Добрый день!

FreeBSD 6.3
ipsec-tools-0.7

Поднимаю канал до другого офиса, FreeBSD выступает в качетсве сервера, на том конце стоит InJoy (http://www.fx.dk/firewall/) в качестве клиента, который я никак не могу мониторить (нет доступа), но соответственно договорились с их инженером что он установит параметры:
authentication method - pre_shared_key
encryption algorithm - 3DES
authentication algorithm - MD5
И в общем то все работает, только время от времени (после перезагрузки или потери связи) канал поднимается не 2-5 минут а минут 20-30.

Думаю что это как то с таймингами связано... Но что подкрутить никак не пойму.
--------------------------------------------------------------------------------
path pre_shared_key "/usr/local/etc/racoon/psk.txt";
log notify;
#log debug;
# "padding" defines some padding parameters.  You should not touch these.
padding
{
        maximum_length 20;      # maximum padding length.
        randomize off;          # enable randomize length.
        strict_check off;       # enable strict check.
        exclusive_tail off;     # extract last one octet.
}
listen
{
        isakmp xx.xx.xx.xx [500];
}
# Specify various default timers.
timer
{
        # These value can be changed per remote node.
        counter 5;              # maximum trying count to send.
        interval 20 sec;        # maximum interval to resend.
        persend 1;              # the number of packets per send.
        # maximum time to wait for completing each phase.
        phase1 30 sec;
        phase2 15 sec;
}
remote anonymous
{
        exchange_mode main,aggressive;
#       lifetime time 600 sec;
        doi ipsec_doi;
        situation identity_only;
        proposal {
                encryption_algorithm 3des;
                hash_algorithm md5;
                authentication_method pre_shared_key;
                dh_group 2 ;
        }
}
sainfo anonymous
{
#       pfs_group 2;
#       lifetime time 600 sec;
        encryption_algorithm 3des;
        authentication_algorithm hmac_md5;
        compression_algorithm deflate;

}
--------------------------------------------------------------------------------
Лог при "дебуг" пока не буду выкладывать, уж слишком длинный.

• иногда долго устанавливается канал ipsec,pavel_simple, 13:58 , 26-Фев-08
  • иногда долго устанавливается канал ipsec,Billy, 14:13 , 26-Фев-08
    • иногда долго устанавливается канал ipsec,pavel_simple, 14:15 , 26-Фев-08
      • иногда долго устанавливается канал ipsec,Billy, 15:31 , 26-Фев-08
        • иногда долго устанавливается канал ipsec,Billy, 15:33 , 26-Фев-08
          • иногда долго устанавливается канал ipsec,pavel_simple, 20:10 , 26-Фев-08

DPD не работает?
что тайминги закомментированны?

>DPD не работает?

А что это такое? :-)

>что тайминги закомментированны?

Закомментированы по причине того что не представляю какие значения нужно устанавливать, думаю что если я закомментировал то "ракун" сам выставит значения которые по умолчанию (и которые по идее должны быть рабочими).

И еще на этот компьютер подключается еще один туннель (также туда нет доступа и я даже незнаю какая ОС там стоит) но с другим туннелем связь стабильно устанавливается 2-5 минут.

чтож -- ответы на ваши вопросы вы легко найдете в man racoon.conf и журналах racoon'а

>чтож -- ответы на ваши вопросы вы легко найдете в man racoon.conf
>и журналах racoon'а

Я правильно понял что мне нужно рыть в сторону DPD?
Потому что из журналах "ракуна" я к сожалению пока не нашел куда же рыть, вот кстати подобная ситуация:
2008-02-26 18:27:31: ERROR: xx.xx.xx.xx give up to get IPsec-SA due to time up to wait.
2008-02-26 18:27:47: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#0:trns#0) = 1024-bit MODP group:1536-bit MODP group
2008-02-26 18:27:47: ERROR: rejected hashtype: DB(prop#1:trns#1):Peer(prop#0:trns#1) = MD5:SHA
2008-02-26 18:27:47: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#0:trns#1) = 1024-bit MODP group:1536-bit MODP group
2008-02-26 18:27:47: ERROR: rejected hashtype: DB(prop#1:trns#1):Peer(prop#0:trns#2) = MD5:SHA
2008-02-26 18:27:47: ERROR: no suitable proposal found.
2008-02-26 18:27:47: ERROR: failed to get valid proposal.

и после нескольких перезапусков "ракуна" туннель установится

>и после нескольких перезапусков "ракуна" туннель установится

2008-02-26 18:27:31: ERROR: xx.xx.xx.xx give up to get IPsec-SA due to time up to wait.
2008-02-26 18:27:47: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#0:trns#0) = 1024-bit MODP group:1536-bit MODP group
2008-02-26 18:27:47: ERROR: rejected hashtype: DB(prop#1:trns#1):Peer(prop#0:trns#1) = MD5:SHA
2008-02-26 18:27:47: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#0:trns#1) = 1024-bit MODP group:1536-bit MODP group
2008-02-26 18:27:47: ERROR: rejected hashtype: DB(prop#1:trns#1):Peer(prop#0:trns#2) = MD5:SHA
2008-02-26 18:27:47: ERROR: no suitable proposal found.
2008-02-26 18:27:47: ERROR: failed to get valid proposal.

нет -- не правильно -- во первых вам нужно на обеих сторонах согласовать все параметры аутентификации -- в данном конкретном случае -- на одной стороне md5 на другой sha и клучи разной длинны 1024 и 1536 бин соответственно

повторю ещё раз -- чтобы не решать данную проблкму методом @научного тыка@ рекомендую вдумчево прочитать man racoon.conf
удачи