Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 2 replies
  • Subscribers 1 subscriber
  • Views 1371 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Problem with IPSec VPN

Prokurator
Hi all!
I'm testing V.7 now and having problem with VPN. When I try to connect to astaro I get a message

"IKE-Error" (Phase 1)
lost contact to other side" (in a free translation from german)

Here are the both logs:
the client-log:

24.07.2007 12:13:53  IPSDIALCHAN::start building connection
24.07.2007 12:13:53  NCPIKE-phase1:name(firm) - outgoing connect request - main mode.
24.07.2007 12:13:53  XMIT_MSG1_MAIN - firm
24.07.2007 12:13:54  RECV_MSG2_MAIN - firm
24.07.2007 12:13:54  IKE phase I: Setting LifeTime to 7800 seconds
24.07.2007 12:13:54  firm ->Support for NAT-T version - 9
24.07.2007 12:13:54  XMIT_MSG3_MAIN - firm
24.07.2007 12:13:54  IPSDIAL->FINAL_TUNNEL_ENDPOINT:external ip
24.07.2007 12:13:54  RECV_MSG4_MAIN - firm
24.07.2007 12:13:55  Turning on NATD mode - firm - 1
24.07.2007 12:13:55  XMIT_MSG5_MAIN - firm
24.07.2007 12:13:55  XMIT_MSG5_MAIN_RESUME - firm
24.07.2007 12:13:55  RECV_MSG6_MAIN - firm
24.07.2007 12:13:55  RECV_MSG6_MAIN_RESUME - firm
24.07.2007 12:13:55  Turning on DPD mode - firm
24.07.2007 12:13:55  NCPIKE-phase1:name(firm) - connected
24.07.2007 12:13:56  Phase1 is Ready: IkeIndex = 00000007
24.07.2007 12:13:56  Quick Mode is Ready: IkeIndex = 00000007 , VpnSrcPort = 4500
24.07.2007 12:13:56  Assigned IP Address: 192.168.1.11
24.07.2007 12:13:56  XMIT_MSG1_QUICK - firm
24.07.2007 12:13:56  NOTIFY : firm : RECEIVED : INVALID_ID_INFORMATION
24.07.2007 12:14:00  NOTIFY : firm : RECEIVED : INVALID_MESSAGE_ID
24.07.2007 12:14:03  NOTIFY : firm : RECEIVED : INVALID_MESSAGE_ID
24.07.2007 12:14:06  NOTIFY : firm : RECEIVED : INVALID_MESSAGE_ID
24.07.2007 12:14:09  NCPIKE-phase2:name(firm) - error - retry timeout - max retries
24.07.2007 12:14:09  IPSDIAL  - disconnected from firm on channel 1.

and the astaro-log:

2007:07:24-12:13:49 (none) pluto[17356]: packet from 84.143.92.238:500: ignoring Vendor ID payload [da8e937880010000] 
2007:07:24-12:13:49 (none) pluto[17356]: packet from 84.143.92.238:500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-03] 
2007:07:24-12:13:49 (none) pluto[17356]: packet from 84.143.92.238:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02_n] 
2007:07:24-12:13:49 (none) pluto[17356]: packet from 84.143.92.238:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-00] 
2007:07:24-12:13:49 (none) pluto[17356]: packet from 84.143.92.238:500: received Vendor ID payload [RFC 3947] 
2007:07:24-12:13:49 (none) pluto[17356]: packet from 84.143.92.238:500: received Vendor ID payload [Dead Peer Detection] 
2007:07:24-12:13:49 (none) pluto[17356]: packet from 84.143.92.238:500: ignoring Vendor ID payload [101fb0b35c5a4f4c08b919f1cf53c96a] 
2007:07:24-12:13:49 (none) pluto[17356]: packet from 84.143.92.238:500: ignoring Vendor ID payload [c61baca1f1a60cc10800000000000000] 
2007:07:24-12:13:49 (none) pluto[17356]: packet from 84.143.92.238:500: ignoring Vendor ID payload [4048b7d56ebce88525e7de7f00d6c2d3c0000000] 
2007:07:24-12:13:49 (none) pluto[17356]: packet from 84.143.92.238:500: ignoring Vendor ID payload [Cisco-Unity] 
2007:07:24-12:13:49 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238 #7: responding to Main Mode from unknown peer 84.143.92.238 
2007:07:24-12:13:49 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238 #7: NAT-Traversal: Result using RFC 3947: peer is NATed 
2007:07:24-12:13:50 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238 #7: ignoring informational payload, type IPSEC_INITIAL_CONTACT 
2007:07:24-12:13:50 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238 #7: Peer ID is ID_USER_FQDN: 'e-mail' 
2007:07:24-12:13:50 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238 #7: crl not found 
2007:07:24-12:13:50 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238 #7: certificate status unknown 
2007:07:24-12:13:50 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238 #7: we have a cert and are sending it 
2007:07:24-12:13:50 (none) pluto[17356]: | NAT-T: new mapping 84.143.92.238:500/37620) 
2007:07:24-12:13:50 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238:37620 #7: sent MR3, ISAKMP SA established 
2007:07:24-12:13:50 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238:37620 #7: cannot respond to IPsec SA request because no connection is known for 0.0.0.0/0===external_ip:4500[@astaro.firm.de]...84.143.92.238:37620[e-mail]===192.168.1.11/32 
2007:07:24-12:13:50 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238:37620 #7: sending encrypted notification INVALID_ID_INFORMATION to 84.143.92.238:37620 
2007:07:24-12:13:55 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238:37620 #7: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0x9fd3466b (perhaps this is a duplicated packet) 
2007:07:24-12:13:55 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238:37620 #7: sending encrypted notification INVALID_MESSAGE_ID to 84.143.92.238:37620 
2007:07:24-12:13:58 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238:37620 #7: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0x9fd3466b (perhaps this is a duplicated packet) 
2007:07:24-12:13:58 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238:37620 #7: sending encrypted notification INVALID_MESSAGE_ID to 84.143.92.238:37620 
2007:07:24-12:14:01 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238:37620 #7: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0x9fd3466b (perhaps this is a duplicated packet) 
2007:07:24-12:14:01 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238:37620 #7: sending encrypted notification INVALID_MESSAGE_ID to 84.143.92.238:37620 
2007:07:24-12:14:04 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238:37620 #7: received Delete SA payload: deleting ISAKMP State #7 
2007:07:24-12:14:04 (none) pluto[17356]: "D_firm IPSec_0"[2] 84.143.92.238:37620: deleting connection "D_firm IPSec_0" instance with peer 84.143.92.238 {isakmp=#0/ipsec=#0} 

Has anyone any idea?


This thread was automatically locked due to age.
Parents
  • 0
    Greetings,

    I'm having the exact same problem, the weird thing is we had this working when we changed to V7 and then we wanted to add another user it stopped working....

    Particulars I can give is that we are using an ASG220 and we recently upgraded to 7.006 from 7.005 and its not working in both releases. Also I've tried recreating the users in case it was some sort of Cert problem since I noticed these messages in the IPSec log:

    ****
    2007:07:27-15:14:31 (none) pluto[3536]: "D_REF_HJEVCNpSuK_2"[2] 68.91.27.156 #20: certificate status unknown
    2007:07:27-15:14:31 (none) pluto[3536]: "D_REF_HJEVCNpSuK_0"[2] 68.91.27.156 #20: deleting connection "D_REF_HJEVCNpSuK_2" instance with peer 68.91.27.156 {isakmp=#0/ipsec=#0} 
    ****


    Have you opened a case with Astaro? I don't want to open one if you were already able to resolve the problem.


    Regards!
Reply
  • 0
    Greetings,

    I'm having the exact same problem, the weird thing is we had this working when we changed to V7 and then we wanted to add another user it stopped working....

    Particulars I can give is that we are using an ASG220 and we recently upgraded to 7.006 from 7.005 and its not working in both releases. Also I've tried recreating the users in case it was some sort of Cert problem since I noticed these messages in the IPSec log:

    ****
    2007:07:27-15:14:31 (none) pluto[3536]: "D_REF_HJEVCNpSuK_2"[2] 68.91.27.156 #20: certificate status unknown
    2007:07:27-15:14:31 (none) pluto[3536]: "D_REF_HJEVCNpSuK_0"[2] 68.91.27.156 #20: deleting connection "D_REF_HJEVCNpSuK_2" instance with peer 68.91.27.156 {isakmp=#0/ipsec=#0} 
    ****


    Have you opened a case with Astaro? I don't want to open one if you were already able to resolve the problem.


    Regards!
Children
  • 0 in reply to akelp
    Hello,

    Have you opened a case with Astaro?
    No, I can't do it. I'm only testing it.

    We've also had this problem when we were testing v6. It seems to be something wrong in our environment. Or with our admins :-)

    Regards!
Cookie Information Banner