Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 6 replies
  • Subscribers 1 subscriber
  • Views 9911 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IPSEC Site2Site hinter 2. Router

M.Funk
Hallo Forum,
wir haben 2 DSL Anschluesse. Einen neuen UnityMediaAnschluss mit 100MBit.
Diesen würde ich gerne als Gateway für unsere VPN IPSEC Tunnel benutzen.
UnityMedia liefert eine FritzBox mit. Zwangsweise, da diese den KoaxAnschluss hat.
Auf der Fritzbox habe ich die Funktion "Exposed Host" aktiviert. Die Box haängt bei uns am etc4. Damit sollte ja alles auf die Astaro laufen.

Stelle ich jetzt aber das IPSEC Site2Site auf diese Schnittstelle um, bekommt die gegenstelle keine Info. Als würden die Anfragen nicht in der UTM ankommen.
benötige ich da eine spezielle NAT regel?


Hier das log der Gegenstelle:




2013:01:04-12:10:34 mail pluto[5456]: packet from PublicIP:500: initial Main Mode message received on IPGegenstelle:500 but no connection has been authorized with policy=PUBKEY
2013:01:04-12:10:59 mail pluto[5456]: "NamederVerbindung" #47: max number of retransmissions (2) reached STATE_MAIN_I3. Possible authentication failure: no acceptable response to our first encrypted message
2013:01:04-12:10:59 mail pluto[5456]: "NamederVerbindung" #47: starting keying attempt 13 of an unlimited number
2013:01:04-12:10:59 mail pluto[5456]: "NamederVerbindung" #48: initiating Main Mode to replace #47
2013:01:04-12:10:59 mail pluto[5456]: "NamederVerbindung" #48: received Vendor ID payload [strongSwan]
2013:01:04-12:10:59 mail pluto[5456]: "NamederVerbindung" #48: ignoring Vendor ID payload [Cisco-Unity]
2013:01:04-12:10:59 mail pluto[5456]: "NamederVerbindung" #48: received Vendor ID payload [XAUTH]
2013:01:04-12:10:59 mail pluto[5456]: "NamederVerbindung" #48: received Vendor ID payload [Dead Peer Detection]
2013:01:04-12:10:59 mail pluto[5456]: "NamederVerbindung" #48: received Vendor ID payload [RFC 3947]
2013:01:04-12:10:59 mail pluto[5456]: "NamederVerbindung" #48: enabling possible NAT-traversal with method 3
2013:01:04-12:10:59 mail pluto[5456]: "NamederVerbindung" #48: NAT-Traversal: Result using RFC 3947: no NAT detected
2013:01:04-12:10:59 mail pluto[5456]: "NamederVerbindung" #48: we don't have a cert
2013:01:04-12:10:59 mail pluto[5456]: "NamederVerbindung" #48: ignoring informational payload, type INVALID_ID_INFORMATION
2013:01:04-12:11:09 mail pluto[5456]: "NamederVerbindung" #48: discarding duplicate packet; already STATE_MAIN_I3
2013:01:04-12:11:09 mail pluto[5456]: "NamederVerbindung" #48: next payload type of ISAKMP Hash Payload has an unknown value: 111
2013:01:04-12:11:09 mail pluto[5456]: "NamederVerbindung" #48: malformed payload in packet
2013:01:04-12:11:14 mail pluto[5456]: packet from PublicIP:500: received Vendor ID payload [strongSwan]
2013:01:04-12:11:14 mail pluto[5456]: packet from PublicIP:500: ignoring Vendor ID payload [Cisco-Unity]
2013:01:04-12:11:14 mail pluto[5456]: packet from PublicIP:500: received Vendor ID payload [XAUTH]
2013:01:04-12:11:14 mail pluto[5456]: packet from PublicIP:500: received Vendor ID payload [Dead Peer Detection]
2013:01:04-12:11:14 mail pluto[5456]: packet from PublicIP:500: received Vendor ID payload [RFC 3947]
2013:01:04-12:11:14 mail pluto[5456]: packet from PublicIP:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-03]
2013:01:04-12:11:14 mail pluto[5456]: packet from PublicIP:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02]
2013:01:04-12:11:14 mail pluto[5456]: packet from PublicIP:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02_n]
2013:01:04-12:11:14 mail pluto[5456]: packet from PublicIP:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-00]
2013:01:04-12:11:14 mail pluto[5456]: packet from PublicIP:500: initial Main Mode message received on IPGegenstelle:500 but no connection has been authorized with policy=PUBKEY
2013:01:04-12:11:29 mail pluto[5456]: "NamederVerbindung" #48: next payload type of ISAKMP Hash Payload has an unknown value: 83
2013:01:04-12:11:29 mail pluto[5456]: "NamederVerbindung" #48: malformed payload in packet
2013:01:04-12:11:29 mail pluto[5456]: "NamederVerbindung" #48: discarding duplicate packet; already STATE_MAIN_I3


This thread was automatically locked due to age.
  • 0
    Hi M. Funk,

    kannst du bitte einmal die Konfigurationen der Site2Site-Tunnel auf beiden Seiten posten,
    bestenfalls als Screenshots?

    Also die Tunnel-Konfigurationen sowie die Konfigurationen der Remote-Gateways auf beiden Seiten.

    Ich würde mal sagen, dass folgende Zeile sehr aussagekräftig ist:

    "2013:01:04-12:11:14 mail pluto[5456]: packet from PublicIP:500: initial Main Mode message received on IPGegenstelle:500 but no connection has been authorized with policy=PUBKEY"

    Poste bitte erstmal die Screenshots, eventuell habe ich bereits einen Lösungsvorschlag,
    aber ich würde doch gerne vorher die Konfiguration auf beiden Seiten sehen... [:)]

    Gruß, Datax
  • 0
    (Sorry, my German-speaking brain isn't working at present. [:(])

    The best solution is to bridge the Fritzbox so that you can put a public IP on the UTM.  If that's not possible, then the tunnel definition must be changed so that IPsec can work.  The 'VPN ID type' must be set to "IP Address" and the value of the VPN ID on the other side (not in this UTM) must be the IP on the External interface of the UTM.  In this UTM, the value can be left blank as it will be the same as the Gateway in the Remote Gateway definition.

    I bet this is where Datax is going, so please do post the screenshots he's requested.

    @Datax - Thanks for joining us here!  Clear, well-written posts that bespeak solid knowledge.  I look forward to learning from you...

    MfG - Bob (Bitte auf Deutsch weiterhin.)
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    Hallo BAlfson, Datax,
    ich habe bereits einieg IPSEC VPN aktiv laufen. Bisher aber direkt am DSL der UTM. Klappt alles super! Sehr stabil.
    Bisher habe ich als entfertntes gateway immer die PublicIP der UTM auf der andere Seite angegeben. AES-128, BPN Typ: IPAdresse, IPAdresse aber blank.

    Meine Hürde ist jetzt, das auf einer Seite vor der UTM diese Fritzbox steht.
    Ist das entfernte Gateway dann die IP der Fritzbox? Bekommt die UTM auf dieser Seite die IPSEC Anfragen mit? Wenn ja, wie?

    Dei Screenshots sende ich morgen vormittag noch zu. Bin gerade unterwegs.

    Markus
  • 0
    (Sorry, my German-speaking brain again is not working! [:(])

    Site A - ASG only
    Site B - ASG with a slower connection and a new 100Mbps connection to a Fritzbox (IP=100.99.98.97) behind which is an ASG (IP=10.3.2.1)

    You want to change the VPN to use the 100Mbps connection.

    Site A - Edit the IPsec Remote Gateway
    • Create a new 'Host' definition for 100.99.98.97 as the 'Gateway'
    • Put 10.3.2.1 into the blank 'VPN ID (optional):' field


    Site B
    • Edit the IPsec Connection to have the new 'Local interface'


    If the Fritzbox could be bridged so that the ASG had the public IP for the new 100Mbps connection, you could set up Uplink Balancing and easily get automatic failover.  The only way to get failover now would be with a second tunnel and Uplink Monitoring (more work than what I do for free [;)]).

    MfG - Bob (Bitte auf Deutsch weiterhin.)
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    Hallo Bob, 
    ich habe jetzt testweise eine Site2Site-SSL Verbindung eingerichtet. UTM/Fritz Seite als Server und die andere UTM Seite als Client. Das geht!

    IPSEC geht jetzt auch!! 
    Mein  Problem war die VPNID. Hier muss die Schnittstelle der UTM hin. 

    Hier nochmal die genaue Info
    Seite A: Nur UTM:
    DSL16000, 1 Feste IP, Nativ über DSL Modem bridged
    PublicIp: 1.2.3.4


    Seite B: UTM und Fritz:
    Fritzbox mit PublicIP 2.2.2.2, interne IP 192.168.112.1
    UTM Eth5-Schnittstelle 192.168.112.2 m it Gateway 192.168.112.1 (FritzintIP)
    Fritzbox mit Funktion "Exposed Host" und leitet alles an 192.168.112.2 weiter
    Damit sollten alle Anfragen an  die Schnittstelle der UTM gehen
    Internes Firmennetz 192.168.111.0
    Policy: 192.168.112.0 ANY 192.168.111.0
     



    Konfig der Site A:
    Gateway: PublicIP Fritz 2.2.2.2
    VPNID: 192.168.112.2 (Schnittstelle der UTM)
    Entferntes Netz: 192.168.111.0 

    Konfig der Site B:
    Gateway PublicIp: 1.2.3.4
    Verbindung Initiieren
    VPN ID blank


    SSL VPN hingegegen war in 2 Minutenn eingerichtet!

    Spricht was gegen SSL-VPN? Hat jemand erfahrung mit Performance? Oder anderer Nachteile des SSL?


    Markus
  • 0
    Thanks for posting your solution!

    Mit SSL sollst Du UDP statt TCP benutzen, dann ist ist nicht so schnell wie IPsec aber viel näher.

    MfG - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Cookie Information Banner