Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 1 subscriber
  • Views 2055 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IPSec Net2Net via Linksys

Joe DeAngelo
I already read the other threads about this.  None seem to have complete details on how to establish an IPSec tunnel over a NAT gateway like the Linksys BEFSR41.  Can someone suggest what the missing parts to this puzzle might be?

1) Current hardware configuration:

Site 1:
ASL box(2.025) internal IP a.b.c.d on a.b.c.0/24
ASL box connected to Linksys BEFSR41 as 192.168.1.5
Linksys internal IP address 192.168.1.1
Linksys DMZ Host is 192.168.1.5
Linksys firmware level 1.42.7
Linksys external IP address j.k.l.m on Internet


Site 2:
ASL box(2.025) internal IP w.x.y.z on w.x.y.0/24
ASL box external IP address q.r.s.t on Internet

2) Want IPSec tunnel:

left network = a.b.c.0/24
right network = w.x.y.0/24

3) ASL configs

Site1 ASL config:

   Packet Filter
   a.b.c.0/24 any w.x.y.0/24 allow
   w.x.y.0/24 any a.b.c.0/24 allow

   VPN 
     Name          site1 to site2
     left subnet   a.b.c.0/24
     left IP       a.b.c.d
     Right IP      q.r.s.t
     right subnet  w.x.y.0/24

Site2 ASL config:

   Packet Filter
   a.b.c.0/24 any w.x.y.0/24 allow
   w.x.y.0/24 any a.b.c.0/24 allow

   VPN 
     Name          site2 to site1
     left subnet   w.x.y.0/24
     left IP       w.x.y.z
     Right IP      j.k.l.m
     right subnet  a.b.c.0/24

4) Results

  After starting both IPSec configurations, both Livelog's look like this:

        000 interface ipsec0/eth0 a.b.c.d
000 interface ipsec1/eth1 192.168.1.5
000  
000 "site1_to_site2": a.b.c.0/24===a.b.c.d---192.168.1.1...
000 "site1_to_site2": ...q.r.s.t===w.x.y.0/24
000 "site1_to_site2":   ike_life: 3600s; ipsec_life: 28800s; rekey_margin: 600s; rekey_fuzz: 100%; keyingtries: 0
000 "site1_to_site2":   policy: RSASIG+ENCRYPT+TUNNEL+PFS; interface: eth0; unrouted
000 "site1_to_site2":   newest ISAKMP SA: #0; newest IPsec SA: #0; eroute owner: #0
000  
000 #1: "site1_to_site2" STATE_MAIN_I1 (sent MI1, expecting MR1); EVENT_RETRANSMIT in 38s


This thread was automatically locked due to age.
Parents
  • 0
    hi there, 

    here a small tip, 
    try the new version 3.2 and do the same setup using hostname or email address as the vpn identifier.

    I think the problem is that replacing the ip addresses by the nat device confuses the ipsec.

    plz let me know if it work.

    kind regards
    /polluxxx
Reply
  • 0
    hi there, 

    here a small tip, 
    try the new version 3.2 and do the same setup using hostname or email address as the vpn identifier.

    I think the problem is that replacing the ip addresses by the nat device confuses the ipsec.

    plz let me know if it work.

    kind regards
    /polluxxx
Children
  • 0 in reply to Polluxxx
    I am having the same problem as Joe. I am trying to setup an ipsec vpn behind a linksys router and I get the exact same message from ASL. I upgraded to 3.2 and It did not fix the problem.
  • 0 in reply to bbolokofsky
    Hey, you guys, I did crack this problem, but I used a Dlink 713P not a Linksys this time.  It was only because I have both and that one happened to be the one I had in place.  The linksys should work as well.  It should require no special modification to the Linksys other than to enable the IPSec passthru.  The problem lay in the ASL config and the lack of features in 2.016.  For a working solution look at:

    http://www.astaro.org/cgi/ultimatebb.cgi?ubb=get_topic&f=7&t=000348
  • 0 in reply to Joe DeAngelo
    Hey Joe,

    Don't know if you've solved the problem on your own.. but I did get the Linksys VPN router working.. well, sort of.

    After 3600 seconds elapses (1 hour) it try's to renegotiate it's key's... and fails.. 

    If you haven't gotten this far, let me know, and I'll fill you in on getting as far as I am.

    (make sure you set the Linksys unit to 3DES  [:)] 

    Faz
  • 0 in reply to Fazil
    Yes Faz, I did solve the problem.  See the reference above.  I happened to use a Dlink router instead, but I imagine the same solution would work using the BEFSR41 from Linksys.

    If you bought a VPN hardware router, then I don't see why you even need Astaro anymore.