7
IPSec IKE (raccoon) mit Draytec Vigor 2500 als Gegenstelle
Hallo,
ich möchte einen Tunnel zwischen zwei Locations machen. An der einen Location hab ich eine Vigor 2500, die PPTP aber auch IPSec unterstützt. PPTP ist kein Problem die Requirements schreiben aber IPSec vor. Ich hab ein Debian Gateway eingerichtet mit IPSec im Kernel, racoon und den ipsec-tools. Meine Verbindung wird aufgebaut allerdings werden keinerlei Daten übertragen.
Wireshark liefert zwar ISAKMP pakete und auch meine NAT-Traversals, leider aber keine enkapsulierten Pakete.
Hat jemand so eine Verbindung bereits eingerichtet und kann mir Hinweise geben, welche Optionen aktiviert werden müssen? Bei Bedarf kann ich die Konfigurationen liefern, sobald ich im Office bin
Danke und Grüße
Christoph
ich möchte einen Tunnel zwischen zwei Locations machen. An der einen Location hab ich eine Vigor 2500, die PPTP aber auch IPSec unterstützt. PPTP ist kein Problem die Requirements schreiben aber IPSec vor. Ich hab ein Debian Gateway eingerichtet mit IPSec im Kernel, racoon und den ipsec-tools. Meine Verbindung wird aufgebaut allerdings werden keinerlei Daten übertragen.
Wireshark liefert zwar ISAKMP pakete und auch meine NAT-Traversals, leider aber keine enkapsulierten Pakete.
Hat jemand so eine Verbindung bereits eingerichtet und kann mir Hinweise geben, welche Optionen aktiviert werden müssen? Bei Bedarf kann ich die Konfigurationen liefern, sobald ich im Office bin
Danke und Grüße
Christoph
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 115851
Url: https://administrator.de/contentid/115851
Printed on: April 26, 2024 at 12:04 o'clock
7 Comments
Latest comment
Du musst darauf achten das die racoon SW im ESP Modus arbeitet, was du aber vermutlich schon machst.
Was sagt denn das Racoon Log ???
Wenn du mit dem Sniffer keine IPsec ESP Pakete siehst hast du auch gar keinen aktiven IPsec Tunnel !!
Deine Aussage "...Meine Verbindung wird aufgebaut.." ist dann falsch bzw. es wäre hilfreich zu wissen woran du das denn erkennst wenn es keine ESP Pakete gibt !!!
Die Vigor Implementation supportet kein NAT Traversal, deshalb solltest du es erstmal ohne probieren.
Generell funktioniert die Racoon Implementation vollkommen problemlos auch mit anderen IPsec Endgeräten wie Cisco oder Draytek usw.
Ggf. hilft dir noch etwas dies Tutorial:
IPsec VPNs einrichten mit Cisco, Mikrotik, pfSense Firewall, FritzBox, Smartphone sowie Shrew Client Software
Was sagt denn das Racoon Log ???
Wenn du mit dem Sniffer keine IPsec ESP Pakete siehst hast du auch gar keinen aktiven IPsec Tunnel !!
Deine Aussage "...Meine Verbindung wird aufgebaut.." ist dann falsch bzw. es wäre hilfreich zu wissen woran du das denn erkennst wenn es keine ESP Pakete gibt !!!
Die Vigor Implementation supportet kein NAT Traversal, deshalb solltest du es erstmal ohne probieren.
Generell funktioniert die Racoon Implementation vollkommen problemlos auch mit anderen IPsec Endgeräten wie Cisco oder Draytek usw.
Ggf. hilft dir noch etwas dies Tutorial:
IPsec VPNs einrichten mit Cisco, Mikrotik, pfSense Firewall, FritzBox, Smartphone sowie Shrew Client Software
HI aqui,
Racoon log gibts später sobald ich im Office bin. Wireshark am wan meine Gateways "sieht keinerlei ESP" Pakete. Die Verbindung wird in sofern aufgebaut, dass ich in der Gegenstelle die eingehende Verbindung als established sehe. Ein Zeichen für mich, dass die Verbindung auf jeden Fall an der Gegenstelle terminiert wird.
Okay - allerdings funktioniert die Verbindung auch ohne NAT-Traversel nicht...
Grüße
Christoph
Racoon log gibts später sobald ich im Office bin. Wireshark am wan meine Gateways "sieht keinerlei ESP" Pakete. Die Verbindung wird in sofern aufgebaut, dass ich in der Gegenstelle die eingehende Verbindung als established sehe. Ein Zeichen für mich, dass die Verbindung auf jeden Fall an der Gegenstelle terminiert wird.
Okay - allerdings funktioniert die Verbindung auch ohne NAT-Traversel nicht...
Grüße
Christoph
Du müsstest aber in jedem Falle ESP Pakete sehen wenn du z.B. nur einen Ping ins entfernte Netz schickst, das ist Fakt !
Vermutlich ist dein Tunnel dann doch nicht wirklich aktiv oder die SAs stimmen nicht wegen falscher Maske, IP Netzadresse usw.
Hast du ggf. eine Firewall am Laufen wo du den ESP Tunnel noch freigeben musst ???
Das du keine ESP Pakete siehst sollte dich stutzig machen !
Vermutlich ist dein Tunnel dann doch nicht wirklich aktiv oder die SAs stimmen nicht wegen falscher Maske, IP Netzadresse usw.
Hast du ggf. eine Firewall am Laufen wo du den ESP Tunnel noch freigeben musst ???
Das du keine ESP Pakete siehst sollte dich stutzig machen !
Tut es ja auch, darum frag ich ja die Experten ;) Ich hab gestern ein paar Stunden nach den fehlenden ESP paketen gesucht aber keinen Schimmer warum die nicht kommen. Gelegentleich hab ich welche gesehen aber nicht viele und auf keinen Fall reproduzierbar...
Firewall hab ich auch schon überlegt aber der rest der Kommunikation (ISAKMP, NAT-T) kommt fehlerfrei durch...
Ich werde heute Abend noch mal eine Debug-Session machen und ein paar Logs posten.
Danke & Grüße
Christoph
Firewall hab ich auch schon überlegt aber der rest der Kommunikation (ISAKMP, NAT-T) kommt fehlerfrei durch...
Ich werde heute Abend noch mal eine Debug-Session machen und ein paar Logs posten.
Danke & Grüße
Christoph
Zitat von @aqui:
Du musst darauf achten das die racoon SW im ESP Modus arbeitet, was du
aber vermutlich schon machst.
Was sagt denn das Racoon Log ???
Wenn du mit dem Sniffer keine IPsec ESP Pakete siehst hast du auch
gar keinen aktiven IPsec Tunnel !!
Deine Aussage "...Meine Verbindung wird aufgebaut.."
ist dann falsch bzw. es wäre hilfreich zu wissen woran du das
denn erkennst wenn es keine ESP Pakete gibt !!!
Du musst darauf achten das die racoon SW im ESP Modus arbeitet, was du
aber vermutlich schon machst.
Was sagt denn das Racoon Log ???
Wenn du mit dem Sniffer keine IPsec ESP Pakete siehst hast du auch
gar keinen aktiven IPsec Tunnel !!
Deine Aussage "...Meine Verbindung wird aufgebaut.."
ist dann falsch bzw. es wäre hilfreich zu wissen woran du das
denn erkennst wenn es keine ESP Pakete gibt !!!
Es kommt bei mir auch vor, dass beim Zusammenspiel Draytek 2700 und IPSecuritas (racoon-basiert?) die IPSEC-Verbindung als 'aufgebaut' angezeigt wird, obwohl keine Verbindung besteht. Das 'funktioniert' bisweilen sogar ohne NW, hat dann also nichts mit Draytek zu tun.
Mhhh - hast du das bei dir dann inzwischen gefixt? Oder suchst du auch nach einer Lösung?
Lösung ist nur teilweise gelungen:
Ich habe ipsecuritas wieder entfernt, jetzt verwende ich auf Windows den von Draytek mitgelieferten 'smart' VPN-Client (ist nicht echt smart oder gar praktisch, aber er läuft wenigstens) und auf Macs den in OSX eingebauten L2TP/IPSEC Clients. Nachteil, und hier konnte mir bisher keiner helfen: Mein Draytek 2700 unterbricht nach exakt 3636 Sekunden die Verbindung, obwohl nirgends ein Timeout drinsteht.
Insgesamt läuft es so ganz gut, aber eben nicht perfekt.....
Ich habe ipsecuritas wieder entfernt, jetzt verwende ich auf Windows den von Draytek mitgelieferten 'smart' VPN-Client (ist nicht echt smart oder gar praktisch, aber er läuft wenigstens) und auf Macs den in OSX eingebauten L2TP/IPSEC Clients. Nachteil, und hier konnte mir bisher keiner helfen: Mein Draytek 2700 unterbricht nach exakt 3636 Sekunden die Verbindung, obwohl nirgends ein Timeout drinsteht.
Insgesamt läuft es so ganz gut, aber eben nicht perfekt.....