Re[2]: lug-bg: IPSec tunnel & BTC adsl

["antracit ." <antracit1@xxxxx>]

Ето какъв ми е ipsec.conf на едната машина
OpenSwan 1.0.7
config setup
        interfaces=%defaultroute
        klipsdebug=none
        plutodebug=none
        plutoload=%search
        plutostart=%search
        uniqueids=yes
        nat_traversal=yes
        virtual_private=%v4:10.0.0.0/8,%v4:172.16.0.0/12,%v4:192.168.0.0/16,%v4:!192.168.0.0/255.255.255.0,%v4:!192.168.2.0/255.255.255.0

conn %default
        keyingtries=0
        disablearrivalcheck=no

conn hornet1
        left=192.168.1.2
        leftnexthop=192.168.1.1
        leftsubnet=192.168.0.0/255.255.255.0
        right=83.228.21.12
        rightsubnet=192.168.2.0/255.255.255.0
        rightnexthop=192.168.1.1
        dpddelay=30
        dpdtimeout=120
        dpdaction=hold
        authby=secret
        auto=start

На другата е обратното , но дали не го бърка, че и двете машини са с адрес 192.168.1.2, какъвто им дава модема.
във /var/log/messages реве с това.

18:18:58 pluto[19359] "hornet2" #3: responding to Main Mode
18:18:58 pluto[19359] "hornet2" #3: transition from state (null) to state STATE_MAIN_R1
18:18:58 pluto[19359] "hornet2" #3: NAT-Traversal: Result using draft-ietf-ipsec-nat-t-ike-02/03: both are NATed
18:18:58 pluto[19359] "hornet2" #3: transition from state STATE_MAIN_R1 to state STATE_MAIN_R2
18:18:58 pluto[19359] "hornet2" #3: Main mode peer ID is ID_IPV4_ADDR: '192.168.1.2'
18:18:58 pluto[19359] "hornet2" #3: no suitable connection for peer '192.168.1.2'
18:18:58 pluto[19359] "hornet2" #3: sending notification INVALID_ID_INFORMATION to 83.228.21.13:500
18:19:08 pluto[19359] "hornet2" #3: Main mode peer ID is ID_IPV4_ADDR: '192.168.1.2'
18:19:08 pluto[19359] "hornet2" #3: no suitable connection for peer '192.168.1.2'
18:19:08 pluto[19359] "hornet2" #3: sending notification INVALID_ID_INFORMATION to 83.228.21.13:500
18:19:28 pluto[19359] "hornet2" #3: Main mode peer ID is ID_IPV4_ADDR: '192.168.1.2'
18:19:28 pluto[19359] "hornet2" #3: no suitable connection for peer '192.168.1.2'
18:19:28 pluto[19359] "hornet2" #3: sending notification INVALID_ID_INFORMATION to 83.228.21.13:500
18:20:08 pluto[19359] "hornet2" #3: max number of retransmissions (2) reached STATE_MAIN_R2
18:20:09 pluto[19359] packet from 83.228.21.13:4500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-03]
18:20:09 pluto[19359] packet from 83.228.21.13:4500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02]
18:20:09 pluto[19359] packet from 83.228.21.13:4500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-00]
18:20:09 pluto[19359] packet from 83.228.21.13:4500: received Vendor ID payload [Dead Peer Detection]
18:20:09 pluto[19359] packet from 83.228.21.13:4500: initial Main Mode message received on 192.168.1.2:4500 but no connection has been authorized with policy=PSK


-----Original Message-----
From: "Dimitar G. Katerinski" <train@xxxxxxx>
To: lug-bg@xxxxxxxxxxxxxxxxxx
Date: Thu, 13 Jan 2005 10:44:54 +0200
Subject: Re: lug-bg: IPSec tunnel & BTC adsl

> 
> Milen Trifonov wrote:
> > Има ли някой да е пускал IPSec тунел през адсл модемите на БТК. Щото
> > имахме работещ VPN,  през доставчик с кабелни модеми. Внезапно клиентите
> > решиха да сменят с БТК. Обаче БТК не искат да настроят модемите в bridge
> > mode, A ги пускат да правят NAT. Та ако някой се е сблъсквал с подобно
> > нещо, да даде някой съвет.
> 
> Здравей,
> 
> Имам около 4-5 IPSec тунела, на машини които са вързани на ADSL към БТК. Някои от
> модемите правят NAT, други са в bridged mode. Принципа изглежда е случаен. БТК
> понякога ми скрояват номер като решат ей туй да префлашнат отдалечено модемите, без
> никакво известие от тяхна страна. Относно NAT-а, IKE демона, който ползваш, трябва
> да поддържа NAT-T (nat traversal). Можеш да погледнеш rfc3947, rfc3715 както и няколко
> IETF драфта
> 
> draft-ietf-ipsec-nat-t-ike-01.txt
> draft-ietf-ipsec-udp-encaps-01.txt
> draft-ietf-ipsec-nat-t-ike-02.txt
> draft-ietf-ipsec-udp-encaps-02.txt
> draft-ietf-ipsec-nat-t-ike-03.txt
> draft-ietf-ipsec-udp-encaps-03.txt
> draft-ietf-ipsec-nat-t-ike-04.txt
> draft-ietf-ipsec-udp-encaps-04.txt
> 
> Това, което ползвам аз е racoon (http://ipsec-tools.sourceforge.net/). Приличен демон,
> без много шарении, но с поддръжка на основните неща. Има поддръжка и за NAT-T.
> Давам ти пример:
> 
> 
> remote xxx.xxx.xxx.xxx {
>          ...
>          ...
>          nat_traversal on;
>          ...
>          proposal {
>                   ...
>                   ...
>          }
> }
> 
> За повече информация `man racoon.conf'.
> 
> Поздрави,
> Димитър
> ============================================================================
> A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
> http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. - Stara Zagora
> To unsubscribe: http://www.linux-bulgaria.org/public/mail_list.html
> ============================================================================
> 
============================================================================
A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. - Stara Zagora
To unsubscribe: http://www.linux-bulgaria.org/public/mail_list.html
============================================================================