This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

setting up Netscreen-remote

Hi!

I'm trying to set up NSRemote but got some problems: It looks like i it don't like parse 1 :

17:53:51.408 My Connections\{con.name} - Attempting to resolve Hostname ({fw hostname})
17:53:51.408 My Connections\{con.name} - Initiating IKE Phase 1 (Hostname={fw hostname}) (IP ADDR={fw ip})
17:53:51.408 My Connections\{con.name} - SENDING>>>> ISAKMP OAK MM (SA, VID)
17:53:51.408 My Connections\{con.name} - RECEIVED>>> ISAKMP OAK MM (KE, NON, NAT-D, NAT-D, VID, VID, VID)
17:53:51.548 My Connections\{con.name} - RECEIVED>>> ISAKMP OAK MM *(ID, CERT, CERT_REQ, SIG, NOTIFY:STATUS_INITIAL_CONTACT)
17:53:51.768 My Connections\{con.name} - RECEIVED>>> ISAKMP OAK INFO *(HASH, NOTIFY:INVALID_ID_INFO)
17:53:51.838 My Connections\{con.name} - Discarding IKE SA negotiation
17:53:51.838    MY COOKIE bc ee b0 9f 7a df a2 65
17:53:51.838    HIS COOKIE b 47 2c 4 1b e6 2f 13

I'm running Astaro 4.002 and Netscreen-remote 7.0

Hope someone can explain what's happening and where to go from here, I've tryed to follow the documentation for setting up the vpn for astaro and the documentation for NSremote. but still got problems... something I'm missing I think.     


This thread was automatically locked due to age.
  • please add some information about the keys you use, the VPN Identifier on both sides and the log output on ASL... 

    cheers
    /marcel 
  • Hi!

    It looks like I past my first problem, but Now I got this information.

    "testconnect_1"[1] 130.67.109.193 #56: sending encrypted notification INVALID_ID_INFORMATION to 130.67.109.193:500
    Apr 13 03:42:01 (none) pluto[7461]: packet from 130.67.109.193:500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-00]
    Apr 13 03:42:01 (none) pluto[7461]: "testconnect_1"[1] 130.67.109.193 #57: responding to Main Mode from unknown peer 130.67.109.193
    Apr 13 03:42:02 (none) pluto[7461]: "testconnect_1"[1] 130.67.109.193 #57: ignoring Vendor ID payload [47bbe7c993f1fc13...]
    Apr 13 03:42:02 (none) pluto[7461]: "testconnect_1"[1] 130.67.109.193 #57: ignoring Vendor ID payload [da8e937880010000]
    Apr 13 03:42:02 (none) pluto[7461]: "testconnect_1"[1] 130.67.109.193 #57: ignoring Vendor ID payload [XAUTH]
    Apr 13 03:42:02 (none) pluto[7461]: "testconnect_1"[1] 130.67.109.193 #57: NAT-Traversal: Result using draft-ietf-ipsec-nat-t-ike-00: no NAT detected
    Apr 13 03:42:03 (none) pluto[7461]: "testconnect_1"[1] 130.67.109.193 #57: Peer ID is ID_USER_FQDN: '{my_email}'
    Apr 13 03:42:03 (none) pluto[7461]: "testconnect_1"[1] 130.67.109.193 #57: Issuer CRL not found
    Apr 13 03:42:03 (none) pluto[7461]: "testconnect_1"[1] 130.67.109.193 #57: Issuer CRL not found
    Apr 13 03:42:03 (none) pluto[7461]: "testconnect_1"[1] 130.67.109.193 #57: sent MR3, ISAKMP SA established
    Apr 13 03:42:04 (none) pluto[7461]: "testconnect_1"[1] 130.67.109.193 #57: cannot respond to IPsec SA request because no connection is known for 192.168.0.0/24==={fw-ip}[@{fw-hostname}]...130.67.109.193[{my emai}l]===10.250.70.10/32

    I tryed many different tings both on FW and on netscreen but nothing seems to work....

    Is there any spasial things I need to know... Rules Dnat/Snat or.... If there is some other info you want me to write to you I'll put it up here...

    I put Internal network IP for netscreen 10.250.70.10 and I put subnet 192.168.0.0/255.255.255.0

    roy  
  • ok... if you still get the same error, check your SA (the long line of code in the VPN STATUS section of the connections page)... seems you are connecting with a roadwarrior connection, but either one of the identifier is wrong or your vpn connection itself is wrong... 

    please post the whole VPN STATUS output according to the error listed above...

    /marcel 
  • I was getting the same error when connecting a Linksys BEFVP41 VPN router to Astaro 4.x. 

    I was connecting the Linksys as a test to my home cable modem. The IP on this rarely changes, so I had configured Astaro to use the relatively static IP as the remote endpoint. This worked okay for connections without PFS, but once PFS was turned on, I'd see INVALID-ID-INFORMATION from both sides. 

    (edit)
    I was previously incorrect in stating that setting Astaro to a Dynamic IP would fix the problem - PFS must be turned off to avoid the message. Once the firewall attempts to rekey after the SA lifetime expires, the message reappears. 

    Hope this helps others who may be trying to use the same types of devices.