Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 20 replies
  • Subscribers 1 subscriber
  • Views 35675 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

[9.105-9] Ipsec Site-to-Site connection can't be established automatically

pro_mrjetter
Hello,

i have a problem with a Site-to-Site IPSec tunnel between an UTM220 and a Netscreen/Juniper NS-5GT.
When the tunnel ist established, it runs for 24 hours, then PPPoE connection on the Juniper/Netscreen side is disconnected by the ISP and reconnected immediately.
but the IPSec tunnel doesn't come up automatically again. To establish the tunnel again I have to deactivate it on the UTM220 in Site-to-Site IPSec section, 
wait for 10 minutes and turn it on again, then the tunnel is established immediately.

NAT-T and DPD is enabled on both sides and the UTM220 is running on version 9.105-9.

Here is a part of the UTM220 log-file: 

2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1297: DPD: No response from peer - declaring peer dead

2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1297: DPD: Restarting all connections of peer

2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1297: DPD: Terminating all SAs using this connection

2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1319: deleting state (STATE_QUICK_I2)

2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: id="2204" severity="info" sys="SecureNet" sub="vpn" event="Site-to-site VPN down" variant="ipsec" connection="REF_IpsSitVpn1" address="" local_net="" remote_net=""

2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1297: deleting state (STATE_MAIN_I4)

2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: DPD: Restarting connection "S_REF_IpsSitVpn1_0"

2013:09:18-04:23:11 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1323: initiating Main Mode



2013:09:18-04:36:21 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1323: max number of retransmissions (20) reached STATE_MAIN_I1.  No response (or no acceptable response) to our first IKE message

2013:09:18-04:36:21 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1323: starting keying attempt 2 of an unlimited number

2013:09:18-04:36:21 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1325: initiating Main Mode to replace #1323



2013:09:18-04:49:32 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1325: max number of retransmissions (20) reached STATE_MAIN_I1.  No response (or no acceptable response) to our first IKE message

2013:09:18-04:49:32 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1325: starting keying attempt 3 of an unlimited number

2013:09:18-04:49:32 SOPHOS-UTM220 pluto[6772]: "S_REF_IpsSitVpn1_0" #1327: initiating Main Mode to replace #1325


Here are a part of the Juniper/Netscreen log-file: 


2013-09-18 04:28:02   system   info  00536  IKE   Phase 1: Initiated negotiations in main mode.

2013-09-18 04:27:49   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.

2013-09-18 04:27:26   system   info  00536  IKE DPD found peer at  not responding.

2013-09-18 04:27:02   system   info  00536  IKE : Added Phase 2 session tasks to the task list.

2013-09-18 04:27:01   system   info  00536  IKE  Phase 1: Responder starts MAIN mode negotiations.

2013-09-18 04:26:29   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.

2013-09-18 04:26:02   system   info  00536  IKE : Added Phase 2 session tasks to the task list.

2013-09-18 04:25:41   system   info  00536  IKE  Phase 1: Responder starts MAIN mode negotiations.

2013-09-18 04:25:10   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.

2013-09-18 04:25:09   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.

2013-09-18 04:25:02   system   info  00536  IKE : Added Phase 2 session tasks to the task list.

2013-09-18 04:24:23   system   info  00536  IKE DPD found peer at  not responding.

2013-09-18 04:24:22   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022ba1e8) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022bab30) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022b98a0) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022b9d44) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022b60f0) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:0424d958) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:0424e2a0) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:0424ebe8) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:0424f530) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:0424fe78) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:042507c0) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04251108) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04251a50) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04252398) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04252ce0) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04253628) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04253f70) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:042548b8) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:04255200) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022da7ac) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022db0f4) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022dba3c) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022dc384) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022dcccc) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022dd614) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022b5c4c) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022de400) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022ded48) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022df690) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022dffd8) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022e0920) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022e1268) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022e1bb0) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025ed51c) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025ede64) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025ee7ac) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025ef0f4) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025efa3c) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f0384) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f0ccc) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f1614) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f1f5c) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f28a4) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f31ec) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f3b34) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:025f447c) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022b816c) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE : Phase 1 SA (my cookie:022b8f58) was removed due to a simultaneous rekey.

2013-09-18 04:24:21   system   info  00536  IKE  Phase 1: Responder starts MAIN mode negotiations.

2013-09-18 04:24:21   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:21   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.

2013-09-18 04:24:20   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:20   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.

2013-09-18 04:24:19   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:18   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:17   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:16   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:15   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:14   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:13   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:12   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:11   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:10   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:09   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:08   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:07   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:06   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:05   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:04   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:03   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:02   system   info  00536  IKE : Added Phase 2 session tasks to the task list.

2013-09-18 04:24:02   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:01   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:24:00   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:59   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:59   system   info  00536  IKE  Phase 1: Retransmission limit has been reached.

2013-09-18 04:23:58   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:57   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:56   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:55   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:54   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:53   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:52   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:51   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:50   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:49   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:48   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:47   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:46   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:45   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:44   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:43   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:42   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:41   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:40   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:39   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:38   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:37   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:36   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:35   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:34   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:33   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:32   system   info  00536  IKE  Phase 1: Initiated negotiations in main mode.

2013-09-18 04:23:10   system   info  00536  IKE  Phase 1: Responder starts MAIN mode negotiations.


Has anyone an idea what the problem could be?

Thanks for your efforts.

- pro_mrjetter -


This thread was automatically locked due to age.
  • 0 in reply to BAlfson
    Hi Bob,

    thanks for your reply.


    2013:10:20-22:02:26 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnB_0" #7822: initiating Main Mode
    I just realized that you deleted the lines that came after that in the 220


    Yes that's right I cut off the parts from the other VPN connections, which currently run fine. But it's no problem to post that info, too.

    So here we go, I attached the 220 log from the position you mentioned till the position connection B came up and the log from the 120 at the same time.

    As You can see, there are the VPN connections C ,D and E, which currently run fine. The only one which didn't come up again is connection B.
  • 0 in reply to pro_mrjetter
    And here comes line 1 - 120 of the 220 daily log (2013/10/21): 


    13:10:21-00:00:19 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnE_0" #7841: initiating Quick Mode PSK+ENCRYPT+TUNNEL+PFS+UP to replace #7834 {using isakmp#7791}

    2013:10:21-00:00:19 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnE_0" #7841: sent QI2, IPsec SA established {ESP=>0xf80f45c7 0x79c36dde 0x57735fa2 0x79c36e03 0xf9567e8c 0x79c36e2a 0x55d20f42 0x79c36e52 0xea70fc43 '

    2013:10:21-01:35:34 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnE_0" #7858: Dead Peer Detection (RFC 3706) enabled

    2013:10:21-01:35:34 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnE_0" #7858: ISAKMP SA established

    2013:10:21-01:44:21 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnD_0" #7859: initiating Quick Mode PSK+ENCRYPT+TUNNEL+PFS+UP to replace #7855 {using isakmp#7795}

    2013:10:21-01:44:21 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnD_0" #7859: sent QI2, IPsec SA established {ESP=>0x79c36e75 '

    2013:10:21-02:01:00 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnD_0" #7862: Dead Peer Detection (RFC 3706) enabled

    2013:10:21-02:01:00 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnD_0" #7862: ISAKMP SA established

    2013:10:21-02:01:37 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7863: initiating Quick Mode PSK+ENCRYPT+TUNNEL+PFS+UP to replace #7853 {using isakmp#7803}

    2013:10:21-02:01:38 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7863: ignoring informational payload, type IPSEC_RESPONDER_LIFETIME

    2013:10:21-02:01:38 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7863: sent QI2, IPsec SA established {ESP=>0x8551f9c4 0x79c36e99 0xb34e3dcc 0x79c36ec0 0x98d461dc 0x79c36ee3 '

    2013:10:21-02:57:06 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7873: Dead Peer Detection (RFC 3706) enabled

    2013:10:21-02:57:06 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7873: ISAKMP SA established

    2013:10:21-02:57:09 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7873: discarding duplicate packet; already STATE_MAIN_I4

    2013:10:21-02:57:12 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7873: discarding duplicate packet; already STATE_MAIN_I4

    2013:10:21-02:57:15 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnC_0" #7873: discarding duplicate packet; already STATE_MAIN_I4

    2013:10:21-02:59:06 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnD_0" #7862: ignoring Delete SA payload: PROTO_IPSEC_ESP SA(0x79c36ec0) not found (maybe expired)

    2013:10:21-03:05:04 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnE_0" #7874: initiating Quick Mode PSK+ENCRYPT+TUNNEL+PFS+UP to replace #7866 {using isakmp#7858}

    2013:10:21-03:05:04 PRO-SOPHOS-UTM220-2 pluto[6772]: "S_REF_IpsSitVpnE_0" #7874: sent QI2, IPsec SA established {ESP=>0xbcbb3c8a 
  • 0 in reply to pro_mrjetter
    ... I forgot to attach the files, sorry. [:$]

    So here they are.

    Hope this helps, if you need more information, just tell me.

    Thanks for your help.

    - pro_mrjetter -
    UTM220-log.zip
  • 0
    It looks like the two UTMs have two minutes difference in time, but that shouldn't affect this.  It also looks like the 120 is continuing after reaching Main Mode, but that the 220 doesn't.  It might be worth deleting the IPsec Connection and Remote Gateway in the 220 and then re-creating them.  Any luck with that?

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    Is you PPPOE connection DHCP? If so, you might want to review this info that i found that may be relevent..

    After inactivity, a PPPoE link may be renegotiated and the client may receive a new IP address. This can cause IKE VPNs to work intermittently because IKE uses the source IP address for identification purposes during phase 1 negotiation.
     
    For example, if both ends of a VPN negotiate a phase 1 lifetime of 28800 seconds (8 hours), the source IP used during this negotiation will be the only valid source IP for the lifetime of the SA. In this case, if the PPPoE client was forced to renegotiate a new IP address (because of inactivity), any subsequent IKE initiations from the PPPoE client would fail until either the SA expired or until the IP address of the PPPoE client changed back to what it was when the SA was originally negotiated.
     
    One workaround would be to create a custom phase 1 proposal with a short duration (i.e. 5 minutes). This would cause the phase 1 SA's to be renegotiated every five minutes, assuring no more than 5 minutes downtime.
  • 0
    @Bob:
    Thanks for your approach, I deleted and recreated the IPSec connection in the 220, but nothing has changed.

    @PMD:
    Thanks for your approach, too. The PPPoE connection does not use DHCP it has a static IP address. But never the less I will try to shorten the lifetime of the IKE phase 1. Let's see what will happen.
  • 0
    Another idea if this isn't fixed by PMD's suggestion.  Replace the Remote Gateway definition in the 120 with one in "Respond Only" (forces it to wait for the 220 to call it) to see if the behavior in the two log files changes after the "Main Mode" message.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    Hi,

    after 2 weeks of vacation and several other problems at work that wanted to be resolved, I would like to give you an update on the IPSec connection problem.

    It's unbelievable, but I could solve the problem by updating the firmware of the PPPoE modem (Zyxel). I don't know why I haven't already thought of it before.

    After the update the IPSec connection aborts immediately were gone.

    Thank you very much for your help and support in solving the problem.

    This is really a great forum!

    - pro_mrjetter -
  • 0
    Hi pro_mrjetter,

    I´ve a problem, pretty similiar to yours (https://community.sophos.com/products/unified-threat-management/astaroorg/f/58/t/55659)

    I´m interested in, what type of modem you´re using? And what was the firmware before and after the upgrade? We´re using VMG-1312, don´t know the exact model (B10a or B30a)

    Every day after ADSL Reconnect, the tunnels are all down, until I restart all the vpns manually.


    Ciao
    Sebastian
  • 0
    Problem solved. We are using and a Zyxel B30a. Now we installed firmware VMG1312-B30A_1.00(AATO.1)C0.zip and everything works fine.
Unfiltered HTML