Checkpoint naar Cisco IPsec tunnel / DNS probleem?

[silvans]

Ik probeer een IPsec tunnel verbinding op te bouwen tussen een Checkpoint cluster (FP 3) en een Cisco 871 ergens in verweggistan. Dit heb ik reeds eerder gedaan, sterker nog, de nieuwe verbinding is een toevoeging op een bestaande star-topology van reeds werkende tunnels. De gegevens zijn ingevoerd, keys en overige phase 1 en 2 parameters geconfigureerd en gedoublechecked. Aangezien zowel de Checkpoint als Cisco zijde een blueprint configuratie zijn, zou niets in de weg moeten staan om het te laten werken.

Het vreemde wat er nu gebeurt is dat een client achter het LAN van de Cisco 871 (de remote zijde dus) prima een connectie (ping, telnet oid) kan maken met de centrale omgeving achter de Checkpoints. Key exchange gaat netjes, traffic gaat er netjes encrypted doorheen.

Vanaf de centrale omgeving achter de Checkpoint cluster kan ik echter geen tunnels opbouwen naar hosts achter de Cisco 871.

De foutmelding die Smartview Tracker geeft bij de dropped packets is:

Unable to resolve peer GW - VPN error 02

Helaas geeft de Checkpoint niet meer dan deze summiere logregel.

Ook de online Secureknowledge van Checkpoint geeft geen hits op deze foutmelding.

Nu ben ik verder gaan zoeken en wat blijkt? Er is iets raars met de DNS entries die voor deze verbinding door de provider zijn gemaakt. De forward en reverse DNS entries op Internet wijken af van elkaar. Het reverse record verwijst naar een hostname, maar het forward record van die hostname verwijst naar een totaal ander ip adres.

Zou dit de oorzaak kunnen zijn van mijn probleem? Doet een Checkpoint tijdens het opbouwen van een tunnel ook een DNS lookup op het ip adres van mijn remote gateway, om het vervolgens te matchen met het forward record van de hostname die ie terugkrijgt?

Ik heb de ISP in elk geval gevraagd om het te corrigeren in de hoop dat het gaat werken. Of zouden er andere work-arounds zijn of bekende issuies met bovengenoemde foutmelding?

[alt-92]

....maar je tunnel is er wel?

Als je binnen je tunnel enkel éénrichtingsverkeer hebt zit er eerder iets mis met je policies waardoor retourverkeer niet overkomt dan met een reverse DNS op je publieke IP adressen..

[TrailBlazer]

Ik snap niet dat je tunnels op wil bouwen naar de hosts achter de cisco. Je hebt toch gewoon een tunnel tussen de Cisco en de Checkpoint.
Overigens kan ik het me goed voorstellen dat de checkpoint een DNS lookup op de hostname en ip doet om te kijken of die matchen. Ik krijg op mijn linux machine ook vaak meldingen dat de hostname niet terugmapped

code:

Jun 27 07:52:34 elbrus sshd[9386]: Address 1.2.3.4 maps to verkeerde.hostname.com, but this does not map back to the address - POSSIBLE BREAKIN ATTEMPT!

Je wil dit denk ik controleren voor het geval dat je authenticatie met Certificaten werkt die logal picky zijn met hostnames natuurlijk. Ik zal eens kijken of ik kan vinden wat de risico's van dit soort dingen zijn. Ben tenslotte bijna CCSP

[silvans]

TrailBlazer schreef op dinsdag 27 juni 2006 @ 07:56:
Ik snap niet dat je tunnels op wil bouwen naar de hosts achter de cisco. Je hebt toch gewoon een tunnel tussen de Cisco en de Checkpoint.
Overigens kan ik het me goed voorstellen dat de checkpoint een DNS lookup op de hostname en ip doet om te kijken of die matchen. Ik krijg op mijn linux machine ook vaak meldingen dat de hostname niet terugmapped

code:

Jun 27 07:52:34 elbrus sshd[9386]: Address 1.2.3.4 maps to verkeerde.hostname.com, but this does not map back to the address - POSSIBLE BREAKIN ATTEMPT!

Je wil dit denk ik controleren voor het geval dat je authenticatie met Certificaten werkt die logal picky zijn met hostnames natuurlijk. Ik zal eens kijken of ik kan vinden wat de risico's van dit soort dingen zijn. Ben tenslotte bijna CCSP

Misschien een beetje brak omschreven, maar het is inderdaad een tunnel tussen de Cisco en de Checkpoint. Het vreemde is dat er nergens wordt geschreven (google, checkpoint smartcenter) over dns lookups als extra controle. Ik begrijp de risico's, maar het werken vanaf een bekend ip-adres met preshared key zou voldoende moeten zijn om het te laten werken.

[TrailBlazer]

Jij vindt het voldoende om het te laten werken. Ik denk dat Checkpoint daar anders over denkt. Die wil gewoon alles checken denk ik. Maarja checkpoitn heb ik geen verstand van CCSA staat voor het eind van dit jaar op het programma.

[silvans]

Inmiddels is het opgelost. De provider heeft de betreffende reverse en forward dns zones goedgezet. Ik heb 30 pagina's VPN debugging op mijn bureau liggen om uit te zoeken waar het écht in zat.

Silvan

[TrailBlazer]

het zat in ieder geval in de DNS records maar dat is duidelijk.