Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 4 replies
  • Subscribers 1 subscriber
  • Views 1079 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Site to Site VPN - one Site changed, no connection

thilo
We have to establish an Site2Site VPN between 2 Astaros (5.100) one Site fixed IP, one site dynamic (T-DSL and dyndns)

Our test environment had on the "fixed" Site a standard-Company-Connection with Router. The Interface on the astaro was standard-Ethernet. 

VPN was working fine.

On the customers Site the "fixed" Site is an T-DSL with fixed IP. So we changed on this Astaro the Internet-Interface from "standard Ethernet" to pppoe. 

On both astaros we changed the adresses from the remote gateway and nothing else.

Noe we are unable to establish the VPN connection. I have enabled the IKE-Debugging-Switch and in the IPsec-Log I will find an entry like :.... permission denied.

Anyone any Ideas?


Thilo


This thread was automatically locked due to age.
  • 0
    Copy/Paste a portion of the logs...
  • 0 in reply to SecApp
    here is a portion of the IPsec-log from the unit with dynamic IP:

    2005:01:20-14:59:49 (none) ipsec_starter[29705]: Starting FreeS/WAN IPsec 1.0.2b [starter]...
    2005:01:20-14:59:49 (none) ipsec_starter[29717]: IP address of physical interface changed -> reinit of ipsec interface
    2005:01:20-14:59:49 (none) ipsec_starter[29717]: attaching interface ipsec0 to ppp0
    2005:01:20-14:59:49 (none) ipsec_starter[29717]: Attempting to start pluto...
    2005:01:20-14:59:50 (none) pluto[29737]: Starting Pluto (Openswan Version 1.0.2b)
    2005:01:20-14:59:50 (none) pluto[29737]: including X.509 patch with traffic selectors (Version 0.9.39b)
    2005:01:20-14:59:50 (none) ipsec_starter[29717]: pluto (29737) started
    2005:01:20-14:59:50 (none) ipsec_starter[29717]: Setting --esp=aes128-md5;modp1536
    2005:01:20-14:59:50 (none) pluto[29737]: including NAT-Traversal patch (Version 0.6)
    2005:01:20-14:59:50 (none) pluto[29737]: | inserting event EVENT_REINIT_SECRET, timeout in 3600 seconds
    2005:01:20-14:59:50 (none) pluto[29737]: ike_alg_register_enc(): Activating OAKLEY_DES_CBC: Ok (ret=0)
    2005:01:20-14:59:50 (none) pluto[29737]: ike_alg_register_enc(): Activating OAKLEY_AES_CBC: Ok (ret=0)
    2005:01:20-14:59:50 (none) pluto[29737]: ike_alg_register_enc(): Activating OAKLEY_BLOWFISH_CBC: Ok (ret=0)
    2005:01:20-14:59:50 (none) pluto[29737]: ike_alg_register_enc(): Activating OAKLEY_CAST_CBC: Ok (ret=0)
    2005:01:20-14:59:50 (none) pluto[29737]: ike_alg_register_enc(): Activating OAKLEY_SERPENT_CBC: Ok (ret=0)
    2005:01:20-14:59:50 (none) pluto[29737]: ike_alg_register_hash(): Activating OAKLEY_SHA2_256: Ok (ret=0)
    2005:01:20-14:59:50 (none) pluto[29737]: ike_alg_register_hash(): Activating OAKLEY_SHA2_512: Ok (ret=0)
    2005:01:20-14:59:50 (none) pluto[29737]: ike_alg_register_enc(): Activating OAKLEY_TWOFISH_CBC: Ok (ret=0)
    2005:01:20-14:59:50 (none) pluto[29737]: ike_alg_register_enc(): Activating OAKLEY_SSH_PRIVATE_65289: Ok (ret=0)
    2005:01:20-14:59:50 (none) pluto[29737]: | inserting event EVENT_SHUNT_SCAN, timeout in 120 seconds
    2005:01:20-14:59:50 (none) pluto[29737]: Changing to directory '/etc/ipsec.d/cacerts'
    2005:01:20-14:59:50 (none) pluto[29737]: Warning: empty directory
    2005:01:20-14:59:50 (none) pluto[29737]: Changing to directory '/etc/ipsec.d/crls'
    2005:01:20-14:59:50 (none) pluto[29737]: Warning: empty directory
    2005:01:20-14:59:50 (none) pluto[29737]: OpenPGP certificate file '/etc/pgpcert.pgp' not found
    2005:01:20-14:59:50 (none) pluto[29737]: | next event EVENT_SHUNT_SCAN in 120 seconds
    2005:01:20-14:59:50 (none) pluto[29737]: | 
    2005:01:20-14:59:50 (none) pluto[29737]: | *received whack message
    2005:01:20-14:59:50 (none) pluto[29737]: listening for IKE messages
    2005:01:20-14:59:50 (none) pluto[29737]: | found lo with address 127.0.0.1
    2005:01:20-14:59:50 (none) pluto[29737]: | found eth0 with address 192.168.20.250
    2005:01:20-14:59:50 (none) pluto[29737]: | found ppp0 with address 62.227.253.207
    2005:01:20-14:59:50 (none) pluto[29737]: | found ipsec0 with address 62.227.253.207
    2005:01:20-14:59:50 (none) pluto[29737]: adding interface ipsec0/ppp0 62.227.253.207
    2005:01:20-14:59:50 (none) pluto[29737]: adding interface ipsec0/ppp0 62.227.253.207:4500
    2005:01:20-14:59:50 (none) pluto[29737]: | IP interface eth0 192.168.20.250 has no matching ipsec* interface -- ignored
    2005:01:20-14:59:50 (none) pluto[29737]: | IP interface lo 127.0.0.1 has no matching ipsec* interface -- ignored
    2005:01:20-14:59:50 (none) pluto[29737]: | could not open /proc/net/if_inet6
    2005:01:20-14:59:50 (none) pluto[29737]: loading secrets from "/etc/ipsec.secrets"
    2005:01:20-14:59:50 (none) pluto[29737]: | next event EVENT_SHUNT_SCAN in 120 seconds
    2005:01:20-14:59:50 (none) pluto[29737]: | 
    2005:01:20-14:59:50 (none) pluto[29737]: | *received whack message
    2005:01:20-14:59:50 (none) pluto[29737]: | from whack: got --esp=aes128-md5;modp1536
    2005:01:20-14:59:50 (none) pluto[29737]: | esp string values: 12_128-1, ; pfsgroup=5; flags=-strict
    2005:01:20-14:59:50 (none) pluto[29737]: | from whack: got --ike=3des-md5-modp1536
    2005:01:20-14:59:50 (none) pluto[29737]: | ike string values: 5_000-1-5, flags=-strict
    2005:01:20-14:59:50 (none) pluto[29737]: added connection description "S_Chirurgie-Tunnel_0"
    2005:01:20-14:59:50 (none) pluto[29737]: | 192.168.20.0/24===62.227.253.207[@mueller-leipzig.dyndns.org]...62.225.187.237===192.168.10.0/24
    2005:01:20-14:59:50 (none) pluto[29737]: | ike_life: 7800s; ipsec_life: 3600s; rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0; policy: RSASIG+ENCRYPT+TUNNEL+PFS
    2005:01:20-14:59:50 (none) pluto[29737]: | next event EVENT_SHUNT_SCAN in 120 seconds
    2005:01:20-14:59:50 (none) pluto[29737]: | 
    2005:01:20-14:59:50 (none) pluto[29737]: | *received whack message
    2005:01:20-14:59:50 (none) pluto[29737]: | next event EVENT_SHUNT_SCAN in 120 seconds
    2005:01:20-14:59:50 (none) pluto[29737]: | 
    2005:01:20-14:59:50 (none) pluto[29737]: | *received whack message
    2005:01:20-14:59:50 (none) pluto[29737]: | next event EVENT_SHUNT_SCAN in 120 seconds
    2005:01:20-14:59:50 (none) pluto[29737]: | 
    2005:01:20-14:59:50 (none) pluto[29737]: | *received whack message
    2005:01:20-14:59:50 (none) pluto[29737]: | creating state object #1 at 0x80ed5b0
    2005:01:20-14:59:50 (none) pluto[29737]: | ICOOKIE: 07 39 4c d1 6c 49 51 cf
    2005:01:20-14:59:50 (none) pluto[29737]: | RCOOKIE: 00 00 00 00 00 00 00 00
    2005:01:20-14:59:50 (none) pluto[29737]: | peer: 3e e1 bb ed
    2005:01:20-14:59:50 (none) pluto[29737]: | state hash entry 21
    2005:01:20-14:59:50 (none) pluto[29737]: | inserting event EVENT_SO_DISCARD, timeout in 0 seconds for #1
    2005:01:20-14:59:50 (none) pluto[29737]: | Queuing pending Quick Mode with 62.225.187.237 "S_Chirurgie-Tunnel_0"
    2005:01:20-14:59:50 (none) pluto[29737]: "S_Chirurgie-Tunnel_0" 62.225.187.237 #1: initiating Main Mode
    2005:01:20-14:59:50 (none) pluto[29737]: | **emit ISAKMP Message:
    2005:01:20-14:59:50 (none) pluto[29737]: | initiator cookie:
    2005:01:20-14:59:50 (none) pluto[29737]: | 07 39 4c d1 6c 49 51 cf
    2005:01:20-14:59:50 (none) pluto[29737]: | responder cookie:
    2005:01:20-14:59:50 (none) pluto[29737]: | 00 00 00 00 00 00 00 00
    2005:01:20-14:59:50 (none) pluto[29737]: | next payload type: ISAKMP_NEXT_SA
    2005:01:20-14:59:50 (none) pluto[29737]: | ISAKMP version: ISAKMP Version 1.0
    2005:01:20-14:59:50 (none) pluto[29737]: | exchange type: ISAKMP_XCHG_IDPROT
    2005:01:20-14:59:50 (none) pluto[29737]: | flags: none
    2005:01:20-14:59:50 (none) pluto[29737]: | message ID: 00 00 00 00
    2005:01:20-14:59:50 (none) pluto[29737]: | ***emit ISAKMP Security Association Payload:
    2005:01:20-14:59:50 (none) pluto[29737]: | next payload type: ISAKMP_NEXT_NONE
    2005:01:20-14:59:50 (none) pluto[29737]: | DOI: ISAKMP_DOI_IPSEC
    2005:01:20-14:59:50 (none) pluto[29737]: | ****emit IPsec DOI SIT:
    2005:01:20-14:59:50 (none) pluto[29737]: | IPsec DOI SIT: SIT_IDENTITY_ONLY
    2005:01:20-14:59:50 (none) pluto[29737]: | 5_000-1-5, flags=-strict
    2005:01:20-14:59:50 (none) pluto[29737]: | ****emit ISAKMP Proposal Payload:
    2005:01:20-14:59:50 (none) pluto[29737]: | next payload type: ISAKMP_NEXT_NONE
    2005:01:20-14:59:50 (none) pluto[29737]: | proposal number: 0
    2005:01:20-14:59:50 (none) pluto[29737]: | protocol ID: PROTO_ISAKMP
    2005:01:20-14:59:50 (none) pluto[29737]: | SPI size: 0
    2005:01:20-14:59:50 (none) pluto[29737]: | number of transforms: 1
    2005:01:20-14:59:50 (none) pluto[29737]: | *****emit ISAKMP Transform Payload (ISAKMP):
    2005:01:20-14:59:50 (none) pluto[29737]: | next payload type: ISAKMP_NEXT_NONE
    2005:01:20-14:59:50 (none) pluto[29737]: | transform number: 0
    2005:01:20-14:59:50 (none) pluto[29737]: | transform ID: KEY_IKE
    2005:01:20-14:59:50 (none) pluto[29737]: | ******emit ISAKMP Oakley attribute:
    2005:01:20-14:59:50 (none) pluto[29737]: | af+type: OAKLEY_LIFE_TYPE
    2005:01:20-14:59:50 (none) pluto[29737]: | length/value: 1
    2005:01:20-14:59:50 (none) pluto[29737]: | [1 is OAKLEY_LIFE_SECONDS]
    2005:01:20-14:59:50 (none) pluto[29737]: | ******emit ISAKMP Oakley attribute:
    2005:01:20-14:59:50 (none) pluto[29737]: | af+type: OAKLEY_LIFE_DURATION
    2005:01:20-14:59:50 (none) pluto[29737]: | length/value: 7800
    2005:01:20-14:59:50 (none) pluto[29737]: | ******emit ISAKMP Oakley attribute:
    2005:01:20-14:59:50 (none) pluto[29737]: | af+type: OAKLEY_ENCRYPTION_ALGORITHM
    2005:01:20-14:59:50 (none) pluto[29737]: | length/value: 5
    2005:01:20-14:59:50 (none) pluto[29737]: | [5 is OAKLEY_3DES_CBC]
    2005:01:20-14:59:50 (none) pluto[29737]: | ******emit ISAKMP Oakley attribute:
    2005:01:20-14:59:50 (none) pluto[29737]: | af+type: OAKLEY_HASH_ALGORITHM
    2005:01:20-14:59:50 (none) pluto[29737]: | length/value: 1
    2005:01:20-14:59:50 (none) pluto[29737]: | [1 is OAKLEY_MD5]
    2005:01:20-14:59:50 (none) pluto[29737]: | ******emit ISAKMP Oakley attribute:
    2005:01:20-14:59:50 (none) pluto[29737]: | af+type: OAKLEY_AUTHENTICATION_METHOD
    2005:01:20-14:59:50 (none) pluto[29737]: | length/value: 3
    2005:01:20-14:59:50 (none) pluto[29737]: | [3 is OAKLEY_RSA_SIG]
    2005:01:20-14:59:50 (none) pluto[29737]: | ******emit ISAKMP Oakley attribute:
    2005:01:20-14:59:50 (none) pluto[29737]: | af+type: OAKLEY_GROUP_DESCRIPTION
    2005:01:20-14:59:50 (none) pluto[29737]: | length/value: 5
    2005:01:20-14:59:50 (none) pluto[29737]: | [5 is OAKLEY_GROUP_MODP1536]
    2005:01:20-14:59:50 (none) pluto[29737]: | emitting length of ISAKMP Transform Payload (ISAKMP): 32
    2005:01:20-14:59:50 (none) pluto[29737]: | emitting length of ISAKMP Proposal Payload: 40
    2005:01:20-14:59:50 (none) pluto[29737]: | emitting length of ISAKMP Security Association Payload: 52
    2005:01:20-14:59:50 (none) pluto[29737]: | out_vendorid(): sending [draft-ietf-ipsec-nat-t-ike-03]
    2005:01:20-14:59:50 (none) pluto[29737]: | ***emit ISAKMP Vendor ID Payload:
    2005:01:20-14:59:50 (none) pluto[29737]: | next payload type: ISAKMP_NEXT_NONE
    2005:01:20-14:59:50 (none) pluto[29737]: | emitting 16 raw bytes of V_ID into ISAKMP Vendor ID Payload
    2005:01:20-14:59:50 (none) pluto[29737]: | V_ID 7d 94 19 a6 53 10 ca 6f 2c 17 9d 92 15 52 9d 56
    2005:01:20-14:59:50 (none) pluto[29737]: | emitting length of ISAKMP Vendor ID Payload: 20
    2005:01:20-14:59:50 (none) pluto[29737]: | out_vendorid(): sending [draft-ietf-ipsec-nat-t-ike-02]
    2005:01:20-14:59:50 (none) pluto[29737]: | ***emit ISAKMP Vendor ID Payload:
    2005:01:20-14:59:50 (none) pluto[29737]: | next payload type: ISAKMP_NEXT_NONE
    2005:01:20-14:59:50 (none) pluto[29737]: | emitting 16 raw bytes of V_ID into ISAKMP Vendor ID Payload
    2005:01:20-14:59:50 (none) pluto[29737]: | V_ID cd 60 46 43 35 df 21 f8 7c fd b2 fc 68 b6 a4 48
    2005:01:20-14:59:50 (none) pluto[29737]: | emitting length of ISAKMP Vendor ID Payload: 20
    2005:01:20-14:59:50 (none) pluto[29737]: | out_vendorid(): sending [draft-ietf-ipsec-nat-t-ike-00]
    2005:01:20-14:59:50 (none) pluto[29737]: | ***emit ISAKMP Vendor ID Payload:
    2005:01:20-14:59:50 (none) pluto[29737]: | next payload type: ISAKMP_NEXT_NONE
    2005:01:20-14:59:50 (none) pluto[29737]: | emitting 16 raw bytes of V_ID into ISAKMP Vendor ID Payload
    2005:01:20-14:59:50 (none) pluto[29737]: | V_ID 44 85 15 2d 18 b6 bb cd 0b e8 a8 46 95 79 dd cc
    2005:01:20-14:59:50 (none) pluto[29737]: | emitting length of ISAKMP Vendor ID Payload: 20
    2005:01:20-14:59:51 (none) pluto[29737]: | emitting length of ISAKMP Message: 140
    2005:01:20-14:59:51 (none) pluto[29737]: ERROR: "S_Chirurgie-Tunnel_0" 62.225.187.237 #1: sendto on ppp0 to 62.225.187.237:500 failed in main_outI1. Errno 1: Operation not permitted
    2005:01:20-14:59:51 (none) pluto[29737]: | inserting event EVENT_RETRANSMIT, timeout in 10 seconds for #1
    2005:01:20-14:59:51 (none) pluto[29737]: | next event EVENT_RETRANSMIT in 10 seconds for #1
    2005
  • 0
    The pppoe-Connection itself works ?
    Can you access the internet.

    I GUESS, that there is something wrong with the packetfilter now.
  • 0 in reply to omega
    Yes, the pppoe connections are working fine. Both sites can access the Internet and both astaros can ping the external Interface of the other site

    thilo
Cookie Information Banner