hitman4021
Jan 20, 2014
view2626
view1
0
Goto Top

IPSec mit netkey zu klips

GermanQuestionLinux NetworkLinux
Hallo,

ich hätte mal wieder eine Frage an euch:

Und zwar habe ich an einem Außenstandort eine alte IPCop Firewall die nun mittels IPSec eine VPN Verbindung in die Zentrale aufbauen soll.
Außenstation: IPCop 1.4.21
Internes Subnetz: 192.168.120.0/24
Öffentliche IP: 199.xx.xx.xx

Zentrale: CentOS 6.x
Internes Subnetz (eth3.10): 192.168.11.0/24
Öffentliche IP: 200.xx.xx.xx

Der Tunnel hat zwar den Status offen allerdings bekomme ich keine Pakete durch.

Die Config der Zentrale ist:
config setup
        protostack=netkey
        nat_traversal=yes
        virtual_private=%v4:10.0.0.0/8,%v4:172.16.0.0/16

conn OUT
        authby=secret
        auto=start
        type=tunnel
        left=200.xx.xx.xx
        leftid=200.xx.xx.xx
        leftsubnet=192.168.11.0/24
        right=199.xx.xx.xx
        rightsubnet=192.168.120.0/24
        ike=aes128-sha1;modp1536
        phase2=esp
        phase2alg=aes128-sha1

Am Außenstand:
config setup
        interfaces="%defaultroute "  
        klipsdebug="none"  
        plutodebug="dns "  
        plutoload=%search
        plutostart=%search
        uniqueids=yes
        nat_traversal=yes
        virtual_private=%v4:10.0.0.0/8,%v4:172.16.0.0/12,%v4:192.168.0.0/16,%v4:!192.168.120.0/255.255.255.0,%v4:!192.168.11.0/255.255.255.0

conn %default
        keyingtries=0
        disablearrivalcheck=no

conn zentrale #RED
        left=199.xx.xx.xx
        leftnexthop=%defaultroute
        leftsubnet=192.168.120.0/255.255.255.0
        right=200.xx.xx.xx
        rightsubnet=192.168.11.0/255.255.255.0
        rightnexthop=%defaultroute
        ike=aes128-sha-modp1536,aes128-sha-modp1024,aes128-md5-modp1536,aes128-md5-modp1024,3des-sha-modp1536,3des-sha-modp1024,3des-md5-modp1536,3des-md5-modp1024
        esp=aes128-sha1,aes128-md5,3des-sha1,3des-md5
        ikelifetime=1h
        keylife=8h
        dpddelay=30
        dpdtimeout=120
        dpdaction=restart
        pfs=yes
        authby=secret
        auto=start

Die Iptables Regeln sehen so aus:
iptables -A INPUT -s 199.xx.xx.xx .j ACCEPT
iptables -A OUTPUT -s 199.xx.xx.xx .j ACCEPT
iptables -A FORWARD -s 192.168.120.0 -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.11.0/24 -j SNAT --to-source 200.xx.xx.xx

Ich bekomme nur leider von keiner Seite Daten (Ping, etc.) durch.

Kann mir hier bitte jemand helfen?

Grüße
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 227176

Url: https://administrator.de/contentid/227176

Printed on: April 19, 2024 at 21:04 o'clock

1 Comment
Goto Top
Member: aqui
aqui Jan 21, 2014 updated at 07:09:27 (UTC)
Goto Top
Was macht dich so sicher das der VPN Tunnel auch wirklich aktiv ist ?? Ein Log Auszug wäre da hilfreicher ob dem wirklich so ist ??
Wenn man dir glaubt kann es dann nur einzig an der Firewall bzw. deren falschen Regeln liegen.
Die iptables der Zentrale klingen schon komisch...
  • 199er Adressen kommen bei dir gar nicht vor ?
  • das 11er Netz wird zum 200er geNATet ?
Irgendwie hat das erstmal rein gar nichts mit deiner Anwendung zu tun !
Was für dich essentiell wichtig ist bei den Firewall Rules und zwar auf beiden Seiten ist:
  • Für IPsec müssen die Protokolle IKE (UDP 500), NAT-T (UDP 4500) und ESP (Rotokoll Nr.50) frei sein für den WAN Port des Zielsystems
  • Der Traffic 192.168.120.0 auf 192.168.11.0 und auch andersrum darf nicht geNATet werden muss also explizit in den Regeln aus dem NAT prozess ausgenommen werden ! Klar...intern im VPN will man nicht NATen !
  • Bedenke das die lokalen Firewalls aller Endgeräte in den lokalen Netzen Zugriffe auf sich von einer fremden Absender IP in der Regel immer blockieren. Für Zugriffe über das VPN musst du also entsprechende Regeln erstellen oder Ausnahmen anlegen. meist betrifft das auch das ICMP Protokoll (Ping)
Das sind die Grundregeln die zu zu beachten sind !
Den Rest erklären dir diese Forumstutorials:
IPsec VPNs einrichten mit Cisco, Mikrotik, pfSense Firewall, FritzBox, Smartphone sowie Shrew Client Software
und
IPSEC Protokoll - Einsatz, Aufbau, benötigte Ports und Begriffserläuterungen
Korrigier also deine Regeln oder deaktiviere sie mal temporär nur zum Test, dann kommt das auch zum Fliegen.
GermanQuestionLinux NetworkLinux
Hotly discussed
gleixnerdCheck of ZFW Firewallgleixnerd - 3 CommentsAlexWishaHow to set up and configure a Linux GRE tunnelAlexWisha - 3 CommentsjstrickerWIREGUARD VPN ON UDM PRO BEHIND FRITZBOX - HANDSHAKE DID NOT COMPLETEjstricker - 3 CommentsDaniEnd of Support dates for Office 2016, 2019 Apps und Productivity ServersDani - 1 Comment