately, there were problems with the ipsec connection again this morning.

                      Hi,

                      Termelési környezetben használjátok a 2.5.0 -át?
                      Vagy ez egy teszt VM?

                      Jimp tud segíteni ebben Ő a műszaki vezetője a Netgate -nek, érdemes figyelni a tanácsaira.
                      Ráadásul IPSec és egyéb VPN szakértő és általában minden... 😉
                      Mi semmiképpen sem használjuk még a 2.5.0 termelési környezetben, ez hosszú évek tapasztalata, egy kicsit várni kell.

                      Üdv...

                      +++edit:

                      @matyi-szabolcs "Hi Support!"
                      Jah és itt nincs support ez egy CE közösség, így mindenki segít... 😉

                      a support itt van : https://go.netgate.com/support/login
                      de ez nem CE -re vonatkozik, hanem Netgate HW -kra (SG-.......)

                      Cats bury it so they can't see it!
                      (You know what I mean if you have a cat)

                      matyi.szabolcsM 1 Reply Last reply Reply Quote 0
                      • matyi.szabolcsM
                        matyi.szabolcs @DaddyGo
                        last edited by

                        Hi @daddygo !

                        Azt hittem káprázik a szemem, hogy magyarul olvaslak, vagy a google translate maradt bekapcsolva, de nem. ☺

                        Igen ez az eset a termelésben történt. Előzőleg itthoni környezetben már 2 pfsense-t sikeresen lefrissítettem hiba nélkül, igaz itt ipsec nem volt csak openvpn. Már szinte biztos voltam benne, hogy nem lehet probléma. Jelenleg stabilnak látszik több további patch beadása után, de még szükség van időre a teszteléshez. A widget meg egyelőre így marad, van helyette nagios check.

                        Örültem a találkozásnak,
                        Üdv.

                        DaddyGoD 1 Reply Last reply Reply Quote 0
                        • DaddyGoD
                          DaddyGo @matyi.szabolcs
                          last edited by DaddyGo

                          @matyi-szabolcs said in Client IPSec EAP VPN does not work after upgrade to 2.5release:

                          Azt hittem káprázik a szemem,

                          😉

                          Az elmúlt években tapasztalatom szerint csak én vagyok itt magyar, vagyis Én sem az országban élek.
                          Maradj a 2.4.5 -p1 -en egy darabig nálunk több mint 200 pfSense telepítés fut kisseb nagyobb rendszereken, harmadik fél HW -in és original Netgate cuccokon is. Korai a 2.5, nálam egy Cisco UCS-C240M5 fut tesztként, de nem jó még.
                          Valahol majd 2.5.3-4 körül lehet váltani, de ígéretek szerint nyáron kijön a 2.6, ergo a Netgate kisérletezik velünk, hihihihi.
                          A fórum jó petricsésze nekik rengeteg "bug" jön elő.
                          Abban az esetben, ha segítség kell általában itt vagyok, sok ismerősöm van itt sok szakterületről, tudunk segíteni sok mindenben.
                          Örültem Én is!

                          +++edit:
                          jah a "patch" -kel az a gond, ha firssül az FW a pkg - manager felülír mindent, nem sok marad megbelőlük, tehát mindent kezdhetsz újra, inkább jelentsd a dologokat "redmine" -on:
                          https://redmine.pfsense.org/

                          Cats bury it so they can't see it!
                          (You know what I mean if you have a cat)

                          matyi.szabolcsM 1 Reply Last reply Reply Quote 0
                          • matyi.szabolcsM
                            matyi.szabolcs @DaddyGo
                            last edited by matyi.szabolcs

                            Hi @daddygo

                            Köszönöm az információt!
                            Most vettem észre, hogy a patch nem aktiválódik.
                            Most mind a 8 patch ezt írja a tesztnél:

                            Patch can NOT be applied cleanly (detail)
                            Patch can be reverted cleanly (detail)
                            

                            Screenshot from 2021-02-24 11-44-07.png
                            Screenshot from 2021-02-24 11-43-41.png
                            Screenshot from 2021-02-24 11-43-23.png

                            Mindegyik patch tesztelésnél hasonló hibák.

                            A VPN kapcsolat rendben, status oldal is mutatja az aktív kapcsolatokat. Egyedül a widget nem. Van esetleg információd melyik patch amire tényleg szükség van és melyek a nem fontosak? Tegnap amikor csak 2 patch volt hozzá adva, akkor minden rendben volt, a widget is. Ma reggelre szakadt meg a kapsolat és hozzá adtuk a további patcheket és most ez a probléma.

                            Üdv!

                            DaddyGoD 2 Replies Last reply Reply Quote 0
                            • DaddyGoD
                              DaddyGo @matyi.szabolcs
                              last edited by DaddyGo

                              @matyi-szabolcs said in Client IPSec EAP VPN does not work after upgrade to 2.5release:

                              Van esetleg információd melyik patch amire tényleg szükség van és melyek a nem fontosak?

                              Átnéztem és nekem úgy tűnik, hogy nagyobb a probléma mint elsőre Jimp gondolta 17 perc elteltével adta ki a két patch -et és mindegyik PHP related....

                              https://redmine.pfsense.org/issues/11435

                              figyeld csak "redmine" Renato már át is tette 2.5.0-p1 -be, ami nekem erőssen azt sugalja, hogy a sok hiba miatt nem sokára kiadják a -p1 -et.

                              A második patch az aktuálisabb, de az sem jó 😉

                              +++edit:

                              0a9a10f2-c68b-410e-a966-a7aee5108846-image.png

                              Cats bury it so they can't see it!
                              (You know what I mean if you have a cat)

                              1 Reply Last reply Reply Quote 0
                              • DaddyGoD
                                DaddyGo @matyi.szabolcs
                                last edited by

                                @matyi-szabolcs said in Client IPSec EAP VPN does not work after upgrade to 2.5release:

                                Ma reggelre szakadt meg a kapsolat és hozzá adtuk a további patcheket és most ez a probléma.

                                Egyébként hol használjátok az IPSec -et? Két - több iroda, cég, telephely között..?
                                Ideiglenesen nem megoldás az OpenVPN az most működik rendesen, vagy Wireguard, ha nagyobb sebesség szükséges..

                                WG -nek durva a teljesítménye, teszteltük és 6 napja fut két branch master router között.
                                https://www.netgate.com/blog/wireguard-in-pfsense-2-5-performance.html

                                Cats bury it so they can't see it!
                                (You know what I mean if you have a cat)

                                matyi.szabolcsM 1 Reply Last reply Reply Quote 0
                                • matyi.szabolcsM
                                  matyi.szabolcs @DaddyGo
                                  last edited by

                                  Hi @daddygo

                                  Az ügyfelünknek már megvolt az ipsec hálózata mikor hozzánk került (több nagyváros között). Szóval mindenképp csak ezt tudtuk használni a pfsense-ben a már meglévő kapcsolataihoz. Ez most különösen kritikus probléma volt mivel a telefon is ipsecen keresztül üzemel. Volt kiesés is míg megtaláltam ezt a fórumot az ideiglenes megoldással, hogy a pre-shared-key újbóli beadása segíthet. Utána vettük észre, hogy sem a státusz oldal sem a widget nem mutatja megfelelően az adatokat. Egyelőre most működik jól, a státusz oldal is rendben, egyedül a widget a probléma de ez most elhanyagolható. Így hagyjuk és figyeli a nagios check_ipsec.

                                  A WG is érdekes mindenképp, igen főleg a sebesség miatt. Ezt is majd tesztelni kell és semmiképp sem hagyjuk figyelmen kívül. Használ AES-t a hardveres titkosításhoz, vagy annélkül csinálja?

                                  Köszi az infókat!
                                  Üdv.

                                  DaddyGoD 1 Reply Last reply Reply Quote 0
                                  • DaddyGoD
                                    DaddyGo @matyi.szabolcs
                                    last edited by

                                    @matyi-szabolcs said in Client IPSec EAP VPN does not work after upgrade to 2.5release:

                                    Használ AES-t a hardveres titkosításhoz, vagy annélkül csinálja?

                                    Nem 😉
                                    a sebesség pont ezért van, mivel ezt használja
                                    ChaCha20 + Poly1305 + https://tools.ietf.org/html/rfc7539

                                    c0c9e9dc-e2d6-42d5-bb32-92112c0c6323-image.png

                                    Cats bury it so they can't see it!
                                    (You know what I mean if you have a cat)

                                    matyi.szabolcsM 1 Reply Last reply Reply Quote 1
                                    • matyi.szabolcsM
                                      matyi.szabolcs @DaddyGo
                                      last edited by matyi.szabolcs

                                      This post is deleted!
                                      1 Reply Last reply Reply Quote 0
                                      • A
                                        AceStrider1 @matyi.szabolcs
                                        last edited by

                                        @matyi-szabolcs
                                        Yes, I have the problem with the widgets and status page also. Not sure about applying the patches. Did they work? I could not understand the rest of the thread.

                                        jahonixJ 1 Reply Last reply Reply Quote 0
                                        • jahonixJ
                                          jahonix @AceStrider1
                                          last edited by

                                          @acestrider1
                                          Answer from just another user with IPsec problems: forget about 2.5.0 in its current state and the patches mentioned.

                                          We had a perfectly working tunnel between our remote office and our HQ until I decided to upgrade our office site. Even with IPsec working in the evening when I leave the tunnel is down the next morning. Logs don't help, there are 500+ entries within 45min alone with some logged rubbish but without a clue to the problem.

                                          Applying those patches didn't make any difference. Tunnel down next morning. Rebooting the device and it's up for an unknown period again.
                                          Whatever the reason, this 2.5.0 is borked in its current state even with all patches applied as of 2021-02-25.
                                          Sorry, netgate team. If an update brings a working system down then it is kaputt. Face it.

                                          1 Reply Last reply Reply Quote 1
                                          • jimpJ
                                            jimp Rebel Alliance Developer Netgate
                                            last edited by

                                            @jahonix said in Client IPSec EAP VPN does not work after upgrade to 2.5release:

                                            We had a perfectly working tunnel between our remote office and our HQ until I decided to upgrade our office site. Even with IPsec working in the evening when I leave the tunnel is down the next morning. Logs don't help, there are 500+ entries within 45min alone with some logged rubbish but without a clue to the problem.

                                            That doesn't match up with the symptoms in this thread, please start your own thread and we can help you figure out what's wrong with that setup. Sounds like maybe the tunnel isn't rekeying properly or the child SA close action needs set on one side to make it reconnect (especially if it's VTI)

                                            Remember: Upvote with the 👍 button for any user/post you find to be helpful, informative, or deserving of recognition!

                                            Need help fast? Netgate Global Support!

                                            Do not Chat/PM for help!

                                            jahonixJ 1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.