Guest User!

You are not Sophos Staff.

This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

[9.105-9] Ipsec Site-to-Site connection can't be established automatically

Hello,

i have a problem with a Site-to-Site IPSec tunnel between an UTM220 and a Netscreen/Juniper NS-5GT.
When the tunnel ist established, it runs for 24 hours, then PPPoE connection on the Juniper/Netscreen side is disconnected by the ISP and reconnected immediately.
but the IPSec tunnel doesn't come up automatically again. To establish the tunnel again I have to deactivate it on the UTM220 in Site-to-Site IPSec section, 
wait for 10 minutes and turn it on again, then the tunnel is established immediately.

NAT-T and DPD is enabled on both sides and the UTM220 is running on version 9.105-9.

Here is a part of the UTM220 log-file:

2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1297: DPD: No response from peer - declaring peer dead
2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1297: DPD: Restarting all connections of peer
2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1297: DPD: Terminating all SAs using this connection
2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1319: deleting state (STATE_QUICK_I2)
2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: id="2204" severity="info" sys="SecureNet" sub="vpn" event="Site-to-site VPN down" variant="ipsec" connection="REF_IpsSitVpn1" address="" local_net="" remote_net=""
2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1297: deleting state (STATE_MAIN_I4)
2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: DPD: Restarting connection "S_REF_IpsSitVpn1_0"
2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1323: initiating Main Mode

2013:09:18-04:36:21 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1323: max number of retransmissions (20) reached STATE_MAIN_I1.  No response (or no acceptable response) to our first IKE message
2013:09:18-04:36:21 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1323: starting keying attempt 2 of an unlimited number
2013:09:18-04:36:21 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1325: initiating Main Mode to replace #1323

2013:09:18-04:49:32 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1325: max number of retransmissions (20) reached STATE_MAIN_I1.  No response (or no acceptable response) to our first IKE message
2013:09:18-04:49:32 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1325: starting keying attempt 3 of an unlimited number
2013:09:18-04:49:32 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1327: initiating Main Mode to replace #1325


Here are a part of the Juniper/Netscreen log-file:


2013-09-18 04:28:02   system   info  00536  IKE   Phase 1: Initiated negotiations in main mode.
2013-09-18 04:27:49   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.
2013-09-18 04:27:26   system   info  00536  IKE DPD found peer at  not responding.
2013-09-18 04:27:02   system   info  00536  IKE : Added Phase 2 session tasks to the task list.
2013-09-18 04:27:01   system   info  00536  IKE  Phase 1: Responder starts MAIN mode negotiations.
2013-09-18 04:26:29   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.
2013-09-18 04:26:02   system   info  00536  IKE : Added Phase 2 session tasks to the task list.
2013-09-18 04:25:41   system   info  00536  IKE  Phase 1: Responder starts MAIN mode negotiations.
2013-09-18 04:25:10   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.
2013-09-18 04:25:09   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.
2013-09-18 04:25:02   system   info  00536  IKE : Added Phase 2 session tasks to the task list.
2013-09-18 04:24:23   system   info  00536  IKE DPD found peer at  not responding.
2013-09-18 04:24:22   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022ba1e8) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022bab30) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022b98a0) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022b9d44) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022b60f0) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:0424d958) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:0424e2a0) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:0424ebe8) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:0424f530) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:0424fe78) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:042507c0) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04251108) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04251a50) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04252398) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04252ce0) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04253628) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04253f70) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:042548b8) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04255200) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022da7ac) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022db0f4) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022dba3c) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022dc384) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022dcccc) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022dd614) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022b5c4c) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022de400) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022ded48) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022df690) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022dffd8) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022e0920) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022e1268) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022e1bb0) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025ed51c) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025ede64) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025ee7ac) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025ef0f4) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025efa3c) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f0384) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f0ccc) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f1614) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f1f5c) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f28a4) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f31ec) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f3b34) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f447c) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022b816c) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022b8f58) was removed due to a simultaneous rekey.
2013-09-18 04:24:21   system   info  00536  IKE  Phase 1: Responder starts MAIN mode negotiations.
2013-09-18 04:24:21   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:21   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.
2013-09-18 04:24:20   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:20   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.
2013-09-18 04:24:19   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:18   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:17   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:16   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:15   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:14   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:13   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:12   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:11   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:10   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:09   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:08   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:07   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:06   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:05   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:04   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:03   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:02   system   info  00536  IKE : Added Phase 2 session tasks to the task list.
2013-09-18 04:24:02   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:01   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:24:00   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:59   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:59   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.
2013-09-18 04:23:58   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:57   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:56   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:55   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:54   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:53   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:52   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:51   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:50   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:49   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:48   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:47   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:46   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:45   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:44   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:43   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:42   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:41   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:40   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:39   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:38   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:37   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:36   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:35   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:34   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:33   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:32   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.
2013-09-18 04:23:10   system   info  00536  IKE  Phase 1: Responder starts MAIN mode negotiations.


Has anyone an idea what the problem could be?

Thanks for your efforts.

- pro_mrjetter -


This thread was automatically locked due to age.
Parents
  • 2013:10:20-22:02:26 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnB_0" #7822: initiating Main Mode

    I just realized that you deleted the lines that came after that in the 220, and that the 120 log lines aren't from the same connection attempt.  Please show the other lines from the 220 log after the one above and the corresponding lines from the 120 log.

    What do you mean by a failover to slave? Isn't it all the same if I use the one or the other?

    Yes, but this would help to eliminate the possibility of a hardware problem.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • Hi Bob,

    thanks for your reply.


    2013:10:20-22:02:26 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnB_0" #7822: initiating Main Mode
    I just realized that you deleted the lines that came after that in the 220


    Yes that's right I cut off the parts from the other VPN connections, which currently run fine. But it's no problem to post that info, too.

    So here we go, I attached the 220 log from the position you mentioned till the position connection B came up and the log from the 120 at the same time.

    As You can see, there are the VPN connections C ,D and E, which currently run fine. The only one which didn't come up again is connection B.
Reply
  • Hi Bob,

    thanks for your reply.


    2013:10:20-22:02:26 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnB_0" #7822: initiating Main Mode
    I just realized that you deleted the lines that came after that in the 220


    Yes that's right I cut off the parts from the other VPN connections, which currently run fine. But it's no problem to post that info, too.

    So here we go, I attached the 220 log from the position you mentioned till the position connection B came up and the log from the 120 at the same time.

    As You can see, there are the VPN connections C ,D and E, which currently run fine. The only one which didn't come up again is connection B.
Children
  • And here comes line 1 - 120 of the 220 daily log (2013/10/21):


    13:10:21-00:00:19 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnE_0" #7841: initiating Quick Mode PSK+ENCRYPT+TUNNEL+PFS+UP to replace #7834 {using isakmp#7791}
    2013:10:21-00:00:19 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnE_0" #7841: sent QI2, IPsec SA established {ESP=>0xf80f45c7 0x79c36dde 0x57735fa2 0x79c36e03 0xf9567e8c 0x79c36e2a 0x55d20f42 0x79c36e52 0xea70fc43 '
    2013:10:21-01:35:34 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnE_0" #7858: Dead Peer Detection (RFC 3706) enabled
    2013:10:21-01:35:34 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnE_0" #7858: ISAKMP SA established
    2013:10:21-01:44:21 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnD_0" #7859: initiating Quick Mode PSK+ENCRYPT+TUNNEL+PFS+UP to replace #7855 {using isakmp#7795}
    2013:10:21-01:44:21 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnD_0" #7859: sent QI2, IPsec SA established {ESP=>0x79c36e75 '
    2013:10:21-02:01:00 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnD_0" #7862: Dead Peer Detection (RFC 3706) enabled
    2013:10:21-02:01:00 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnD_0" #7862: ISAKMP SA established
    2013:10:21-02:01:37 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7863: initiating Quick Mode PSK+ENCRYPT+TUNNEL+PFS+UP to replace #7853 {using isakmp#7803}
    2013:10:21-02:01:38 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7863: ignoring informational payload, type IPSEC_RESPONDER_LIFETIME
    2013:10:21-02:01:38 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7863: sent QI2, IPsec SA established {ESP=>0x8551f9c4 0x79c36e99 0xb34e3dcc 0x79c36ec0 0x98d461dc 0x79c36ee3 '
    2013:10:21-02:57:06 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7873: Dead Peer Detection (RFC 3706) enabled
    2013:10:21-02:57:06 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7873: ISAKMP SA established
    2013:10:21-02:57:09 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7873: discarding duplicate packet; already STATE_MAIN_I4
    2013:10:21-02:57:12 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7873: discarding duplicate packet; already STATE_MAIN_I4
    2013:10:21-02:57:15 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7873: discarding duplicate packet; already STATE_MAIN_I4
    2013:10:21-02:59:06 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnD_0" #7862: ignoring Delete SA payload: PROTO_IPSEC_ESP SA(0x79c36ec0) not found (maybe expired)
    2013:10:21-03:05:04 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnE_0" #7874: initiating Quick Mode PSK+ENCRYPT+TUNNEL+PFS+UP to replace #7866 {using isakmp#7858}
    2013:10:21-03:05:04 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnE_0" #7874: sent QI2, IPsec SA established {ESP=>0xbcbb3c8a 
  • ... I forgot to attach the files, sorry. [:$]

    So here they are.

    Hope this helps, if you need more information, just tell me.

    Thanks for your help.

    - pro_mrjetter -
    UTM220-log.zip