Problems with IPSEC! V 4

Same problem here, with a FW-1. Please read: https://community.sophos.com/products/unified-threat-management/astaroorg/f/51/t/19728  

Hi,

with version 3.17 all connections works without problems......... 

what says astaro to this problems ?

  

Hi,

with version 3.17 all connections works without problems......... 

what says astaro to this problems ?

  

Hello!

I have find the problem!!! I have add a connection to ipsec.conf-default:

conn customer_1
        type="tunnel"
        keyexchange="ike"
        keylife="3600"
        ikelifetime="28800"
        esp="3des-md5"
        ike="3des-md5"
        pfs="no"
        left="xxx.xxx.xxx.xxx"
        right="xxx.xxx.xxx.xxx"
        leftupdown="/opt/_updown 2>/tmp/log 1>/tmp/log"
        rightupdown="/opt/_updown 2>/tmp/log 1>/tmp/log"
        auto="start"
        leftsubnet="192.168.xxx.xxx/255.255.255.0"
        rightsubnet="172.16.xxx.xxx/255.255.255.0"
        leftid="xxx.xxx.xxx.xx"
        rightid="xxx.xxx.xxx.xxx"
        authby="secret"

Astaro set in there configuration ike="3des-md5-modp1024".
Without "-modp1024" all my connections to cisco, checkpoint and freewan works!!!!

Michael
  

so try editing your ipsec-policies ... some new algo's have been added...

please try changing dh-group / auth algo...

/marcel 

Which DH Group must i select ?

if i select dh group 1 the middleware set in ipsec.conf 3des-md5-modp768
if i select dh group 2 the middleware set in ipsec.conf 3des-md5-modp1024 and so ...

michael

  

you should select the same as on your remote endpoint !? 

When will this be fixed ? 

we'll take out the pfsgroup when no pfs is selected.. this should be fixed in an up2date... (can't tell you _when_ exactly, sorry)

/marcel 

[ QUOTE ]
we'll take out the pfsgroup when no pfs is selected.. this should be fixed in an up2date... (can't tell you _when_ exactly, sorry)

/marcel  

[/ QUOTE ]

Would be nice if you could... :-)

I've found that once I got my VPN settings the way I wanted them, I can backup ipsec.conf-default, and then copy the working ipsec.conf to ipsec.conf-default. This seems to be the best of both worlds for me since I cannot seem to get the "manual" entries inside ipsec.conf-default to work w/o enabling at least one tunnel within the ASL middleware interface (I'm only running one tunnel). This is because the main ipsec.conf config section doesn't get fully defined unless you have at least one tunnel enabled. 

Therefore, for users with only one tunnel, this may work for you. You can keep the single tunnel "on" in the middleware (so routes, interfaces, etc. work), but use your config in the end.

**WARNING** backup the original ipsec.conf-default file first!

Waiting patiently for an Astaro fix on this, however :-)  

Could you please fix this thing as soon as possible. I am running into troubles with our clients because systems are down. All VPN tunnels are down because flaw in configurations. It can't be big bug to fix.