The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"иногда долго устанавливается канал ipsec"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение [ Отслеживать ]

"иногда долго устанавливается канал ipsec"  
Сообщение от Billy (??) on 26-Фев-08, 13:42 
Добрый день!

FreeBSD 6.3
ipsec-tools-0.7

Поднимаю канал до другого офиса, FreeBSD выступает в качетсве сервера, на том конце стоит InJoy (http://www.fx.dk/firewall/) в качестве клиента, который я никак не могу мониторить (нет доступа), но соответственно договорились с их инженером что он установит параметры:
authentication method - pre_shared_key
encryption algorithm - 3DES
authentication algorithm - MD5
И в общем то все работает, только время от времени (после перезагрузки или потери связи) канал поднимается не 2-5 минут а минут 20-30.

Думаю что это как то с таймингами связано... Но что подкрутить никак не пойму.
--------------------------------------------------------------------------------
path pre_shared_key "/usr/local/etc/racoon/psk.txt";
log notify;
#log debug;
# "padding" defines some padding parameters.  You should not touch these.
padding
{
        maximum_length 20;      # maximum padding length.
        randomize off;          # enable randomize length.
        strict_check off;       # enable strict check.
        exclusive_tail off;     # extract last one octet.
}
listen
{
        isakmp xx.xx.xx.xx [500];
}
# Specify various default timers.
timer
{
        # These value can be changed per remote node.
        counter 5;              # maximum trying count to send.
        interval 20 sec;        # maximum interval to resend.
        persend 1;              # the number of packets per send.
        # maximum time to wait for completing each phase.
        phase1 30 sec;
        phase2 15 sec;
}
remote anonymous
{
        exchange_mode main,aggressive;
#       lifetime time 600 sec;
        doi ipsec_doi;
        situation identity_only;
        proposal {
                encryption_algorithm 3des;
                hash_algorithm md5;
                authentication_method pre_shared_key;
                dh_group 2 ;
        }
}
sainfo anonymous
{
#       pfs_group 2;
#       lifetime time 600 sec;
        encryption_algorithm 3des;
        authentication_algorithm hmac_md5;
        compression_algorithm deflate;

}
--------------------------------------------------------------------------------
Лог при "дебуг" пока не буду выкладывать, уж слишком длинный.

Высказать мнение | Ответить | Правка | Cообщить модератору

 Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "иногда долго устанавливается канал ipsec"  
Сообщение от pavel_simple (??) on 26-Фев-08, 13:58 
DPD не работает?
что тайминги закомментированны?
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "иногда долго устанавливается канал ipsec"  
Сообщение от Billy (??) on 26-Фев-08, 14:13 
>DPD не работает?

А что это такое? :-)

>что тайминги закомментированны?

Закомментированы по причине того что не представляю какие значения нужно устанавливать, думаю что если я закомментировал то "ракун" сам выставит значения которые по умолчанию (и которые по идее должны быть рабочими).

И еще на этот компьютер подключается еще один туннель (также туда нет доступа и я даже незнаю какая ОС там стоит) но с другим туннелем связь стабильно устанавливается 2-5 минут.


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "иногда долго устанавливается канал ipsec"  
Сообщение от pavel_simple (??) on 26-Фев-08, 14:15 
чтож -- ответы на ваши вопросы вы легко найдете в man racoon.conf и журналах racoon'а
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "иногда долго устанавливается канал ipsec"  
Сообщение от Billy (??) on 26-Фев-08, 15:31 
>чтож -- ответы на ваши вопросы вы легко найдете в man racoon.conf
>и журналах racoon'а

Я правильно понял что мне нужно рыть в сторону DPD?
Потому что из журналах "ракуна" я к сожалению пока не нашел куда же рыть, вот кстати подобная ситуация:
2008-02-26 18:27:31: ERROR: xx.xx.xx.xx give up to get IPsec-SA due to time up to wait.
2008-02-26 18:27:47: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#0:trns#0) = 1024-bit MODP group:1536-bit MODP group
2008-02-26 18:27:47: ERROR: rejected hashtype: DB(prop#1:trns#1):Peer(prop#0:trns#1) = MD5:SHA
2008-02-26 18:27:47: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#0:trns#1) = 1024-bit MODP group:1536-bit MODP group
2008-02-26 18:27:47: ERROR: rejected hashtype: DB(prop#1:trns#1):Peer(prop#0:trns#2) = MD5:SHA
2008-02-26 18:27:47: ERROR: no suitable proposal found.
2008-02-26 18:27:47: ERROR: failed to get valid proposal.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "иногда долго устанавливается канал ipsec"  
Сообщение от Billy (??) on 26-Фев-08, 15:33 
и после нескольких перезапусков "ракуна" туннель установится
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "иногда долго устанавливается канал ipsec"  
Сообщение от pavel_simple (??) on 26-Фев-08, 20:10 
>и после нескольких перезапусков "ракуна" туннель установится

2008-02-26 18:27:31: ERROR: xx.xx.xx.xx give up to get IPsec-SA due to time up to wait.
2008-02-26 18:27:47: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#0:trns#0) = 1024-bit MODP group:1536-bit MODP group
2008-02-26 18:27:47: ERROR: rejected hashtype: DB(prop#1:trns#1):Peer(prop#0:trns#1) = MD5:SHA
2008-02-26 18:27:47: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#0:trns#1) = 1024-bit MODP group:1536-bit MODP group
2008-02-26 18:27:47: ERROR: rejected hashtype: DB(prop#1:trns#1):Peer(prop#0:trns#2) = MD5:SHA
2008-02-26 18:27:47: ERROR: no suitable proposal found.
2008-02-26 18:27:47: ERROR: failed to get valid proposal.


нет -- не правильно -- во первых вам нужно на обеих сторонах согласовать все параметры аутентификации -- в данном конкретном случае -- на одной стороне md5 на другой sha и клучи разной длинны 1024 и 1536 бин соответственно

повторю ещё раз -- чтобы не решать данную проблкму методом @научного тыка@ рекомендую вдумчево прочитать man racoon.conf
удачи

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру