URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 81616
[ Назад ]
Исходное сообщение
"Не устанавливаются ipsec manual keys/policies в FreeBSD"
Отправлено JVS , 19-Авг-08 15:43 
Например результат выполнения команды /etc/netstart выводит следующие сообщения:

Installing ipsec manual keys/policies.
The result of line 3: No SAD entries.

Из за этого не поднимается vpn. :) Из за чего не уст-ся ключи?

Содержание
Сообщения в этом обсуждении
"Не устанавливаются ipsec manual keys/policies в FreeBSD"
Отправлено Сергей , 19-Авг-08 19:09 
ipsec.conf в студию...
"Не устанавливаются ipsec manual keys/policies в FreeBSD"
Отправлено JVS , 20-Авг-08 10:15 
>ipsec.conf в студию...

Ставлю vpn между cisco pix5E и freebsd 7...
Файл /etc/ipsec.conf

flush;
spdflush;

spdadd 192.168.2.0/24 192.168.3.0/30 any -P out ipsec esp/tunnel/A.B.C.D-E.F.G.H/require;
spdadd 192.168.3.0/30 192.168.2.0/24 any -P in ipsec esp/tunnel/E.F.G.H-A.B.C.D/require;
spdadd 192.168.2.0/24 192.168.0.0/22 any -P out ipsec esp/tunnel/A.B.C.D-E.F.G.H/require;
spdadd 192.168.0.0/22 192.168.2.0/24 any -P in ipsec esp/tunnel/E.F.G.H-A.B.C.D/require;

Файл /etc/rc.conf :

ipsec_enable="YES"
ipsec_file="/etc/ipsec.conf"
racoon_enable="YES"
racoon_flags="-l /var/log/racoon"

gif_interfaces="gif0"
ifconfig_gif0="inet 192.168.2.1 192.168.3.1 netmask 255.255.255.255"
gifconfig_gif0="A.B.C.D  E.F.G.H"

static_routes="pix office"
route_pix="-net 192.168.3.0/30 192.168.3.1"
route_office="-net 192.168.0.0/22 192.168.3.254"

В /etc/rc.firewall добавлены следующие правила:

        ${fwcmd} add allow all from any to any ipsec

        # IPSEC
        ${fwcmd} add pass udp from ${oip} to ${office} 500
        ${fwcmd} add pass udp from ${office} to ${oip} 500
        ${fwcmd} add allow esp from ${office} to ${oip}
        ${fwcmd} add allow esp from ${oip} to ${office}
        ${fwcmd} add allow ipencap from ${office} to ${oip}
        ${fwcmd} add allow ipencap from ${oip} to ${office}
        ${fwcmd} add allow tcp from ${office} to ${oip} 500 setup

Файл psk.txt заполнен правильно и права 0600
Файл racoon.conf

# $KAME: racoon.conf.in,v 1.18 2001/08/16 06:33:40 itojun Exp $
path include "/usr/local/etc/racoon";
path pre_shared_key "/usr/local/etc/racoon/psk.txt";
log debug;
# "padding" defines some padding parameters.  You should not touch these.
padding
{
        maximum_length 20;      # maximum padding length.
        randomize off;          # enable randomize length.
        strict_check off;       # enable strict check.
        exclusive_tail off;     # extract last one octet.
}

# if no listen directive is specified, racoon will listen on all
# available interface addresses.
listen
{
        isakmp 213.170.75.82 [500];
}

# Specify various default timers.
timer
{
        # These value can be changed per remote node.
        counter 5;              # maximum trying count to send.
        interval 20 sec;        # maximum interval to resend.
        persend 1;              # the number of packets per send.

        # maximum time to wait for completing each phase.
        phase1 30 sec;
        phase2 15 sec;
}

remote anonymous
{
        exchange_mode main,aggressive;
        lifetime time 60 min;
        doi ipsec_doi;
        situation identity_only;
        my_identifier address;
        nonce_size 16;
        initial_contact on;
proposal_check obey;    # obey, strict, or claim

        proposal {
                encryption_algorithm des;
                hash_algorithm sha1;
                authentication_method pre_shared_key;
                dh_group 2;
        }
}

sainfo anonymous
{
        pfs_group 2;
        lifetime time 60 min;
        encryption_algorithm des;
        authentication_algorithm hmac_sha1;
        compression_algorithm deflate;
}

Я наблюдаю за траффиком между A.B.C.D и E.F.G.H следующим образом
tcpdump host E.F.G.H
результат такой:
12:19:44.320053 IP A.ru.isakmp > B.ru.isakmp: isakmp: phase 1 R ident
12:19:44.368317 IP B.ru.isakmp > A.ru.isakmp: isakmp: phase 1 I inf
12:20:04.370612 IP A.ru.isakmp > B.ru.isakmp: isakmp: phase 1 R ident
12:20:04.419768 IP B.ru.isakmp > A.ru.isakmp: isakmp: phase 1 I inf
12:20:23.896270 IP B.ru.isakmp > A.ru.isakmp: isakmp: phase 1 I ident
12:20:23.901271 IP A.ru.isakmp > B.ru.isakmp: isakmp: phase 1 R ident
12:20:23.996094 IP B.ru.isakmp > A.ru.isakmp: isakmp: phase 1 I ident
12:20:24.028240 IP A.ru.isakmp > B.ru.isakmp: isakmp: phase 1 R ident
12:20:24.028289 IP A.ru.isakmp > B.ru.isakmp: isakmp: phase 1 R ident
12:20:24.075924 IP B.ru.isakmp > A.ru.isakmp: isakmp: phase 1 I inf
12:20:24.122146 IP B.ru.isakmp > A.ru.isakmp: isakmp: phase 1 I ident[E]
12:20:32.124492 IP B.ru.isakmp > A.ru.isakmp: isakmp: phase 1 I ident[E]
12:20:40.122129 IP B.ru.isakmp > A.ru.isakmp: isakmp: phase 1 I ident[E]
12:20:44.124858 IP A.ru.isakmp > B.ru.isakmp: isakmp: phase 1 R ident
12:20:44.173378 IP B.ru.isakmp > A.ru.isakmp: isakmp: phase 1 I ident[E]
12:20:52.177502 IP B.ru.isakmp > A.ru.isakmp: isakmp: phase 2/others I in

А вот логи:

2008-08-20 12:23:10: DEBUG: invalid length of payload

2008-08-20 12:22:04: ERROR: phase1 negotiation failed due to time up.

2008-08-20 12:20:52: ERROR: ignore information because ISAKMP-SAhas not been established yet.

т.е. фактически есть контакт между cisco и freebsd но они не могут согласовать SA.

      

"Не устанавливаются ipsec manual keys/policies в FreeBSD"
Отправлено Сергей , 20-Авг-08 10:38 
>[оверквотинг удален]
>Файл /etc/ipsec.conf
>
>flush;
>spdflush;
>
>spdadd 192.168.2.0/24 192.168.3.0/30 any -P out ipsec esp/tunnel/A.B.C.D-E.F.G.H/require;
>spdadd 192.168.3.0/30 192.168.2.0/24 any -P in ipsec esp/tunnel/E.F.G.H-A.B.C.D/require;
>spdadd 192.168.2.0/24 192.168.0.0/22 any -P out ipsec esp/tunnel/A.B.C.D-E.F.G.H/require;
>spdadd 192.168.0.0/22 192.168.2.0/24 any -P in ipsec esp/tunnel/E.F.G.H-A.B.C.D/require;
>

Попробуй

spdadd 192.168.2.0/24 192.168.3.0/30 any -P out ipsec
esp/tunnel/A.B.C.D-E.F.G.H/require;
spdadd 192.168.3.0/30 192.168.2.0/24 any -P in ipsec
esp/tunnel/E.F.G.H-A.B.C.D/require;
spdadd 192.168.2.0/24 192.168.0.0/22 any -P out ipsec
esp/tunnel/A.B.C.D-E.F.G.H/require;
spdadd 192.168.0.0/22 192.168.2.0/24 any -P in ipsec
esp/tunnel/E.F.G.H-A.B.C.D/require;

и еще если racoon  у тебя работает на racoon.psk, то не забудь выставить на этот файл доступ 600

"Не устанавливаются ipsec manual keys/policies в FreeBSD"
Отправлено JVS , 20-Авг-08 12:27 
>[оверквотинг удален]
> esp/tunnel/A.B.C.D-E.F.G.H/require;
>spdadd 192.168.3.0/30 192.168.2.0/24 any -P in ipsec
> esp/tunnel/E.F.G.H-A.B.C.D/require;
>spdadd 192.168.2.0/24 192.168.0.0/22 any -P out ipsec
> esp/tunnel/A.B.C.D-E.F.G.H/require;
>spdadd 192.168.0.0/22 192.168.2.0/24 any -P in ipsec
> esp/tunnel/E.F.G.H-A.B.C.D/require;
>
>и еще если racoon  у тебя работает на racoon.psk, то не
>забудь выставить на этот файл доступ 600

не помогло :)
Если man setkey почитать то есть там команда add которая добавляет информацию в SAD а spdadd добавляет информацию в SPD...
Хочу использовать add тогда фря пишет что нет такой команды?!
Что за хрень? Может из-за этого фря не может добавить записи в SAD?

"Не устанавливаются ipsec manual keys/policies в FreeBSD"
Отправлено JVS , 20-Авг-08 10:24 
>ipsec.conf в студию...

также при выполнении setkey -D
выводит следующее сообщение:
No SAD entries.

"Не устанавливаются ipsec manual keys/policies в FreeBSD"
Отправлено JVS , 20-Авг-08 12:57 
>>ipsec.conf в студию...
>
>также при выполнении setkey -D
>выводит следующее сообщение:
>No SAD entries.

Еще приведу примеры с логов cisco pix5E :
IP =, Removing peer from peer table failed, no match!
IP =, Header invalid, missing SA payload! (next payload = 4)

IP =, Removing peer from peer table failed, no match!

"Не устанавливаются ipsec manual keys/policies в FreeBSD"
Отправлено JVS , 20-Авг-08 12:58 
>>ipsec.conf в студию...
>
>также при выполнении setkey -D
>выводит следующее сообщение:
>No SAD entries.

Еще приведу примеры с логов cisco pix5E :

IP =A.B.C.D, Removing peer from peer table failed, no match!
IP =A.B.C.D, Header invalid, missing SA payload! (next payload = 4)

IP =A.B.C.D, Removing peer from peer table failed, no match!

"Не устанавливаются ipsec manual keys/policies в FreeBSD"
Отправлено Сергей , 20-Авг-08 15:40 
Остается выяснить, кто с кем коннектиться, на одном конце у тебя Free, а на другом?
"Не устанавливаются ipsec manual keys/policies в FreeBSD"
Отправлено JVS , 20-Авг-08 15:56 
> Остается выяснить, кто с кем коннектиться, на одном конце у тебя
>Free, а на другом?

Еще приведу примеры с логов CISCO PIX5E :

IP =A.B.C.D, Removing peer from peer table failed, no match!
IP =A.B.C.D, Header invalid, missing SA payload! (next payload = 4)

IP =A.B.C.D, Removing peer from peer table failed, no match!

в логах FREEBSD обнаружил интересное сообщение:
INFO: unsupported PF_KEY message REGISTER

В общем, я поднял vpn между фри и фри за 15 мин!!! А вот две разные системы не могут согласовать режимы работы. Freebsd 7 вышел недавно а cisco pix5E еще с тех времен, с тех пор столько воды утекло...

"Не устанавливаются ipsec manual keys/policies в FreeBSD"
Отправлено JVS , 29-Авг-08 10:32 
>[оверквотинг удален]
>
>IP =A.B.C.D, Removing peer from peer table failed, no match!
>
>в логах FREEBSD обнаружил интересное сообщение:
>INFO: unsupported PF_KEY message REGISTER
>
>В общем, я поднял vpn между фри и фри за 15 мин!!!
>А вот две разные системы не могут согласовать режимы работы. Freebsd
>7 вышел недавно а cisco pix5E еще с тех времен, с
>тех пор столько воды утекло...

Получилось :)
Поднял туннель между Cisco и Freebsd 7 с помощью IPSec. IPSec в IPv6 встроено :)