[freeswan] fout bij het starten van servies

[Verwijderd]

situatie:

- 2 linux servers (redhat 7.3)
- allebei @home breedband verbinding
- NAT
- freeswan 2.0 geïnstalleerd
- poort 500 UDP open
- protocol 50+51 worden doorgelaten

ipsec.conf:

conn vpn
#internet/lan gegevens persoon A
left=212.204.x.x
leftsubnet=192.168.1.0/24
leftrsasigkey='hier de key'
leftnexthop=212.204.x.x
#internet/lan gegevens persoon b
right=212.204.x.x
rightsubnet=192.168.1.1/24
rightrsasigkey='hier de key'
rightnexthop=212.204.x.x
auto=add

bij het starten van de service "ipsec" krijg ik de volgende foutmelding al in /var/log/messages:

kernel: klips_error:ipsec_tunnel_start_xmit: ip_send() failed, err=1

als ik de tunnel start dmv
ipsec auto --up vpn

krijg ik gewoon de volgende meldingen (lijken mij goed)

104 "vpn" #223: STATE_MAIN_I1: initiate
106 "vpn" #223: STATE_MAIN_I2: sent MI2, expecting MR2
108 "vpn" #223: STATE_MAIN_I3: sent MI3, expecting MR3
004 "vpn" #223: STATE_MAIN_I4: ISAKMP SA established
112 "vpn" #224: STATE_QUICK_I1: initiate
004 "vpn" #224: STATE_QUICK_I2: sent QI2, IPsec SA established

ik kan niet pingen van server A naar server B

wat is de oorzaak van deze foutmelding?
kan het zijn dat er extra firewall rules moeten worden tegevoegd? en kan NAT roet in het eten gooien?

edit: als ik de service ipsec opstart is er tevens geen internet verkeer meer mogelijk vanaf het lan

[ Voor 8% gewijzigd door Verwijderd op 03-06-2003 19:57 . Reden: bericht aangevuld ]

[Verwijderd]

Doe eens het volgende op gateway A.

code:

tcpdump -i ipsec0

En ping nu vanaf netwerk b naar gateway a. Zie je de ping requests wel binnen komen of ook niet?

edit:

Draait Freeswan op de router, of er achter (NAT) Dus heeft de freeswan machine alleen een intern ip?

[ Voor 27% gewijzigd door Verwijderd op 03-06-2003 11:52 ]

[Verwijderd]

ik krijg geen ping requests binnen.. en freeswan draait op de router. dus met een externe en interne nic

[Verwijderd]

code:

kernel: klips_error:ipsec_tunnel_start_xmit: ip_send() failed, err=1

Deze foutmelding betekend dat er hoogstwaarschijnlijk pakketjes tegen gehouden worden door de firewall.
Dus kijk even in je firewall log ofdat daar het een en ander geblokt wordt.

[Verwijderd]

je bedoeld in /var/log/messages?

[Verwijderd]

heb de tunnel nu up and running, alleen wanneer ik de ipsec service opstart is het niet meer mogelijk om vanaf het LAN internet te benaderen, dit is echter wel mogelijk vanaf de linux bak. waarschijnlijk ligt dit aan NAT, maar weet het niet zeker.

[Verwijderd]

code:

tcpdump -i eth0 port http

bezoek nu eens een website op een client pc. Wat zie je verschijnen in je log??
check ook even je firewall log. Misschien gaat daar iets fout.

[Verwijderd]

hmm raar..websites bezoeken gaat zonder problemen,
maar een ping naar een willekeurige internet host komt niet meer aan evenals het aanmelden met bv msn messenger gaat niet
hier een korte dump van messenger:

code:

22:50:22.360878 mijn.computer.home.nl.1117 > messenger.hotmail.com.http: S 68544778:68544778(0) win 32440 <mss 16220,sackOK,timestamp 124237 0,nop,wscale 0> (DF)
22:50:22.559451 messenger.hotmail.com.http > mijn.computer.home.nl.1117: S 1879203338:1879203338(0) ack 68544779 win 17520 <mss 1460,nop,wscale 0,nop,nop,timestamp 0 0,nop,nop,sackOK>
22:50:22.559827 mijn.computer.home.nl.1117 > messenger.hotmail.com.http: . ack 1 win 32440 <nop,nop,timestamp 124257 0> (DF)
22:50:22.561637 mijn.computer.home.nl.1117 > messenger.hotmail.com.http: P 1:500(499) ack 1 win 32440 <nop,nop,timestamp 124257 0> (DF)
22:50:22.562143 mijn.computer.home.nl.1117 > messenger.hotmail.com.http: P 500:525(25) ack 1 win 32440 <nop,nop,timestamp 124257 0> (DF)
22:50:22.786424 messenger.hotmail.com.http > mijn.computer.home.nl.1117: . ack 500 win 17021 <nop,nop,timestamp 11115213 124257>
22:50:22.790241 messenger.hotmail.com.http > mijn.computer.home.nl.1117: . ack 525 win 16996 <nop,nop,timestamp 11115213 124257>
22:50:22.791437 messenger.hotmail.com.http > mijn.computer.home.nl.1117: P 1:235(234) ack 525 win 16996 <nop,nop,timestamp 11115213 124257>

[Verwijderd]

Ik vermoed toch dat er ergens iets fout gaat in je firewall. Aangezien internet wel werkt en het andere subnet ook te pingen is is het geen routing probleem.

Flush je firewall eens (iptables -F)

Ik zelf heb wel eens een vergelijkbare setup opgesteld. Ik heb toen gebruik gemaakt van seawall om de firewall regels te defineren. Dit werkte als een trein.