Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 55 replies
  • Subscribers 1 subscriber
  • Views 52748 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IPsec not work

creativity
Hello All!
I want to understand, VPN IPSec:
If your client machine is behind a Nat device....IPsec will not work
this is true?
If so, then nothing can be done?


This thread was automatically locked due to age.
  • 0 in reply to BAlfson
    In post #29, 
    you don't need the packet filter rule and you shouldn't need the masq rule - removed

    Cheers - Bob



    Please show the Astaro log file for the same times as the file in Post #29.

    where it is?
    -

    I created a new user (test) and it works!
    connect with the old user does not work with the new (test) is working
    fantastic? [:S]
  • 0
    is it just me such problems with VPN?
    what is it [:(]
    Now with L2TP Over IPSec does not work, did exactly how in the instructions
    https://support.astaro.com/support/images/0/00/Remote_Access_Guide-L2TP_over_IPsec-v1.001-EN.pdf

    2011:09:26-03:21:39 peit pluto[32320]: "S_REF_umuHINYXyz"[8] 84.94.16.28:4500 #4: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0xcaccc73a (perhaps this is a duplicated packet)
    2011:09:26-03:21:39 peit pluto[32320]: "S_REF_umuHINYXyz"[8] 84.94.16.28:4500 #4: sending encrypted notification INVALID_MESSAGE_ID to 84.94.16.28:4500
    2011:09:26-03:21:43 peit pluto[32320]: "S_REF_umuHINYXyz"[8] 84.94.16.28:4500 #4: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0xcaccc73a (perhaps this is a duplicated packet)
    2011:09:26-03:21:43 peit pluto[32320]: "S_REF_umuHINYXyz"[8] 84.94.16.28:4500 #4: sending encrypted notification INVALID_MESSAGE_ID to 84.94.16.28:4500
    2011:09:26-03:21:51 peit pluto[32320]: "S_REF_umuHINYXyz"[8] 84.94.16.28:4500 #4: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0xcaccc73a (perhaps this is a duplicated packet)
    2011:09:26-03:21:51 peit pluto[32320]: "S_REF_umuHINYXyz"[8] 84.94.16.28:4500 #4: sending encrypted notification INVALID_MESSAGE_ID to 84.94.16.28:4500
    2011:09:26-03:22:07 peit pluto[32320]: "S_REF_umuHINYXyz"[8] 84.94.16.28:4500 #4: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0xcaccc73a (perhaps this is a duplicated packet)
    2011:09:26-03:22:07 peit pluto[32320]: "S_REF_umuHINYXyz"[8] 84.94.16.28:4500 #4: sending encrypted notification INVALID_MESSAGE_ID to 84.94.16.28:4500
    2011:09:26-03:22:39 peit pluto[32320]: "S_REF_umuHINYXyz"[8] 84.94.16.28:4500 #4: received Delete SA payload: deleting ISAKMP State #4
    2011:09:26-03:22:39 peit pluto[32320]: "S_REF_umuHINYXyz"[8] 84.94.16.28:4500: deleting connection "S_REF_umuHINYXyz" instance with peer 84.94.16.28 {isakmp=#0/ipsec=#0}
    2011:09:26-03:49:27 peit pluto[32320]: packet from 84.94.16.28:500: received Vendor ID payload [MS NT5 ISAKMPOAKLEY 00000004]
    2011:09:26-03:49:27 peit pluto[32320]: packet from 84.94.16.28:500: ignoring Vendor ID payload [FRAGMENTATION]
    2011:09:26-03:49:27 peit pluto[32320]: packet from 84.94.16.28:500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02_n]
    2011:09:26-03:49:27 peit pluto[32320]: packet from 84.94.16.28:500: ignoring Vendor ID payload [Vid-Initial-Contact]
    2011:09:26-03:49:27 peit pluto[32320]: "S_REF_umuHINYXyz"[9] 84.94.16.28 #5: responding to Main Mode from unknown peer 84.94.16.28
    2011:09:26-03:49:27 peit pluto[32320]: "S_REF_umuHINYXyz"[9] 84.94.16.28 #5: NAT-Traversal: Result using draft-ietf-ipsec-nat-t-ike-02/03: both are NATed
    2011:09:26-03:49:28 peit pluto[32320]: "S_REF_umuHINYXyz"[9] 84.94.16.28 #5: Peer ID is ID_FQDN: 'user-6ad269b022'
    2011:09:26-03:49:28 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28 #5: deleting connection "S_REF_umuHINYXyz" instance with peer 84.94.16.28 {isakmp=#0/ipsec=#0}
    2011:09:26-03:49:28 peit pluto[32320]: | NAT-T: new mapping 84.94.16.28:500/4500)
    2011:09:26-03:49:28 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: sent MR3, ISAKMP SA established
    2011:09:26-03:49:28 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: cannot respond to IPsec SA request because no connection is known for 84.108.31.110/32===192.168.10.103:4500[192.168.10.103]:17/1701...84.94.16.28:4500[user-6ad269b022]:17/%any
    2011:09:26-03:49:28 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: sending encrypted notification INVALID_ID_INFORMATION to 84.94.16.28:4500
    2011:09:26-03:49:28 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0x58be4811 (perhaps this is a duplicated packet)
    2011:09:26-03:49:28 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: sending encrypted notification INVALID_MESSAGE_ID to 84.94.16.28:4500
    2011:09:26-03:49:30 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0x58be4811 (perhaps this is a duplicated packet)
    2011:09:26-03:49:30 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: sending encrypted notification INVALID_MESSAGE_ID to 84.94.16.28:4500
    2011:09:26-03:49:34 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0x58be4811 (perhaps this is a duplicated packet)
    2011:09:26-03:49:34 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: sending encrypted notification INVALID_MESSAGE_ID to 84.94.16.28:4500
    2011:09:26-03:49:42 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0x58be4811 (perhaps this is a duplicated packet)
    2011:09:26-03:49:42 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: sending encrypted notification INVALID_MESSAGE_ID to 84.94.16.28:4500
    2011:09:26-03:49:58 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0x58be4811 (perhaps this is a duplicated packet)
    2011:09:26-03:49:58 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: sending encrypted notification INVALID_MESSAGE_ID to 84.94.16.28:4500
    2011:09:26-03:50:30 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500 #5: received Delete SA payload: deleting ISAKMP State #5
    2011:09:26-03:50:30 peit pluto[32320]: "S_REF_umuHINYXyz"[10] 84.94.16.28:4500: deleting connection "S_REF_umuHINYXyz" instance with peer 84.94.16.28 {isakmp=#0/ipsec=#0} 


    hands do not curves, that this time the wrong ?
  • 0
    nobody knows?
    or nobody wants to help?
  • 0
    In post #32, you said it works.  Post #33 is not the complete session - the problem occurs earlier.  Post the Astaro IPsec log for the same time as in Post #29.

    Cheers - Bob
  • 0 in reply to BAlfson
    In post #32, you said it works.  Post #33 is not the complete session - the problem occurs earlier.  Post the Astaro IPsec log for the same time as in Post #29.

    Cheers - Bob


    in post #32 Yes, it works, but with a new user, but not with the old

    Post #33 is not the complete session - the problem occurs earlier.
    why? what to do?

    Post the Astaro IPsec log for the same time as in Post #29.
    sorry, I don't quite understand...
  • 0
    in post #32 Yes, it works, but with a new user, but not with the old

    That means that IPsec works.

    [Post the Astaro IPsec log for the same time as in Post #29.
    sorry, I don't quite understand...

    In 'Logging >> View Log Files', on the 'Archived Log Files', open the IPsec log for 22.09.2011 and post the lines from 21:39 through 21:40.

    Cheers - Bob
  • 0 

    2011:09:22-21:16:50 peit pluto[11963]: | event EVENT_REINIT_SECRET handled

    2011:09:22-21:16:50 peit pluto[11963]: | inserting event EVENT_REINIT_SECRET, timeout in 3600 seconds

    2011:09:22-21:16:50 peit pluto[11963]: | next event EVENT_REINIT_SECRET in 3600 seconds

    2011:09:22-22:16:50 peit pluto[11963]: | 

    2011:09:22-22:16:50 peit pluto[11963]: | *time to handle event

    2011:09:22-22:16:50 peit pluto[11963]: | event after this is EVENT_LOG_DAILY in 6190 seconds


    here is why it jumps forward one hour [:O] 


    

    2011:09:22-22:57:23 peit pluto[11963]: | delete inbound eroute 10.242.4.1/32:0 -> 0.0.0.0/0:0 => unk255.10000@192.168.10.103:0

    2011:09:22-22:57:23 peit pluto[11963]: "D_REF_ntUUGnltci_1"[9] 84.94.16.28:3128 #75: ERROR: netlink response for Del SA esp.e2fdbbc3@192.168.10.103 included errno 3: No such process

    2011:09:22-22:57:23 peit pluto[11963]: "D_REF_ntUUGnltci_1"[9] 84.94.16.28:3128: deleting connection "D_REF_ntUUGnltci_1" instance with peer 84.94.16.28 {isakmp=#0/ipsec=#0}

    2011:09:22-22:57:23 peit pluto[11963]: | next event EVENT_REINIT_SECRET in 1167 seconds

    2011:09:22-23:14:50 peit pluto[11963]: | 

    2011:09:22-23:14:50 peit pluto[11963]: | *received 292 bytes from 84.94.16.28:3547 on eth1

    2011:09:22-23:14:50 peit pluto[11963]: |   0c 23 cd c7  c9 1c 1b 69  00 00 00 00  00 00 00 00

    2011:09:22-23:14:50 peit pluto[11963]: |   01 10 02 00  00 00 00 00  00 00 01 24  0d 00 00 38

    2011:09:22-23:14:50 peit pluto[11963]: |   00 00 00 01  00 00 00 01  00 00 00 2c  01 01 00 01

    2011:09:22-23:14:50 peit pluto[11963]: |   00 00 00 24  01 01 00 00  80 01 00 07  80 02 00 01

    2011:09:22-23:14:50 peit pluto[11963]: |   80 03 00 03  80 04 00 05  80 0b 00 01  80 0c 1e 78
  • 0
    In 'Logging >> View Log Files', on the 'Archived Log Files', open the IPsec log for 22.09.2011 and post the lines from 21:39 through 21:40.

    Please try again - you have found the correct file.

    Cheers - Bob
  • 0 in reply to BAlfson
    Please try again - you have found the correct file.

    Cheers - Bob


    dear Bob, can you make a mistake in time? we have with you is a big difference in hours

    Let me try to connect via L2TP Over IPSec and give you a fresh log file?