Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 10 replies
  • Subscribers 1 subscriber
  • Views 2194 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IPSEC fails on Primary, even though only secondary link affected

BSavage
We use dual links in multipath, with IPSEC VPN tunnels setup for uplink interface. We noticed that when our secondary link goes down, the IPSEC tunnel attempts to reestablish, even though it's up and fine on the primary. Anyone else notice this?

Our primary goal is uptime. These blips would be small, but IPSEC doesn't always reestablish itself, requiring manual intervention. So it seems to us that we have twice as much chance of going down in multipath mode, rather than in failover mode. 

I don't see this as a known issue. I can replicate this on v7 and v8. Does anyone know about the issue and can comment? Astaro support was notified, but I have had a lack of response on it.

Brian


This thread was automatically locked due to age.
Parents
  • 0
    Latest test is v8.103 ASG #1 to v8.103 ASG#2. 
    ASG#1 is the remote unit with FIOS and cable, setup in multipath mode, set to establish IPSEC to 1 IP address.

    ASG#2 is the Data Center high bandwidth static IP on one interface, now set in initiate mode, availability group has dns host configured for domain names that resolve properly to eth1 and eth4 on ASG#1. I noticed the availability group, you can set the order of the hosts. I have them set to same order on each side. Meaning availability group on ASG#2 has eth1 at the top, then eth4 of ASG#1, and ASG#1's multipath has ETH1 at top, and Eth4 below it under multipath/uplink balancing/active interfaces.

    When I pull the plug on ASG#1 eth1, the IPSEC tunnel fails over to eth4. So a layer 2 test failure shows it will work fine. If I use manual checkip, set the checkip to my personal firewall at home that won't return a ping, the tunnel won't fail over. This is regardless of the multipath rule. I appreciate your time Bob. We are at the point now where no matter what configuration or version the ASG's are on, I can't stabilize IPSEC failover. If I can find a configuration that would allow IPSEC tunnels to failover, wether it's layer 2 failure, checkip failure, I could die a happy man. I tried the multipath rule, and couldn't get the checkip test to failover. Is it possible that the ASG#2 knows eth1 is up, and won't establish a tunnel with eth4 on ASG#1? Could it be that stringent? I'm still confused why respond only mode doesn't work. I tried the multipath rule, and it didn't seem to build a tunnel until I manually toggled. Thank you for your attention on this. I really appreciate it.

    Brian

    Brian
Reply
  • 0
    Latest test is v8.103 ASG #1 to v8.103 ASG#2. 
    ASG#1 is the remote unit with FIOS and cable, setup in multipath mode, set to establish IPSEC to 1 IP address.

    ASG#2 is the Data Center high bandwidth static IP on one interface, now set in initiate mode, availability group has dns host configured for domain names that resolve properly to eth1 and eth4 on ASG#1. I noticed the availability group, you can set the order of the hosts. I have them set to same order on each side. Meaning availability group on ASG#2 has eth1 at the top, then eth4 of ASG#1, and ASG#1's multipath has ETH1 at top, and Eth4 below it under multipath/uplink balancing/active interfaces.

    When I pull the plug on ASG#1 eth1, the IPSEC tunnel fails over to eth4. So a layer 2 test failure shows it will work fine. If I use manual checkip, set the checkip to my personal firewall at home that won't return a ping, the tunnel won't fail over. This is regardless of the multipath rule. I appreciate your time Bob. We are at the point now where no matter what configuration or version the ASG's are on, I can't stabilize IPSEC failover. If I can find a configuration that would allow IPSEC tunnels to failover, wether it's layer 2 failure, checkip failure, I could die a happy man. I tried the multipath rule, and couldn't get the checkip test to failover. Is it possible that the ASG#2 knows eth1 is up, and won't establish a tunnel with eth4 on ASG#1? Could it be that stringent? I'm still confused why respond only mode doesn't work. I tried the multipath rule, and it didn't seem to build a tunnel until I manually toggled. Thank you for your attention on this. I really appreciate it.

    Brian

    Brian
Children
No Data