Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Replies 1 reply
  • Subscribers 0 subscribers
  • Views 565 views
  • Users 0 members are here
Options
Suggested

[7.260] IPsec PSK XAUTH Problem [CONFIRMED]

Schoerch
hello,

v7.260:
I can not create second IPsec remote access rule with PSK and XAUTH. The PSK will not acceppt.

I need over 200 IPsec remote access rules with diffrend PSK. All other settings are the same. (XAUTH - eDir Group membership).

Update to v7.270:
I can not add "ipsec-edir-users" group by XAUTH allowed users. (This is a group with Novell eDir 8.8.2 user-group membership) Only local user groups can be added. The PSK Problem is also existing.
Parents
  • 0

    v7.260:
    I can not create second IPsec remote access rule with PSK and XAUTH. The PSK will not acceppt.


    PSK authentication for peers with unknown IP addresses does not work because of a chicken-egg problem in IKE Main Mode. Thus we block creation of connections with a differing PSKs. This constraint is enforced in IPsec remote access, L2TP over IPsec and Site to site IPsec connections in respond only mode. Having said that there is a theoretical possibility that the chicken-egg problem can be worked around. Maybe you'll see that workaround in a future version of ASG. We need to do more testing before it will be ready.


    Update to v7.270:
    I can not add "ipsec-edir-users" group by XAUTH allowed users. (This is a group with Novell eDir 8.8.2 user-group membership) Only local user groups can be added. The PSK Problem is also existing.


    This is fixed in the upcoming 7.300 release candidate. For IPsec remote access with authentication type x509 backend groups can not work and are still blocked.
Reply
  • 0

    v7.260:
    I can not create second IPsec remote access rule with PSK and XAUTH. The PSK will not acceppt.


    PSK authentication for peers with unknown IP addresses does not work because of a chicken-egg problem in IKE Main Mode. Thus we block creation of connections with a differing PSKs. This constraint is enforced in IPsec remote access, L2TP over IPsec and Site to site IPsec connections in respond only mode. Having said that there is a theoretical possibility that the chicken-egg problem can be worked around. Maybe you'll see that workaround in a future version of ASG. We need to do more testing before it will be ready.


    Update to v7.270:
    I can not add "ipsec-edir-users" group by XAUTH allowed users. (This is a group with Novell eDir 8.8.2 user-group membership) Only local user groups can be added. The PSK Problem is also existing.


    This is fixed in the upcoming 7.300 release candidate. For IPsec remote access with authentication type x509 backend groups can not work and are still blocked.
Children
No Data