Unifi Site-to-site VPN met 2xUSG en 1xNAT werkt niet

[Tonne]

Ik heb een probleem met site-to-site vpn tussen twee usg's. Mijn config is:
Site1: USG-4-PRO direct op de WAN
Site2: USG-3 met NAT, USG in de DMZ, met als lokaal ip 172.28.19.2

Site 1 heeft als subnet 192.168.88.0/24 en site 2 192.168.20.0/24

op site 2 heb ik de volgende config.json

code:

{
"service": {
                "dns": {
                        "dynamic": {
                                "interface": {
                                        "eth0": {
                                                "web": "dyndns"
                                        }
                                }
                        }
                }
},
"vpn": {
    "ipsec": {
        "site-to-site": {
            "peer": {
                "[ip_site1]": {
                    "authentication": {
                        "id": "[ip_site2]"
                    }
                }
            }
        }
    }
}
}

de output van 'sudo swanctl --log' is

02[IKE] sending retransmit 2 of request message ID 0, seq 1
02[NET] sending packet: from ip_site2[500] to ip_site1[500] (156 bytes)
11[NET] error writing to socket: Invalid argument

En dat herhalend

Ik heb geen idee wat er precies is. Iemand met tips?

[Voor 52% gewijzigd door Tonne op 27-12-2021 13:38]

[Frogmen]

Waar komt dat lokale IP adres vandaan want die zit niet in een private range je moet daar denk ik gewoon een private range gebruiken.

[Tonne]

Je bedoelt 172.28.19.2 ? Dat is het lokale ip adres dat de experia box uitgeeft.
Dat komt doordat er aan die kant sprake is van NAT. Ik stel dat adres nergens in.
Maar jij bedoelt dat ik op de experia box een andere ip range moet gaan gebruiken om dit op te lossen? Hmm dan moet ik op locatie langs.

Maar dat is toch de volgende private range?:
172.16.0.0 — 172.31.255.255

Of begrijp ik niet goed wat je bedoelt?

[Voor 45% gewijzigd door Tonne op 27-12-2021 13:44]

[Faifz]

Je maakt geen gebruik van NAT-T. Dit schakel je best altijd in. Je gaat wel de 500 en 4500/UDP moeten portforwarden naar 172.28.19.2 op de 2de site (experiabox).

[Tonne]

Ondersteunt de USG NAT-T? Dat kan ik er niet uithalen namelijk. Waar zou ik dat in kunnen stellen?
De 2de site daar staat de USG in de DMZ. Dus alle poorten gaan naar de USG toe.

[Faifz]

Tonne schreef op maandag 27 december 2021 @ 17:08:
Ondersteunt de USG NAT-T? Dat kan ik er niet uithalen namelijk. Waar zou ik dat in kunnen stellen?

Ja, je hebt niet altijd de optie om dit in te stellen maar meestal staat het op auto. Ik heb geen ervaring met unifi routers, dus zou het niet weten waar je dit instelt.

Tonne schreef op maandag 27 december 2021 @ 17:08:
De 2de site daar staat de USG in de DMZ. Dus alle poorten gaan naar de USG toe.

Hoezo alle poorten? Je hebt inbound NAT regels nodig zoals port-forwarding. En dit volg je op met de nodige firewall regels die het toelaten wat je waarschijnlijk niet eens moet doen op die experiabox. Zoals ik zei vertaal je WAN-IP:500/UDP -> 172.28.19.2:500/UDP en WAN-IP:4500/UDP -> 172.28.19.2:4500/UDP

[TheOneAndOnly]

Zorg voor een publiek IP op de WAN interface van beide USGs.

https://forum.kpn.com/thu...p-v-de-experia-box-458609
https://www.vanachterberg...teway-kpn-ftth-iptv-ipv6/

[Tonne]

Als je dat ip in de dmz zet komen alle poorten er bij uit toch? Ik kan bijv via l2tp een vpn verbinding maken. En die werk prima zonder dat ik verder portforward heb ingesteld.
Maar ik zou graag een site-to-site vpn verbinding willen maken via ipsec. Omdat er dan hardware offloading is.

Een apart WAN ip is geen optie helaas. Er is geen glasvezel maar vdsl. En bovendien is het interessant om de backup 4g verbinding van kpn te gebruiken.
Ik ga dan voor een andere optie, de openvpn support ipv ipsec.

[Voor 43% gewijzigd door Tonne op 27-12-2021 21:59]