Forum Debian Users Gang

neomammut · 2013-09-11 10:34:06

Witam.
Mam problem z konfiguracją drugiego tunelu IPSec/Racoon. W pliku ipsec-tools.conf dopisałem drugą konfigurację innej sieci i dostaje w logach coś takiego:

Kod:

check and compare ids : value mismatch (IPv4_address)

Konfiguracja ipsec-tools.conf wygląda tak:

Kod:

flush;
spdflush;

spdadd 192.168.254.0/24 162.16.4.50/32 any -P out ipsec
        esp/tunnel/88.204.10.243-61.213.38.21/require;
spdadd 162.16.4.50/32 192.168.254.0/24 any -P in ipsec
        esp/tunnel/61.213.38.21-88.204.10.243/require;



spdadd 192.168.254.0/24 183.9.121.0/24 any -P out ipsec
        esp/tunnel/88.204.10.244-183.9.121.190/require;
spdadd 183.9.121.0/24 192.168.254.0/24 any -P in ipsec
        esp/tunnel/183.9.121.190-87.204.10.244/require;

W takim razie jak powinienem wpisać drugą sieć?

Z góry dziękuję za pomoc.

Jacekalex · 2013-09-11 10:43:08

Spróbuj Strongswana:
http://www.strongswan.org/testresults4.html

To chyba jedyny serwer/klient IPSEC, który nie jest dużo trudniejszy od OpenVPN i SSH.

neomammut · 2013-09-11 10:47:17

Już uruchomiłem ipsec-tools/racoon, więc nie mam zamiaru teraz zmieniać całej konfiguracji. Konfiguracja nie jest trudna, tylko akurat tutaj wywalił mi taki błąd i nie wiem co jest grane.

Jacekalex · 2013-09-11 10:53:17

W takim razie miej logi i patrzaj w logi.
Jak coś się nie łączy, to w syslogu, messages, albo innym pliku logu powinny być informacje o błędach.

Zainteresuj się też tymi opcjami racoona:

Kod:

     -v      The flag causes the packet dump be more verbose, with higher
             debugging level.

     -d      Increase the debug level.  Multiple -d will increase the debug
             level even more.

[url]http://www.linuxcommand.org/man_pages/racoon8.html[/url]

W trybie verbose/debug powinieneś wytargać dokładniejszą przyczynę problemu (bardziej szczegółowy opis przyczyny).

Ostatnio edytowany przez Jacekalex (2013-09-11 10:56:04)

neomammut · 2013-09-11 12:29:21

Dzięki Jacekalex za odpowiedź. Login mam ustawione na debug2.

W logach mam jeszcze coś takiego, wcześniej nie zauważyłem:

Kod:

cmpid target: '192.168.254.0/24'
cmpid source: '192.168.254.0/24'

Czyli jednak racoon coś źle interpretuje. Choćniby jak mam to inaczej napisać.... :/

Ostatnio edytowany przez neomammut (2013-09-11 12:29:49)

Jacekalex · 2013-09-11 12:34:47

http://www.przybytek.net/download/2.4routing.pdf
W tym tutku masz niezły opis Ipseca.

Tak na oko, to chyba na obu końcach tunelu masz to samo IP.
Ale na oko, bo racoona nigdy w życiu nie musiałem stawiać.

Masz to z resztą napisane w logu.

Ostatnio edytowany przez Jacekalex (2013-09-11 12:35:29)

hello_world · 2013-09-11 12:59:53

Czy adres 183.9.121.0/24 należy do klasy prywatnej?

neomammut · 2013-09-11 14:08:03

Nie, jest to klasa PI.

hello_world · 2013-09-11 14:24:36

A czy nie ma to być w taki deseń tylko analogicznie do twojej adresacji?

   ======= ESP =======
   | |
   Network-A Gateway-A Gateway-B Network-B
   10.0.1.0/24 ---- 172.16.0.1 ------ 172.16.0.2 ---- 10.0.2.0/24

Configuration at Gateway-A:

# setkey -c <<EOF
spdadd 10.0.1.0/24 10.0.2.0/24 any -P out ipsec
esp/tunnel/172.16.0.1-172.16.0.2/require ;
spdadd 10.0.2.0/24 10.0.1.0/24 any -P in ipsec
esp/tunnel/172.16.0.2-172.16.0.1/require ;

Tunnel end points must be defined.

and at Gateway-B:

# setkey -c <<EOF
spdadd 10.0.2.0/24 10.0.1.0/24 any -P out ipsec
esp/tunnel/172.16.0.2-172.16.0.1/require ;
spdadd 10.0.1.0/24 10.0.2.0/24 any -P in ipsec
esp/tunnel/172.16.0.1-172.16.0.2/require ;

neomammut · 2013-09-11 14:42:42

Chcesz powiedzieć hello_world, że jeśli jest VPN site-to-site to musi być adresacja wewnętrzna użyta - inaczej będą się robić takie jaja, że racoon będzie wariował? To jest przyczyna?

Jacekalex · 2013-09-11 15:03:03

W każdym VPNie spinasz dwie sieci prywatne przez tunel, gdzie końcówki tunelu mają publiczne adresy IP.
W przykładzie powyżej, na schemacie jest to wręcz narysowane.
Po każdej stronie tunelu może być jeden host lub cała sieć o adresacji lokalnej.

Tu masz przykład ze Strongswana z pokazaną adresacją:
http://www.strongswan.org/uml/testresults4/ikev2/double-nat/index.html

Ostatnio edytowany przez Jacekalex (2013-09-11 15:08:08)

hello_world · 2013-09-11 15:12:33

Tak, jeżeli chcesz się łączyć z sieci lokalnej bramyA do sieci lokalnej bramyB to musisz wskazać sieci lokalne w configu
Tutaj masz trochę opisane:
http://www.kame.net/newsletter/20001119/

Ale tak jak Jacealex proponuję Strongswana lub Openswana obydwa żyją.
Jeśli nie dasz rady spiąć to spróbuj takie coś jak IPFire
Tam się po prostu wszystko wyklikuje i naprawdę to fajnie działa. A działa tam Strongswan

Ostatnio edytowany przez hello_world (2013-09-11 15:18:48)

neomammut · 2013-09-11 15:36:51

Ogólnie wiem jak postawić VPN`a, ale nie wiedziałem, że to muszą być adresy prywatne. Dzięki Panowie za rozwiązanie, poinformuję, czy to to.

Jacekalex · 2013-09-11 16:01:01

Ja raz stawiałem Ipseca miedzy dwoma biurami, z Racoonem się certoliłem 3 dni, i nie działał, przekopałem całe Google i Wiki,
i dooopa.
Strongswan zaczął działać od razu, skopiowałem z wiki konfigi, zmieniłem IPki, potem w jednym biurze zainstalowałem, po ssh to samo w drugim biurze, za godzinkę zaczęło działać.

Najwięcej zabawy było z generowaniem certyfikatów, ale to też żadna magia, miałem praktykę z OpenVPN (który moim zdaniem jest najlepszym rozwiązaniem).

Ostatnio edytowany przez Jacekalex (2013-09-11 16:16:44)

jurgensen · 2013-09-11 18:44:44

Sposób tworzenia tunelu zależy od tego, co chcesz osiągnąć i na podstawie tego należy wybrać odpowiedni tryb w IPSec. Możemy zabezpieczyć wyłącznie połączenie pomiędzy dwoma hostami i wtedy możemy użyć trybu transportowego. Jeśli chcemy natomiast połączyć dwie sieci prywatne, powinniśmy użyć trybu tunelowego i wtedy możemy użyć adresów prywatnych.

Time (s)	Query
0.00011	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00060	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.144.2.5' WHERE u.id=1
0.00066	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.144.2.5', 1732863227)
0.00022	SELECT * FROM punbb_online WHERE logged<1732862927
0.00072	SELECT topic_id FROM punbb_posts WHERE id=240622
0.00195	SELECT id FROM punbb_posts WHERE topic_id=24224 ORDER BY posted
0.00049	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=24224 AND t.moved_to IS NULL
0.00032	SELECT search_for, replace_with FROM punbb_censoring
0.00059	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=24224 ORDER BY p.id LIMIT 0,25
0.00114	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=24224
Total query time: 0.00684 s

Forum Debian Users Gang

Ogłoszenie

#1 2013-09-11 10:34:06

neomammut - Użytkownik

VPN IPSec/Racoon - dwie sieci

Kod:

Kod:

#2 2013-09-11 10:43:08

Jacekalex - Podobno człowiek...;)

Re: VPN IPSec/Racoon - dwie sieci

#3 2013-09-11 10:47:17

neomammut - Użytkownik

Re: VPN IPSec/Racoon - dwie sieci

#4 2013-09-11 10:53:17

Jacekalex - Podobno człowiek...;)

Re: VPN IPSec/Racoon - dwie sieci

Kod:

#5 2013-09-11 12:29:21

neomammut - Użytkownik

Re: VPN IPSec/Racoon - dwie sieci

Kod:

#6 2013-09-11 12:34:47

Jacekalex - Podobno człowiek...;)

Re: VPN IPSec/Racoon - dwie sieci

#7 2013-09-11 12:59:53

hello_world - Członek DUG

Re: VPN IPSec/Racoon - dwie sieci

#8 2013-09-11 14:08:03

neomammut - Użytkownik

Re: VPN IPSec/Racoon - dwie sieci

#9 2013-09-11 14:24:36

hello_world - Członek DUG

Re: VPN IPSec/Racoon - dwie sieci

#10 2013-09-11 14:42:42

neomammut - Użytkownik

Re: VPN IPSec/Racoon - dwie sieci

#11 2013-09-11 15:03:03

Jacekalex - Podobno człowiek...;)

Re: VPN IPSec/Racoon - dwie sieci

#12 2013-09-11 15:12:33

hello_world - Członek DUG

Re: VPN IPSec/Racoon - dwie sieci

#13 2013-09-11 15:36:51

neomammut - Użytkownik

Re: VPN IPSec/Racoon - dwie sieci

#14 2013-09-11 16:01:01

Jacekalex - Podobno człowiek...;)

Re: VPN IPSec/Racoon - dwie sieci

#15 2013-09-11 18:44:44

jurgensen - Użytkownik

Re: VPN IPSec/Racoon - dwie sieci

Stopka forum

Informacje debugowania