[vpn] probleem met freeswan - intoto verschil

[Grolsch]

Mensen, volgende situatie.

twee LANS, welke dmv VPN gekoppelt moeten worden

LAN 1 = 192.168.1.0/24 vpn gateway 192.168.1.100
LAN 2 = 10.10.4.0/24 vpn gateway 10.10.4.49

Hardware

op LAN 1 een instagate http://www.esoft.com/security_solution/products.cfm achter een wireless internet verbinding@8Mbit

op LAN 2 een Linux redhat machine achter een ADSL verbinding.

De 2 apparaten maken verbinding dmv een IPSEC VPN tunnel.
DIt heeft altijd gewerkt tot het moment dat er een update is uitgevoerd op de instagate van LAN1.
Wat is er nu gebeurt. Na research is gebleken dat ze sinds die update gebruik maken van "intoto" ipv "freeswan".
Nou moet ik jullie heel eerlijk vertellen dat ik de ballen verstand heb van linux etc.
ik ben wat dat betreft echt een MS noob.

Wat ik gedaan heb:

allereerst m'n reseller opgebeld, maar de persoon welke redhat heeft geconfigged is blijkbaar op vakantie.
toen met de support desk van Esoft (instagate) gebeld. Kost me 99€, en het probleem is nog steeds niet op gelost.
Waarom niet:

Hij zegt (man van support desk uit amerika) dat freeswan compatible moet/hoort te zijn met intoto. Hij zegt de instagate is correct geconfigureert, en hij denkt dat er een instelling verkeerd zit op de Redhat machine.
Maar de man van de redhat machine is op vakantie.

Jullie zijn mijn laatste hoop, wat kan ik het beste doen?
Ik kan SSH inloggen op de redhat machine, en het root password invoeren, maar daarmee stopt toch echt mijn linux kennis.

Ik zit er echt mee, want er is nu 1 filiaal van 40 personen welke niet meer verbonden is met het hoofdkantoor.
Nu hoor ik jullie denken, maak dan goeie afspraken met je reseller, RTFM UTFS etc.
Ik kom er echt niet meer uit.

ALvast bedankt voor jullie reactie's.

[ Voor 7% gewijzigd door Grolsch op 19-08-2003 08:53 ]

[xantos]

Waarom voeren jullie een update uit als de personen in kwestie op vakantie zijn? Of gebeuren deze updates automatisch? ... zou geen goeie zaak zijn

Is het niet mogelijk deze update terug te draaien?

Anders moet je je eens verdiepen in FreeSWan (http://www.freeswan.org/) om te kijken of deze inderdaad intoto ondersteund. Ik heb zelf nog nooit gehoord van 'intoto'.

[ Voor 21% gewijzigd door xantos op 19-08-2003 09:19 ]

[Grolsch]

xantos schreef op 19 augustus 2003 @ 09:16:
Waarom voeren jullie een update uit als de personen in kwestie op vakantie zijn? Of gebeuren deze updates automatisch?

De persoon in kwestie (reseller) voert remote update's uit.
Hij dacht laat ik voor de vakantie ff de machine up-to-date helpen (geen verkeerde gedachte natuurlijk), en dat was do'dags. Ik heb hem do.dag's direct gebeld en hij hheeft zelfs zijn vakantie uitgesteld voor ons probleem.
Tja wie verwacht dat een leverancier als E-soft in 1 x van de standaard af gaat wijken.
Ik heb hem zelfs vrijdag nog gesproken terwijl hij met zijn gezin onderweg naar zuid frankrijk was.

Is het niet mogelijk deze update terug te draaien?

VOlgens de man van E-soft is dit onmogelijk, al hoewel ik dit niet voor de 100% geloof, maar ja, ik verander er niks aan, want ik kan hem zelf ook niet terug draaien.

Onders moet je je eens verdiepen in FreeSWan (http://www.freeswan.org/) om te kijken of deze inderdaad intoto ondersteund. Ik zou het verder niet weten.

ik zal eens kijken, tnx

[xantos]

Ik ken alleen het gezegde 'Don't fix it if it aint broken.' Maar misschien was het wel een belangrijke update. Ik zou toch proberen om contact op te nemen met E-soft. Deze update moet toch zeker ongedaan kunnen worden gemaakt.

Wanneer komt de persoon terug die de RedHat machine beheerd?

[Grolsch]

xantos schreef op 19 August 2003 @ 09:40:
Ik ken alleen het gezegde 'Don't fix it if it aint broken.' Maar misschien was het wel een belangrijke update. Ik zou toch proberen om contact op te nemen met E-soft. Deze update moet toch zeker ongedaan kunnen worden gemaakt.

Wanneer komt de persoon terug die de RedHat machine beheerd?

volgende week, tot zover kan ik niet wachten.

Er moeten dus parameters verandert worden op die linux bak, maar ik kan dat niet.

Mag ik hier vragen of iemand een bedrijf/persoon weet welke diepe kennis heeft van redhat icm freeswan?

[xantos]

Ik neem aan dat je wel rechten/passwords hebt voor die linux bak? Je zult dan toch zeker iemand anders toegang moeten kunnen verschaffen tot die machine. Ik hoop voor je dat het met één extra parameter opgelost is.

[ Voor 3% gewijzigd door xantos op 19-08-2003 10:38 ]

[Grolsch]

xantos schreef op 19 August 2003 @ 10:37:
Ik neem aan dat je wel rechten/passwords hebt voor die linux bak? Je zult dan toch zeker iemand anders toegang moeten kunnen verschaffen tot die machine. Ik hoop voor je dat het met één extra parameter opgelost is.

dat ding is remote benaderbaar, en ik heb root en admin password. (aangezien ik wel verantwoordelijk ben voor ons serverpark).

[igmar]

Grolsch schreef op 19 August 2003 @ 08:46:
Mensen, volgende situatie.

twee LANS, welke dmv VPN gekoppelt moeten worden

LAN 1 = 192.168.1.0/24 vpn gateway 192.168.1.100
LAN 2 = 10.10.4.0/24 vpn gateway 10.10.4.49

Wat is er nu gebeurt. Na research is gebleken dat ze sinds die update gebruik maken van "intoto" ipv "freeswan".

Indien dat www.intoto.com is is het aan de featureset te zien gewoon een gepatchte freeswan met NAT-T, ALG patches en X509 (aka Super FreeSWAN).

Hij zegt (man van support desk uit amerika) dat freeswan compatible moet/hoort te zijn met intoto. Hij zegt de instagate is correct geconfigureert, en hij denkt dat er een instelling verkeerd zit op de Redhat machine.
Maar de man van de redhat machine is op vakantie.

Dat is zonder logfiles van beide machines niet te zeggen. /var/log/secure en /var/log/messages, waarbij /var/log/secure zonder meer de belangrijkste is.

Jullie zijn mijn laatste hoop, wat kan ik het beste doen?
Ik kan SSH inloggen op de redhat machine, en het root password invoeren, maar daarmee stopt toch echt mijn linux kennis.

Iemand inhuren, FreeSWAN is nu niet bepaald het meest simpele wat d'r voorhanden is. Zonder (veel) meer info is hier zowiezo weinig zinnigs over te zeggen.

code:

/etc/rc.d/init.d/ipsec stop
/etc/rc.d/init.d/ipsec start

voor het opnieuw opzetten van de tunnel, daarna op BEIDE machines /var/log/messages en /var/log/secure en een kopie van /etc/ipsec.conf verzamelen en op een site zetten. Post de URL en ik zal eens een blik werpen.