Ipsec vpn van Edgerouter naar Draytek 2960 werkt niet

[m3gA]

Ik heb een Edgerouter ER-Lite. Deze heeft 2 ipsec vpns. 1 met een vriend met een andere Edgerouter. Deze werkt prima. Een andere vpn gaat naar een vriend met een Draytek. Hij heeft eerst een 2920 gehad. Deze werkte altijd prima. Omdat deze op een gegeven moment defect is geraakt heeft hij hem vervangen door een 2960. Deze heeft nu ook een werkende VPN met een Draytek 2920 maar het lukt me niet om een vpn op te zetten tussen de 2960 en de edgerouter.

Beide routers hangen achter een gebridge modem. De Edgerouter achter Ziggo en de Draytek achter een modem van Telfort glasvezel.

Wat ik ook instel of probeer. (verschillende encryptie algoritmes of dh keys) Ik krijg geen werkende vpn. Ik krijg altijd de melding "package malformed"


De instellingen aan de Edgerouter kant:

code:

# generated by /opt/vyatta/sbin/vpn-config.pl

config setup

conn %default
        keyexchange=ikev1

conn peer-84.39.x.x-tunnel-1
        left=84.30.O.O
        right=84.39.x.x
        leftsubnet=172.20.92.0/24
        rightsubnet=172.16.4.0/24
        ike=aes128-sha1-modp2048!
        keyexchange=ikev1
        ikelifetime=28800s
        esp=aes128-sha1-modp2048!
        keylife=3600s
        rekeymargin=540s
        type=tunnel
        compress=no
        authby=secret
        auto=route
        keyingtries=%forever
#conn peer-84.39.x.x-tunnel-1
### Vyatta L2TP VPN Begin ###
include /etc/ipsec.d/tunnels/remote-access
### Vyatta L2TP VPN End ###

De Draytek settings:





De logs aan de Edgerouter kant:

code:

15[NET] received packet: from 84.39.x.x[500] to 84.30.O.O[500] (60 bytes)
15[ENC] invalid ID_V1 payload length, decryption failed?
15[ENC] could not decrypt payloads
15[IKE] message parsing failed
15[ENC] generating INFORMATIONAL_V1 request 1639740353 [ HASH N(PLD_MAL) ]
15[NET] sending packet: from 84.30.O.O[500] to 84.39.x.x[500] (76 bytes)
15[IKE] ID_PROT request with message ID 0 processing failed
16[NET] received packet: from 84.39.x.x[500] to 84.30.O.O[500] (40 bytes)
16[ENC] parsed INFORMATIONAL_V1 request 2608116881 [ N(PLD_MAL) ]
16[ENC] ignoring unprotected INFORMATIONAL from 84.39.x.x
16[IKE] message verification failed
16[IKE] ignore malformed INFORMATIONAL request
16[IKE] INFORMATIONAL_V1 request with message ID 2608116881 processing failed
11[NET] received packet: from 84.39.x.x[500] to 84.30.O.O[500] (60 bytes)
11[ENC] invalid ID_V1 payload length, decryption failed?
11[ENC] could not decrypt payloads
11[IKE] message parsing failed
11[ENC] generating INFORMATIONAL_V1 request 2639405064 [ HASH N(PLD_MAL) ]
11[NET] sending packet: from 84.30.O.O[500] to 84.39.x.x[500] (76 bytes)
11[IKE] ID_PROT request with message ID 0 processing failed
09[JOB] deleting half open IKE_SA after timeout
04[NET] received packet: from 84.39.x.x[500] to 84.30.O.O[500] (292 bytes)
04[ENC] parsed ID_PROT request 0 [ SA V V V V V V V ]
04[ENC] received unknown vendor ID: 4f:45:7d:78:54:60:50:75:7b:70:72:45
04[IKE] received DPD vendor ID
04[IKE] received NAT-T (RFC 3947) vendor ID
04[IKE] received draft-ietf-ipsec-nat-t-ike-03 vendor ID
04[IKE] received draft-ietf-ipsec-nat-t-ike-02 vendor ID
04[IKE] received draft-ietf-ipsec-nat-t-ike-02\n vendor ID
04[IKE] received draft-ietf-ipsec-nat-t-ike-00 vendor ID
04[IKE] 84.39.x.x is initiating a Main Mode IKE_SA
04[ENC] generating ID_PROT response 0 [ SA V V V ]
04[NET] sending packet: from 84.30.O.O[500] to 84.39.x.x[500] (136 bytes)
13[NET] received packet: from 84.39.x.x[500] to 84.30.O.O[500] (220 bytes)
13[ENC] parsed ID_PROT request 0 [ KE No NAT-D NAT-D ]
13[ENC] generating ID_PROT response 0 [ KE No NAT-D NAT-D ]
13[NET] sending packet: from 84.30.O.O[500] to 84.39.x.x[500] (236 bytes)
16[NET] received packet: from 84.39.x.x[500] to 84.30.O.O[500] (60 bytes)
16[ENC] invalid ID_V1 payload length, decryption failed?
16[ENC] could not decrypt payloads
16[IKE] message parsing failed
16[ENC] generating INFORMATIONAL_V1 request 1119015479 [ HASH N(PLD_MAL) ]
16[NET] sending packet: from 84.30.O.O[500] to 84.39.x.x[500] (76 bytes)
16[IKE] ID_PROT request with message ID 0 processing failed
03[NET] received packet: from 84.39.x.x[500] to 84.30.O.O[500] (40 bytes)
03[ENC] parsed INFORMATIONAL_V1 request 2158051198 [ N(PLD_MAL) ]
03[ENC] ignoring unprotected INFORMATIONAL from 84.39.x.x
03[IKE] message verification failed
03[IKE] ignore malformed INFORMATIONAL request
03[IKE] INFORMATIONAL_V1 request with message ID 2158051198 processing failed

De logs aan de Draytek kant

code:

<141>Oct 20 11:19:41 Vigor: pluto[8765]: "RICK" #60354: NAT-Traversal: Result using RFC 3947 (NAT-Traversal): no NAT detected
<141>Oct 20 11:19:41 Vigor: pluto[8765]: "RICK" #60354: next payload type of ISAKMP Hash Payload has an unknown value: 68
<141>Oct 20 11:19:41 Vigor: pluto[8765]: "RICK" #60354: malformed payload in packet
<141>Oct 20 11:19:41 Vigor: pluto[8765]: | payload malformed after IV
<141>Oct 20 11:19:41 Vigor: pluto[8765]: |   a2 ab 41 e7  5a 85 c6 af  5b 46 35 b7  58 56 9e db
<141>Oct 20 11:19:41 Vigor: pluto[8765]: "RICK" #60354: sending notification PAYLOAD_MALFORMED to 84.30.O.O:500
<14>Oct 20 11:19:46 Vigor: : whack read timeout.
<141>Oct 20 11:19:51 Vigor: pluto[8765]: "RICK" #60354: next payload type of ISAKMP Hash Payload has an unknown value: 56
<141>Oct 20 11:19:51 Vigor: pluto[8765]: "RICK" #60354: malformed payload in packet
<141>Oct 20 11:19:51 Vigor: pluto[8765]: | payload malformed after IV
<141>Oct 20 11:19:51 Vigor: pluto[8765]: |   a2 ab 41 e7  5a 85 c6 af  5b 46 35 b7  58 56 9e db
<141>Oct 20 11:19:51 Vigor: pluto[8765]: "RICK" #60354: sending notification PAYLOAD_MALFORMED to 84.30.O.O:500
<141>Oct 20 11:20:11 Vigor: pluto[8765]: "RICK" #60354: deleting state (STATE_MAIN_I3)
<141>Oct 20 11:20:11 Vigor: pluto[8765]: "RICK" #60354: deleting state #60354
<141>Oct 20 11:20:11 Vigor: pluto[8765]: "RICK" #60355: initiating Main Mode
<13>Oct 20 11:20:11 Vigor: [IPsec] Re-initiate always on tunnel: RICK
<141>Oct 20 11:20:11 Vigor: pluto[8765]: "RICK" #60355: enabling possible NAT-traversal with method RFC 3947 (NAT-Traversal)
<141>Oct 20 11:20:11 Vigor: pluto[8765]: "RICK" #60355: NAT-Traversal: Result using RFC 3947 (NAT-Traversal): no NAT detected
<141>Oct 20 11:20:11 Vigor: pluto[8765]: "RICK" #60355: next payload type of ISAKMP Hash Payload has an unknown value: 53
<141>Oct 20 11:20:11 Vigor: pluto[8765]: "RICK" #60355: malformed payload in packet
<141>Oct 20 11:20:11 Vigor: pluto[8765]: | payload malformed after IV
<141>Oct 20 11:20:11 Vigor: pluto[8765]: |   66 e2 56 10  9e cb e7 00  06 8f 05 e3  1a d4 1c 33
<141>Oct 20 11:20:11 Vigor: pluto[8765]: "RICK" #60355: sending notification PAYLOAD_MALFORMED to 84.30.O.O:500
<14>Oct 20 11:20:16 Vigor: : whack read timeout.
<141>Oct 20 11:20:21 Vigor: pluto[8765]: "RICK" #60355: next payload type of ISAKMP Hash Payload has an unknown value: 56
<141>Oct 20 11:20:21 Vigor: pluto[8765]: "RICK" #60355: malformed payload in packet
<141>Oct 20 11:20:21 Vigor: pluto[8765]: | payload malformed after IV
<141>Oct 20 11:20:21 Vigor: pluto[8765]: |   66 e2 56 10  9e cb e7 00  06 8f 05 e3  1a d4 1c 33
<141>Oct 20 11:20:21 Vigor: pluto[8765]: "RICK" #60355: sending notification PAYLOAD_MALFORMED to 84.30.O.O:500
<141>Oct 20 11:20:41 Vigor: pluto[8765]: "RICK" #60355: deleting state (STATE_MAIN_I3)
<141>Oct 20 11:20:41 Vigor: pluto[8765]: "RICK" #60355: deleting state #60355
<141>Oct 20 11:20:41 Vigor: pluto[8765]: "RICK" #60356: initiating Main Mode

[ehvc]

Volgens mij moet je PHASE1 op AES staan en niet op all.
Ook inde algemene config van je Draytek staat deze op PSK
terwijl je Edge op: esp=aes128-sha1-modp2048! staat.

[m3gA]

ehvc schreef op zondag 23 oktober 2016 @ 01:01:
Volgens mij moet je PHASE1 op AES staan en niet op all.
Ook inde algemene config van je Draytek staat deze op PSK
terwijl je Edge op: esp=aes128-sha1-modp2048! staat.

Het stukje over psk snap ik niet helemaal ? Fase1 heb ik al aangepast.

[ Voor 4% gewijzigd door m3gA op 23-10-2016 18:45 ]

[ehvc]

PSK en AES zijn de type van encryptie welke gebruikt worden. Deze zouden gelijk moeten staan.
In je config op de draytek staat deze op PSK (Pre Shared Key) zou op AES (Advanced Encryption Standard) moeten staan. Net zoals je edge ingesteld staat.

Edit zie bijv ook deze link.
https://kb.cyberoam.com/default.asp?id=321&Lang=1

[ Voor 14% gewijzigd door ehvc op 23-10-2016 23:06 ]