[FreeS/WAN] Werken maar toch niet?

[Verwijderd]

Ik heb FreeSWAN in combinatie met een ISDN router (Vigor) voor elkaar.
Alles werkt.

Er is alleen 1 probleem.
Lees het hier (in het engels omdat ik dat mailtje al vaker heb verstuurd):

code:

Home PC ----- Vigor ----- ISDN ----- INTERNET ------ Business Gateway -------- Business network 
            ¦                            ¦ 
            ¦                            ¦ 
            +-------------------------------------------+ 
                    IPSec tunnel 


Everything works but there is a big problem with time-outs/recognice dead tunnels. 

This is happening: 

Fist I make an ISDN connection to the internet with my Vigor. 
Next I make an IPSec connection to FreeS/WAN Linux (Debian) machine from the Vigor. 
I can now work on the business network. 

When I stop working (I don't drop the IPSec connection) I disconnect the ISDN connection. 
Later I want to work again so I make a ISDN connection again. 
Next the IPSec connection to FreeS/WAN. But... the connection is already up?! 
So I want to work (the tunnel is up right?) but I can't het through the tunnel. 

I drop the IPSec connection from the Vigor. 
Now restarts FreeS/WAN. 
Make a IPSec connection from the Vigor to FreeS/WAN again. 
Now everything works again. 

What is going wrong and what can I do about it? 

I think FreeS/WAN holds the IPSec connection when the Vigor disconnects from the Internet. 
When the connection comes up again, the Vigor get a package from FreeS/WAN and think he's got a connection. 

Maybe anyone can help me. 

Kind regards, 

René Eijzenga
The Netherlands

Weet iemand iets over dit probleem of kan iemand mij uitleg geven over de IKE timeouts/IPSec timouts/Rekeying enz.

Want ik krijg het niet 100% werkend

[JayTaph]

Het probleem is waarschijnlijk dat je freeswan kant nog met een oude SA werkt. Probeer eens de timeouts hier wat lager te zetten of anders bouw een scriptje dat checkt of er daadwerkelijk nog een isdn-connectie is, en zo niet, de tunnels fysiek dichtgooit (ipsec auto --down <blaat>)

[Verwijderd]

ISDN zit aan de Vigor.. hier kun je (zover ik weet) geen scripts op draaien.

Verder weet ik heel erg weinig over time-outs, ik heb al eeen wat geprobeerd maar dan disconnect ie steeds na een uur oid. maar bouwt wel steeds verbinding weer op.

[JayTaph]

he ja, sorry.. verkeerd gelezen .

[Jochem]

zorg ervoor dat de keylife op 20 minuten staat. Dan gaat de connectie na 20 min automatisch dicht. Het is inderdaad een probleem.

[Verwijderd]

Op donderdag 11 juli 2002 12:32 schreef Jochem het volgende:
zorg ervoor dat de keylife op 20 minuten staat. Dan gaat de connectie na 20 min automatisch dicht. Het is inderdaad een probleem.

Ehh gaat de connectie dan ook discht na 20 min. als je wel iets doet?

[Verwijderd]

Zou dit misschien kunnen?

Je maakt op een machine achter de FreeS/WAN machine een script die een ping doet naar het intern IP van de Vigor aan de andere kant.
Wanneer dit niet lukt dan een commando op de FreeS/WAN machine uitvoeren dat ie de verbinding down gooit (ipsec auto --down conn-naam; ipsec auto --unroute conn-naam)

[igmar]

Op donderdag 11 juli 2002 10:58 schreef quinty het volgende:

<snip>

Kind regards,

René Eijzenga
The Netherlands[/code]
Weet iemand iets over dit probleem of kan iemand mij uitleg geven over de IKE timeouts/IPSec timouts/Rekeying enz.

Want ik krijg het niet 100% werkend

IPSEC kent geen 'dead tunnel detectie'. IPSEC ziet dat een tunnel dood is al de rekeying niet goed gaat.

Zeg in je ipsec.conf bij de connectieparameters 'uniqueids=yes', en specificeer de rekeying periode :

keylife=180s

Dat zou iig moeten voorkomen dat er tunnels zijn waar je niks meer door heen kan sturen.