Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 4 replies
  • Subscribers 1 subscriber
  • Views 1086 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Another VPN-Site-to-Site problem

alegico
VPN defined between 2 ASL 5.101.
VPN works fine, but goes into trap after given time.
After reactevating both ipsec configurations it works again.
It is not very user frindly, so i looked in this thread but couldn't find a corresponding subject.

Please, can you let me know wether this is a known problem and /or what to do about it.

 [:S]


This thread was automatically locked due to age.
Parents
  • 0
    Hi alegico

    There are several possible issues for this. I had the same problem with some connections mostly to zyxel Routers / firewalls.

    Following steps helped in my case:

    - check, that the "SA Lifetime" time is set on both side to the same value
    - check, that you've checked the "keep alive" option in IPSEC VPN configuration on Zyxel products (if using such)
    - and often a new firmware on the zyxel products solved some problems
  • 0 in reply to Sascha_Paris
    It is a connection between 2 Astaro's version 5.101
    And Yes the times are equal (default)

    -----------
    somtimes life is hard
  • 0 in reply to alegico
    Helllo!

    Another posibility is, that your network-cards have a "Current savings mode" (I´m sorry, I don´t know the real translation from "Stromsparmodus").

    For this case, the network cards go into a saving mode, when they are unused.

    Which network cards you use into your ASL? Are they in the HCL?

    Other intention is to use another lifetime. Try a very short livetime (for example 100sec), to test the rekeying.

    Next try is to define a new IPSec policy with different lifetimes for phase 1 & phase 2. For example phase 1 = 7200sec and phase 2=5005sec. For phase 2, use a bent value, which is not a multiple  (or rather factor) from the phase 1 value.

    Last week, I had a similar problem with a IPSec connection betweek ASL 5 and Cisco 3020 VPN concentrator.
  • 0 in reply to alegico
    I have the same problem with RSA and X509 keys if the IKE SA expires... One of the remote site have no public ip address. I use Nat-T option. 

    local network---ASL(public IP)- - -INET - - - router(public IP)---ASL(Private IP)---Local network. 

    If i use PSK authentication of remote Station, then VPN tunel works fine. 

    ( See Subject NAT-T and IKE rekeying )
Reply
  • 0 in reply to alegico
    I have the same problem with RSA and X509 keys if the IKE SA expires... One of the remote site have no public ip address. I use Nat-T option. 

    local network---ASL(public IP)- - -INET - - - router(public IP)---ASL(Private IP)---Local network. 

    If i use PSK authentication of remote Station, then VPN tunel works fine. 

    ( See Subject NAT-T and IKE rekeying )
Children
No Data
Cookie Information Banner