Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 29 replies
  • Subscribers 1 subscriber
  • Views 34058 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Site-to-Site IPSec VPN between Astaro and Openswan (routing, parameters)

stufe3
Hello @all,

I'm trying to create a Site-to-Site VPN between an Astaro Security Gateway (v8.301) and openswan (2.6.28 on ubuntu server). Auth is handled through RSA-Keys on both sides. Currently I'm able to establish the IPSec tunnel without errors (STATE_QUICK_R2: IPSec SA established tunnel mode {..para..}), but I can't send packets over the connection in any direction. 

This is my setup:
Site-to-site between 10.10.10.0/24 (office) and 192.168.100.0/24 (branch)

10.10.10.0/24===10.10.10.1office.dyn.ip---{internet}---branch.dyn.ip192.168.100.1===192.168.100.10192.168.100.0/24

Openswan is located behind a NAT-Router. Because the fact that everything is fine with IPSec (IKE, ESP, SA, RSA-Pubkeys) itself I assume that the problem don't relate to this parameters. No, I'm sure I made something wrong related to the routing. 

So without any specific configuration files, just to understand the topic and for qualified bug hunting:

What do I have to put inside openswan config (local=left and remote=right) for left and right, especially behind a NAT-Router? My current settings:
left="192.168.100.10"
leftnexthop=%defaultroute
leftsourceip="192.168.178.10"
leftsubnet="192.168.178.0/24"
right="office.dyn.ip"
rightsourceip="10.10.10.1"
#rightnexthop=%defaultroute
rightsubnet="10.10.10.0/24"

My current routing table on openswan server:
[FONT="Courier New"]root@openswan:~# netstat -rn
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
0.0.0.0         192.168.100.1   0.0.0.0         UG        0 0          0 eth0
10.10.10.0     192.168.100.1   255.255.255.0   UG        0 0          0 eth0
192.168.100.0   0.0.0.0         255.255.255.0   U         0 0          0 eth0[/FONT]

Shouldn't 10.10.10.0 point to the gateway 192.168.100.10, because the tunnel starts/ends here? 

[FONT="Courier New"]root@openswan:~# ip xfrm policy show
src 192.168.100.0/24 dst 10.10.10.0/24 
dir out priority 2344 
tmpl src 192.168.100.10 dst 1.1.1.1(


This thread was automatically locked due to age.
Parents
  • 0
    oh cool thanks for the ipsec command.
    I didn't know about the restart not affecting things..  not sure I trust that yet but I'll play with it.

    I would not use %ANY% for LEFT. But I would use this:
    left=
    leftid=
    right=
    rightid=%ANY%   to allow their NAT IP be whatever they want it to be without affecting the connection.

    Though I'm not an expert if it's RIGHTID or RIGHTSOURCEIP.
  • 0 in reply to coewar
    I would not use %ANY% for LEFT. But I would use this:
    left=
    leftid=
    right=
    rightid=%ANY%   to allow their NAT IP be whatever they want it to be without affecting the connection.


    Okay now I got it. 
    rightid and leftid are only the identifier used for IKE, you can put "@hostname.fqdn.com", "ip", "my@email.com". As far as I know you don't have to put existing hostnames or IPs here, but I read something about to better do so. Otherwise there might be some strange behavior.
     
    rightsourceip tells your ipsec from what ip the packets of the remote endpoint comes from, normally you don't need it. It is useful for strongswan/openswan behind NAT setups.

    rightid=%ANY% tells your local ipsec to accept any identifier the other side comes around. I'm not sure if this is working and you won't do this in a normal scenario, even more you should know about the remote identifier. For instance you can set "ONE" identifier for the astaro, and it will be used for "ALL" connections. Which is fine in most scenarios.

    If you want access to one or more subnets behind the VPN, you should put it in leftsubnet/rightsubnet on two or more configurations. Remember VPNs are cheap. Astaro clones the configuration in the config and put it togehter in the GUI. You will end up with S_REF_IpsAAAA_0 and S_REF_IpsAAAA_1.

    Just my 2 cents.
Reply
  • 0 in reply to coewar
    I would not use %ANY% for LEFT. But I would use this:
    left=
    leftid=
    right=
    rightid=%ANY%   to allow their NAT IP be whatever they want it to be without affecting the connection.


    Okay now I got it. 
    rightid and leftid are only the identifier used for IKE, you can put "@hostname.fqdn.com", "ip", "my@email.com". As far as I know you don't have to put existing hostnames or IPs here, but I read something about to better do so. Otherwise there might be some strange behavior.
     
    rightsourceip tells your ipsec from what ip the packets of the remote endpoint comes from, normally you don't need it. It is useful for strongswan/openswan behind NAT setups.

    rightid=%ANY% tells your local ipsec to accept any identifier the other side comes around. I'm not sure if this is working and you won't do this in a normal scenario, even more you should know about the remote identifier. For instance you can set "ONE" identifier for the astaro, and it will be used for "ALL" connections. Which is fine in most scenarios.

    If you want access to one or more subnets behind the VPN, you should put it in leftsubnet/rightsubnet on two or more configurations. Remember VPNs are cheap. Astaro clones the configuration in the config and put it togehter in the GUI. You will end up with S_REF_IpsAAAA_0 and S_REF_IpsAAAA_1.

    Just my 2 cents.
Children
No Data