[Multifiber] VPN probleem naar werk

[_Uploader_]

Sinds dat wij zijn overgestapt van een ADSL (KPN) naar een glasvezel (Multifiber) verbinding kan ik geen werkende VPN verbinding opzetten met mijn werk. Zowel bedraad als draadloos werkt het niet en de provider en de servidesk van mijn werk verwijzen mij naar het spreekwoordelijke kastje..

ADSL -> VPN = OK
Mobiele Hotspot (Vofadone) -> VPN = OK
Glasvezel -> VPN = NOK

Ik heb ervoor gezorgd dat het een ipv4 ip is en op mijn glasvezel modem Fritzbox 5530 kan ik ook geen rare instellingen vinden die dit mogelijk blokkeren. Ik maak gebruik van een Shrewsoft VPN programma en heb de logfiles en het verkeer van beide verbiningen opgeslagen. Mijn laptop is nu draadloos direct op het modem verbonden.


Vanuit de multifiber logs zie ik dit vaak terug:

code:

/04/20 09:32:37 ii : inspecting ARP request ...
21/04/20 09:32:37 DB : policy not found
21/04/20 09:32:37 ii : ignoring ARP request for 192.168.178.29, no policy found
21/04/20 09:32:38 ii : inspecting ARP request ...
21/04/20 09:32:38 !! : ARP packet has invalid header
21/04/20 09:32:48 ii : sa never reached maturity

Hebben jullie een idee hoe dit probleem op te lossen is?

[Frogmen]

gokje kom je soms op je werk in hetzelfde subnet terecht wat je thuis ook gebruikt? Verder is je info wel heel erg summier. Krijg je helemaal geen verbinding? Of?

[Orion84]

Met hierboven: waar gaat het mis, welke foutmeldingen zie je in je VPN client? Ziet je werkgever foutmeldingen aan hun kant? Hebben zij wellicht restricties gezet op welke ip ranges verbinding mogen maken?

[_Uploader_]

Ik zal wat meer info geven. Ik heb het subnet aangepast en mijn vrouw kan moeiteloos een VPN opzetten met haar werk. Meestal kan ik al geen verbinding opzetten of als dat wel gaat, krijg ik de melding "session terminated by gateway".

Mijn werkgever zegt dat het gewoon moet werken en omdat het op adsl wel werkt, dat het aan de provider ligt en dat zij geen restricties op ip ranges hebben. Verdere hulp krijg ik niet.

Log files verwijderd.

Multifiber geeft aan dat er geen firewall op het modem zit en heeft het nog in onderzoek (wat al een paar dagen duurt).

[ Voor 22% gewijzigd door _Uploader_ op 23-04-2021 14:10 ]

[RavonsDaro]

_Uploader_ schreef op dinsdag 20 april 2021 @ 12:53:
Ik zal wat meer info geven. Ik heb het subnet aangepast en mijn vrouw kan moeiteloos een VPN opzetten met haar werk. Meestal kan ik al geen verbinding opzetten of als dat wel gaat, krijg ik de melding "session terminated by gateway".

Mijn werkgever zegt dat het gewoon moet werken en omdat het op adsl wel werkt, dat het aan de provider ligt en dat zij geen restricties op ip ranges hebben. Verdere hulp krijg ik niet.

De log files en instellingen heb ik op mijn Drive account opgeslagen. Ik heb een trace gedaan van een succesvolle (kpn) en niet succesvolle (multifiber) poging.
https://drive.google.com/...Y8SQNY8L_NXJ0D4KvfE55lTQW

Multifiber geeft aan dat er geen firewall op het modem zit en heeft get nog in onderzoek (wat al een paar dagen duurt).

Leuk mogelijk security lekje. Ik zou o.a. de PSK en wat niet uit je bestand filteren

Ontopic: Overigens zie ik op Google dat de combinatie met Shrewsoft en Cisco-based apparatuur niet helemaal lekker werkt.. Kan prima zijn dat Multifiber's modem een Cisco beestje is en daarom dit niet werkt. Misschien tijd voor een andere VPN? ... Wellicht met 2FA gezien je zonder besef je credentials online zet..

[ Voor 13% gewijzigd door RavonsDaro op 20-04-2021 13:06 ]

[_Uploader_]

RavonsDaro schreef op dinsdag 20 april 2021 @ 12:56:
[...]


Leuk mogelijk security lekje. Ik zou o.a. de PSK en wat niet uit je bestand filteren

Ontopic: Overigens zie ik op Google dat de combinatie met Shrewsoft en Cisco-based apparatuur niet helemaal lekker werkt.. Kan prima zijn dat Multifiber's modem een Cisco beestje is en daarom dit niet werkt. Misschien tijd voor een andere VPN? ... Wellicht met 2FA gezien je zonder besef je credentials online zet..

Pardon, ik heb de psk etc verwijderd. Een andere vpn client werd niet geopteerd door de werkgever, wel gebruik ik normaalgesproken de 2fa optie.

[Thralas]

Volgens de logs komt de tunnel gewoon up. Een van de weinige dingen die dan nog mis kunnen gaan is een MTU-probleem. De FritzBox ondersteunt volgens mij geen RFC4638, dus als je PPPoE gebruikt is je MTU dan 1492. IPsec met NAT-T gaat over UDP, dat kan je router niet clampen, afhankelijk van hoe je tunnel MTU is ingesteld heb je dan een probleem.

Je kunt je (WAN) MTU ook hier pogen te bepalen. Ga na of je PPPoE gebruikt en check je MTU.

Ik zie in de config wel een MTU-gerelateerde setting op 1380, maar zou toch eens controleren welke MTU de VPN interface krijgt (ik geloof niet dat IPsec NAT-T dat voor je oplost door te fragmenteren).

Goed dat je volledige logging beschikbaar stelt, maar ik zou het toch even verwijderen. Er zit namelijk ook getunneled verkeer in en allerlei IPsec-keys die wel eens equivalent zouden kunnen zijn aan de PSK (die je al verwijderd had).

[_Uploader_]

Thralas schreef op vrijdag 23 april 2021 @ 12:49:
Volgens de logs komt de tunnel gewoon up. Een van de weinige dingen die dan nog mis kunnen gaan is een MTU-probleem. De FritzBox ondersteunt volgens mij geen RFC4638, dus als je PPPoE gebruikt is je MTU dan 1492. IPsec met NAT-T gaat over UDP, dat kan je router niet clampen, afhankelijk van hoe je tunnel MTU is ingesteld heb je dan een probleem.

Je kunt je (WAN) MTU ook hier pogen te bepalen. Ga na of je PPPoE gebruikt en check je MTU.

Ik zie in de config wel een MTU-gerelateerde setting op 1380, maar zou toch eens controleren welke MTU de VPN interface krijgt (ik geloof niet dat IPsec NAT-T dat voor je oplost door te fragmenteren).

Goed dat je volledige logging beschikbaar stelt, maar ik zou het toch even verwijderen. Er zit namelijk ook getunneled verkeer in en allerlei IPsec-keys die wel eens equivalent zouden kunnen zijn aan de PSK (die je al verwijderd had).

Bedankt voor de hulp en adviezen! Ik zal bekijken met welke MTU instelling dit mogelijk wel werkend is te krijgen. Mijn wergever zal nog nakijken of mijn IP adres gewhitelist is.


Ik heb de logging verwijderd.

[amx]

heb je je wachtwoord nu ook gewijzigd?

[_Uploader_]

amx schreef op vrijdag 23 april 2021 @ 15:47:
heb je je wachtwoord nu ook gewijzigd?

Bedankt voor de check, maar dat had ik eerder al gedaan en daarna nog een keer. Ik gebruik de laatste tijd alleen 2FA.

[amx]

Sinds kort verbind ik mijn laptop alleen nog op de gast wifi. Er is wat mij betreft geen echte reden om apparatuur die niet van mij is toe te staan op mijn netwerk. Ook vanuit de werkgever is dat denk ik een fijnere gedachte.

Wellicht dat dat voor jou ook een oplossing is? Ander subnet, geen vermenging met je thuisnetwerk.

[rens-br]

@_Uploader_ ik heb je titel even aangevuld, dan is het wat duidelijker.

[_Uploader_]

Ook met een ander subnet en met een gastnetwerk ingesteld op mijn glasvezelverbinding werkt het nog steeds niet. Men heeft inmiddels het op firewall niveau nagekeken en daar komt het verkeer niet aan. Er gaat wat mis met de phase2, ook na het proberen van de verschillende MTU instellingen. Hebben jullie nog verdere ideeën?

[plizz]

Heeft de modem van Multifiber een firewall? Het kan zijn dat modem het vpn verkeer blokkeert naar je werkgever.

[Thralas]

_Uploader_ schreef op woensdag 14 juli 2021 @ 11:48:
Ook met een ander subnet en met een gastnetwerk ingesteld op mijn glasvezelverbinding werkt het nog steeds niet. Men heeft inmiddels het op firewall niveau nagekeken en daar komt het verkeer niet aan. Er gaat wat mis met de phase2, ook na het proberen van de verschillende MTU instellingen. Hebben jullie nog verdere ideeën?

Wat is je WAN MTU volgens de test die ik eerder linkte? En wat heb je geprobeerd qua MTU-instellingen?

Uit je Multifiber-logs blijkt namelijk onomstotelijk dat hij een MTU van 1500 verwacht:

code:

Multifiber/iked.log:21/04/20 09:32:33 ii : fragmented packet to 1514 bytes ( MTU 1500 bytes )

Als je inderdaad op PPPoE zonder RFC4638 (dus MTU 1492) zit dan kan dat zo nooit werken.

[_Uploader_]

Bedankt voor de reacties!

plizz schreef op woensdag 14 juli 2021 @ 15:42:
Heeft de modem van Multifiber een firewall? Het kan zijn dat modem het vpn verkeer blokkeert naar je werkgever.

Ik kan geen firewall instellingen zien en Multifiber gaf eerder aan dat er geen firewall op zit, maar als ik de specs bekijk, dan zit er wel een ingebouwde firewall in. Dus ik zal het navragen bij de provider.

Thralas schreef op woensdag 14 juli 2021 @ 20:41:
[...]


Wat is je WAN MTU volgens de test die ik eerder linkte? En wat heb je geprobeerd qua MTU-instellingen?

Uit je Multifiber-logs blijkt namelijk onomstotelijk dat hij een MTU van 1500 verwacht:

code:

Multifiber/iked.log:21/04/20 09:32:33 ii : fragmented packet to 1514 bytes ( MTU 1500 bytes )

Als je inderdaad op PPPoE zonder RFC4638 (dus MTU 1492) zit dan kan dat zo nooit werken.

PPPoE stond uit en ook met PPPoE aan heb ik de reeks 1460 - 1500 geprobeerd zonder succes.

Als ik de tests volg op https://homenetworkgeek.c...Should_You_Change_the_MTU, dan geeft 1500 de error "Packet needs to be fragmented but DF set.".

De hoogste waarde waarmee de test wel goed gaat (PPPoE ingeschakeld) is 1470, dan tel ik er 28 bij op en heb de mtu waarde op 1498 gezet. Maar dat maakt geen verschil, ook bv niet als ik de mtu op 1500 zet.

http://www.letmecheck.it/mtu-test.php geeft het volgende aan: The maximum MTU size is: 1496. Ook hiermee werkt het niet.

[Frogmen]

Misschien dat je een IP adres krijgt die op een blacklist (blocked country) staat bij je werkgever. Met de krapte aan IP adressen kan dat gebeuren.

[plizz]

Kan je met wireshark verkeer naar je werkgever capturen of log files van Multifiber doorlezen tijdens opzetten VPN naar je werkgever.

[Paradox]

werkt dit wel met je mobiel als hotspot?

[_Uploader_]

Waar Multifiber eerder aangaf dat er geen firewall actief is, hebben ze het level hiervan nu op minimaal gezet. Ook zonder enig effect. In mijn Experiabox9 staat de firewall ook actief.

Frogmen schreef op donderdag 15 juli 2021 @ 12:54:
Misschien dat je een IP adres krijgt die op een blacklist (blocked country) staat bij je werkgever. Met de krapte aan IP adressen kan dat gebeuren.

Dat zou kunnen, maar volgens de werkgever is er geen IP blokkade.

plizz schreef op donderdag 15 juli 2021 @ 13:22:
Kan je met wireshark verkeer naar je werkgever capturen of log files van Multifiber doorlezen tijdens opzetten VPN naar je werkgever.

Ja, ik heb logs van beide (succesvolle en niet succesvolle) pogingen., De phase1 komt netjes op en de verbinding is er snel. Alleen de phase2 duurt erg lang op glas en faalt dan. Met ADSL komt dit ook zeer snel tot stand. De VPN verbinding komt binnen vijf seconden helemaal tot stand.

Paradox schreef op donderdag 15 juli 2021 @ 14:44:
werkt dit wel met je mobiel als hotspot?

Ja, met mobiel eerder werkte dit ook feilloos. Nu kan ik het niet even testen, want mijn bereik in het buitengebied is erg slecht.

[ Voor 9% gewijzigd door _Uploader_ op 15-07-2021 15:25 ]

[Thralas]

_Uploader_ schreef op woensdag 14 juli 2021 @ 23:30:
PPPoE stond uit en ook met PPPoE aan heb ik de reeks 1460 - 1500 geprobeerd zonder succes.

Dat begrijp ik niet. Je verbinding gebruikt wel of geen PPPoE, het is niet iets dat je kunt aanzetten.

De hoogste waarde waarmee de test wel goed gaat (PPPoE ingeschakeld) is 1470, dan tel ik er 28 bij op en heb de mtu waarde op 1498 gezet. Maar dat maakt geen verschil, ook bv niet als ik de mtu op 1500 zet.

http://www.letmecheck.it/mtu-test.php geeft het volgende aan: The maximum MTU size is: 1496. Ook hiermee werkt het niet.

De twee verschillende waardes die je hier krijgt zijn vreemd. Zowel het feit dat ze verschillen, als de ongebruikelijke waardes. Maar als je de aanname doet dat je MTU dus inderdaad zeker geen 1500 is dan verklaart dat waarschijnlijk waarom het niet werkt.

Je zegt de MTU te hebben aangepast: waar/hoe heb je dat gedaan? En belangrijker: hoe zien de logs er nu uit?

Ik zou de MTU pogen te verkleinen naar iets als 1400 (moet voldoen) en dan controleren of de logregel die ik eerder aanhaalde inderdaad ook meldt dat hij fragmenteert op 1400.

[plizz]

@_Uploader_ kan je de logs, succesvolle en niet succesvolle, delen met ons? Dan hebben wij meer beeld van jou problemen. Dan kunnen wij ook zien wat goed en fout gaat. Nu zitten wij maar te speculeren en gissen naar je probleem. Graag destination IP adres aanpassen met xx.xx.xx.xx formaat.

[_Uploader_]

plizz schreef op donderdag 15 juli 2021 @ 19:15:
@_Uploader_ kan je de logs, succesvolle en niet succesvolle, delen met ons? Dan hebben wij meer beeld van jou problemen. Dan kunnen wij ook zien wat goed en fout gaat. Nu zitten wij maar te speculeren en gissen naar je probleem. Graag destination IP adres aanpassen met xx.xx.xx.xx formaat.

Na grote drukte en vakantie heb ik tijd gehad om de logs te kunnen genereren. Ik heb de destination IP aangepast en hoop dat de logs duidelijk maken waarom het niet gaat met mijn glasvezelverbinding!

https://drive.google.com/...OU0EUMln/view?usp=sharing

[Thralas]

_Uploader_ schreef op donderdag 2 september 2021 @ 10:33:
Na grote drukte en vakantie heb ik tijd gehad om de logs te kunnen genereren. Ik heb de destination IP aangepast en hoop dat de logs duidelijk maken waarom het niet gaat met mijn glasvezelverbinding!

Ik heb het probleem hier al aangewezen, maar je hebt vervolgens niet meer gereageerd op m'n verdere vragen over MTU/PPPoE:

Thralas in "[Multifiber] VPN probleem naar werk"

Volgens Google is dat (grote) pakket een symptoom van phase 2 negotiation met teveel matchende proposals/transforms. Belangrijke notie is dat dus dat je wel een tunnel MTU kunt instellen (zoals die standaard op 1380 blijkt te staan), maar de Shrew Soft IKE daemon alsnog mtu 1500 packets genereert tijdens phase 2 negotiation.

De oplossing wordt daar ook gegeven: phase 2 cipher selection handmatig doen, zodat het pakket niet te groot wordt: Phase 2 Settings

Uit je logs wordt valt niet op te maken welke proposals de andere kant precies doet, maar je eindigt op des-sha1. Probeer achtereenvolgens AES, 3DES, DES in te stellen ipv. 'auto' en check in de logs of het probleempakket klein genoeg is (<1492) en/of de andere zijde je cipherkeuze uberhaupt accepteert.

De IT-afdeling van je werkgever lijkt hier ook een steek te laten vallen: een VPN gateway die des-sha1 accepteert is niet veilig. Ik vraag me ook af of dit probleem op zou treden als zij hun zijde juist zouden configureren (dwz. onveilige cipherkeuzes niet aanbieden).

[_Uploader_]

Thralas schreef op vrijdag 3 september 2021 @ 11:00:
[...]


Ik heb het probleem hier al aangewezen, maar je hebt vervolgens niet meer gereageerd op m'n verdere vragen over MTU/PPPoE:

Thralas in "[Multifiber] VPN probleem naar werk"

Volgens Google is dat (grote) pakket een symptoom van phase 2 negotiation met teveel matchende proposals/transforms. Belangrijke notie is dat dus dat je wel een tunnel MTU kunt instellen (zoals die standaard op 1380 blijkt te staan), maar de Shrew Soft IKE daemon alsnog mtu 1500 packets genereert tijdens phase 2 negotiation.

De oplossing wordt daar ook gegeven: phase 2 cipher selection handmatig doen, zodat het pakket niet te groot wordt: Phase 2 Settings

Uit je logs wordt valt niet op te maken welke proposals de andere kant precies doet, maar je eindigt op des-sha1. Probeer achtereenvolgens AES, 3DES, DES in te stellen ipv. 'auto' en check in de logs of het probleempakket klein genoeg is (<1492) en/of de andere zijde je cipherkeuze uberhaupt accepteert.

De IT-afdeling van je werkgever lijkt hier ook een steek te laten vallen: een VPN gateway die des-sha1 accepteert is niet veilig. Ik vraag me ook af of dit probleem op zou treden als zij hun zijde juist zouden configureren (dwz. onveilige cipherkeuzes niet aanbieden).

Held! Ik heb de instellingen aangepast (phase 2, transform algorithm van "auto" naar "esp-3des" ) en het blijft werken tot nu toe, geweldig! Al maanden (meer dan een half jaar) had ik last van het probleem, veel dingen al geprobeerd, maar nooit deze oplossing gevonden. Ik zal het een weekje aankijken en daarna kan ik eindelijk de ADSL verbinding opzeggen. Dus eigenlijk om de transforms niet op "auto" te zetten wordt het pakket kleiner tijdens de phase2 negotiaton waardoor deze wel geaccepteerd wordt?

Ik heb het probleem hier al aangewezen, maar je hebt vervolgens niet meer gereageerd op m'n verdere vragen over MTU/PPPoE:
Ik dacht dat ik hier _Uploader_ in "[Multifiber] VPN probleem naar werk" had gedaan, maar misschien heb ik wat verkeerd geïnterpreteerd.

De IT-afdeling van je werkgever lijkt hier ook een steek te laten vallen: een VPN gateway die des-sha1 accepteert is niet veilig. Ik vraag me ook af of dit probleem op zou treden als zij hun zijde juist zouden configureren (dwz. onveilige cipherkeuzes niet aanbieden).
Dat klopt, het is bekend en men werkt aan een betere-veiligere- oplossing.

Nogmaals erg bedankt voor de uitleg en hulp!

[ Voor 6% gewijzigd door _Uploader_ op 03-09-2021 12:45 ]

[Thralas]

_Uploader_ schreef op vrijdag 3 september 2021 @ 12:42:
Dus eigenlijk om de transforms niet op "auto" te zetten wordt het pakket kleiner tijdens de phase2 negotiaton waardoor deze wel geaccepteerd wordt?

Yes.