Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 6 replies
  • Subscribers 1 subscriber
  • Views 2305 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

VPN between Astaro and SonicWALL Tele

crazyXgerman
setup:

i have a sonicwall tele (a couple of years old) running firmware 5.1.7.0. it is connected to a dsl line and has a static ip - sonicwallip.

i have installed astaro version 4.004 on a box connected to a dsl line with a static ip address - astaroip.

i have configured a vpn sa on the sonicwall as follows:
ike using pre-shared secret
strong encrypt and authenticate - esp 3des hmac md5
shared secret: xxxxxx
destination network: 192.168.218.0/24

i have configured a vpn sa on the astaro box as follows:

type: standard
ipsec policy: 3des
endpoint definition: local astaroip remote sonicwallip
subnet definition: local internal_network remote home LAN
authentication key: psk - sonicwall home key

the sonicwall log indicates the following:
05/03/2003 15:32:12.288 Starting IKE negotiation 05/03/2003 15:32:40.672 IKE negotiation complete. Adding IPSec SA remote range: (192.168.218.1 - 192.168.218.254) 

in the astaro vpn status section i see:
000 "SonicWALL_Home_VPN_1": 192.168.218.0/24===astaroip...sonicwallip===192.168.217.0/24
000 "SonicWALL_Home_VPN_1":   ike_life: 7800s; ipsec_life: 3600s; rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0
000 "SonicWALL_Home_VPN_1":   policy: PSK+ENCRYPT+TUNNEL; interface: eth1; unrouted
000 "SonicWALL_Home_VPN_1":   newest ISAKMP SA: #0; newest IPsec SA: #0; eroute owner: #0
000 "SonicWALL_Home_VPN_1":   IKE algorithms wanted: 5_000-1-5, flags=-strict
000 "SonicWALL_Home_VPN_1":   IKE algorithms found: 5_192-1_128-5, 
000 "SonicWALL_Home_VPN_1":   ESP algorithms wanted: 3_000-1, flags=-strict
000 "SonicWALL_Home_VPN_1":   ESP algorithms loaded: 3_168-1_128, 
000  
000 #1: "SonicWALL_Home_VPN_1" STATE_MAIN_I1 (sent MI1, expecting MR1); EVENT_RETRANSMIT in 11s

from the logs it looks like the two are talking. however, any attempts to ping a host on the remote lan results in time-outs.

i'm not quite sure how to proceed from here. the setup seems pretty straight forward and i'm surprised it doesn't work.

any suggestions would be greatly appreciated.
    


This thread was automatically locked due to age.
Parents Reply
  • 0 in reply to crazyXgerman
    crazyXgerman,

    'ISAKMP SA established' indicates a succesfull phase 1 and 'IPsec SA established' phase II negotiation.
    Please check IKE DH Group as well as the settings for  PFS. Astaro is set to use DH group 5 (modp1536)
    as its default.

    read you
    o|iver
      
Children
  • 0 in reply to oliver.desch
    hi oliver, thanx for the hint. however, i'm not sure what you mean by PFS, and i can't seem to find a DH group setting in the sonicwall. could you elaborate?

    danke schoen!  
  • 0 in reply to crazyXgerman
    'Perfect Forwarding Secrecy' PFS is a config option which can be set in the
    ipsec profile. If you are not too paranoid you could  switch it off.  
    Check this out http://www.clavister.com/manuals/ver8x/manual/vpn/ipsec_basics.htm

    Don't know how to configure that with sonicwall, but mostly the default is 
    DH group2 1024 bit  so it should be enough to configure Astaro properly.

    bitte schön
    o|iver  
  • 0 in reply to oliver.desch
    hi oliver, first of all, thanx for the link, that was great reading! i understand what you're saying, and i think i might have figured out what the problem is. 

    the sonicwall tele with the firmware 5.1.7.0 does not have any advanced settings such as dh group or pfs in the vpn configuration screen. i still have not been able to make this work.

    however, i tried to set up a vpn connection to another sonicwall with the firmware 6.2.0.0, which does have those options, and i made it work within minutes.

    since the tele does not have any firmware upgrades available according to the sonicwall support site, i guess it's time to throw it out and replace it with an astaro box [:)]

    thanx for trying to help. 

    mahlzeit!

    alex  
Cookie Information Banner