Messages

[-PfsGroup ECP384]

The Windows 10 IPSec client has not activated PFS by default.

I had activated PFS under "VPN: IPsec: Mobile Clients -> Phase 2 PFS Group". Windows 10 silently establishes a connection without errors. The connection dies after approx. 200-300 MB of data has been transferred.

To solve this, the connection must be created via Powershell and, for example, the correct PFS parameters must be transferred. This is not possible in the GUI.

PS C:\> Add-VpnConnection -Name "Contoso" -ServerAddress 176.16.1.2 -TunnelType "Ikev2"
PS C:\> Set-VpnConnectionIPsecConfiguration -ConnectionName "Contoso" -AuthenticationTransformConstants None -CipherTransformConstants AES256 -EncryptionMethod AES256 -IntegrityCheckMethod SHA384 -PfsGroup ECP384 -DHGroup ECP384 -PassThru -Force

Problem could be fixed! The fault was the activation of PFS. The Windows 10 client does not receive this setting, if not appropriately set via Powershell. This then led to exactly this error pattern.

If anyone is still affected by IPsec instability, please test the following:
Please report back.

Hello Frank, we have the exact same problem with a new installed 21.1. Disable hardware acceleration doesnt help us. We tried to run the vm with e1000 card instead a vmxnet3 Vmware card, nothing helps.

The setup works properly with EAP-Radius and W10 ikeV2 Clients, but after transmitting 200 - 250 Mbyte Data the Tunnel stalled.

Any Ideas?

Hallo Christian,

nein bin leider ich noch nicht weitergekommen. Heute nochmal durchgespielt mit der neuen 20er Version.

Danke für den Tipp, werde mit Hetzner -> Cloudflare DNS mal anschauen.

Gruß

Thomas

Moin,

ich versuche über letsencrypt, DNS-01 Validierung und ohne Schreibzugriff ein Zertifikat zu bekommen.

Bei meinem Hoster habe ich nur den üblichen WebDNS 'add TXT Record' Zugang.
Durch das starten des Certbot bekommen ich:
- den TXT Key
- trage ihn händisch ein
- ein Abbruch des certbot -> da Key nicht da (so schnell kann keiner sein)

Zu Fuss (cli) wartet der certbot und gibt Dir die Chance den Wert ins DNS zu bringen, in der GUI nicht.
Für PFsense gibt es ein interessantes Vorgehen https://www.reddit.com/r/PFSENSE/comments/5v6b0a/how_to_acme_lets_encrypt_dns_manual/ .
Das konnte ich nicht übertragen, da es keine renew Button gibt sondern nur einen kombinierten issue/renew.

Hat noch jemand eine Idee?

Ciao
Thomas