Messages

Jan 22 21:10:39 Felix--iPhone-7-Plus neagent(NetworkExtension)[2579] <Error>: Received error: Error (Authentication Failed)
Jan 22 21:10:39 Felix--iPhone-7-Plus neagent(NetworkExtension)[2579] <Error>: Failed to process IKE Auth packet

Ich nehme an, diese Anleitung ist auch bekannt: https://docs.opnsense.org/manual/how-tos/ipsec-road.html

"charon: 05[IKE] configured EAP-only authentication, but peer does not support it"

Ich meine irgendwo gelesen zu haben, dass Apple mit xauth nicht wirklich funktioniert. Die Empfehlung war mit Zertifikaten zu arbeiten. Zudem glaube ich mich daran erinnern zu können, dass die Anbindung nicht über IPSec, sondern über OpenVPN laufen soll. Versuch doch mal das Smartphone über OpenVPN anzubinden.

stefan

https://docs.opnsense.org/manual/how-tos/ipsec-road.html

Die Anleitung ist in Ordnung.

Meine Frage ziehlt darauf ab, wie können Smartphones mit unterschiedlichen Verschlüsselungs-Algorithmen angebunden werden? Muss in diesem Fall der kleinste kompatible Algorithmus definiert werden? Offensichtlich können nicht mehrere mobile Clients angelegt werden. Im Gegensatz zu OpenVPN, dort sind ja mehrere Clients möglich.

stefan

Gilt das auch im Jahr 2017 für OPNsense?

https://forum.pfsense.org/index.php?topic=80354.0

Das würde in der Praxis bedeuten, dass unterschiedliche Smartphones nicht über IPSec anzubinden sind, ist diese Schlussfolgerung korrekt?

stefan

[Mit den entsprechenden Firewall-Regeln]

Mit Hilfe von unten stehenden Anleitungen (und ein paar Tage probieren) habe ich eine IPSec-Verbindung von OPNsense zu einem Blackberry Passport eingerichtet. Hierbei habe ich mich im Wesentlichen an folgende Anleitungen gehalten:

- https://wiki.openwrt.org/doc/howto/vpn.ipsec.roadwarrior
- https://wiki.strongswan.org/issues/1043
- http://forum.ipfire.org/viewtopic.php?t=6955
- https://help.blackberry.com/en/bes12/12.3/administration/ake1450126295640.html

Ich bin auf der OPNsense folgendermassen vorgegangen:

1. User für den Blackberry eingerichtet
2. User die xauth Einwahlberechtigung erteilt
3. Für den User ein Zertifikat erstellt. Für das IPSec-PKI san muss der DNS der Domäne (im Falle von einem DynDns, der Name des DynDns) eingetragen werden.
4. mobile client, Tunnel Phase 1 und 2 (V2) konfigurieren. Da ich mit Zertifikaten die Verbindung aufgebaut habe, steht bei Phase 1 (Authentication):
- Auth method: Mutual RSA
- Negotiation: aggresive
- My identifier: My IP adress
- Peer identifier: Distinguished name --> Name des Zertifikats
- My Certificate: das erstellte Zertifikat für den User Blackberry auswählen
- My Certificate Authority: die gültige CA

Phase 1 (Algorithms):
richtet sich nach dem Client. Im Fall des des Blackberry Passports:
- Encrypt Algorythm: AES 256
- Hash: SHA1
- DH group: 2
- Lifetime: 86400
- Disable Rekey und Reauth: unchecked
- NAT Traversal: Enabled
- DPD: checked 10/5

Phase 2:
- Mode: Tunnel IPV4
- Type: Network
- Adress: 0.0.0.0/0
- NAT-Type: auto
- Type: none
- Protocol: ESP
- Encrypt algorythms: AES 256. Der Rest ist unchecked.
- Hash algorythms: SHA1. Der Rest ist unchecked.
- PFS key group: 2
- Lifetime: 28800

Das pkcs12-Zertifikat wird in der OPNsense unter OpenVPN - Client Export ausgewählt, und als Archiv heruntergeladen. Hier muss unter Host Name resolution der DNS eingetragen werden. Weiter muss ein Passwort für das Zertifikat vergeben werden. (Use a password to protect the pkcs12 file contents or key in Viscosity bundle.)

Das pkcs12 kann man sich per email schicken, oder über einen smb-connect auf den BB über WLAN kopieren. Nachdem das Zertifikat installiert ist, wird im Blackberry als Gateway-Typ der Generische IKEv2 VPN-Server mit Zertifikat (PKI) konfiguriert. Die Serveradresse ist der DNS. Der Typ d. Auth-ID ist der Definierte Name des Identitätszertifikats. Das Client Zertifikat ist das zuvor installierte Client-Zertifikat aus dem pkcs12-Bundle. Gateway-Auth ist wieder PKI. Auch hier ist der Typ d. Auth-ID wieder der Definierte Name des Identitätszertifikats. Nicht vertrauenswürdiges Zertifikat muss auf "Zulassen" gestellt werden. Das Zertifizierungsstellenzertifikat für das Gateway ist das bereits installierte CA-Zertifikat aus dem pkcs12-Bundle. Perfekte Geheimhaltung b. d. Weiterleitung ist eingeschaltet. Gleiches gilt für IP autom. ermitteln, DNS und Algorithmus. IKE Lebensdauer 86400, IPSec 10800, NAT 30, DPD 240, Proxy verwenden ist aus.

Mit den entsprechenden Firewall-Regeln führt das alles zusammen zu einem funktionierenden IPSec VPN-Tunnel zu/auf einem Blackberry Passport. Internet funktioniert problemlos durch den Tunnel, was mir jedoch wichtiger ist, eine Mailbox kann mit einer IP aus dem lokalen Netz am anderen Ende des Tunnels definiert werden. Bei Verwendung von z.B. MS-Active-Sync kann der Port 443, 993 und 465 an der OPNsense geschlossen bleiben.

stefan

Wenn ich das richtig sehe, kann genau ein Mobile Client (Smartphone) definiert werden. Dazu wird ein Tunnel mit Phase 1 und 2 definiert. Wenn alles korrekt ist, dann verbindet sich das entsprechende Smartphone mit OPNsense.

Wie ist aber die Vorgehensweise, wenn nun von mehreren Nutzern unterschiedliche Smartphones, die alle unterschiedliche Phase 1 und 2 Parameter bedingen, verbunden werden sollen?

Vielen Dank für jede Hilfe.
stefan

Hier das log von ipsec:

Jan 22 22:01:38    charon: 12[IKE] CHILD_SA con1{8} established with SPIs ca9dfd02_i fc292792_o and TS 10.16.42.0/24 === 10.16.42.1/32
Jan 22 22:01:38    charon: 12[IKE] <con1|8> CHILD_SA con1{8} established with SPIs ca9dfd02_i fc292792_o and TS 10.16.42.0/24 === 10.16.42.1/32
Jan 22 22:01:38    charon: 12[ENC] parsed QUICK_MODE request 4210329793 [ HASH ]
Jan 22 22:01:38    charon: 12[NET] received packet: from 89.204.155.28[38220] to 192.168.178.10[4500] (60 bytes)
Jan 22 22:01:38    charon: 12[NET] sending packet: from 192.168.178.10[4500] to 89.204.155.28[38220] (172 bytes)
Jan 22 22:01:38    charon: 12[ENC] generating QUICK_MODE response 4210329793 [ HASH SA No ID ID ]
Jan 22 22:01:38    charon: 12[IKE] received 10800s lifetime, configured 28800s
Jan 22 22:01:38    charon: 12[IKE] <con1|8> received 10800s lifetime, configured 28800s
Jan 22 22:01:38    charon: 12[ENC] parsed QUICK_MODE request 4210329793 [ HASH SA No ID ID ]
Jan 22 22:01:38    charon: 12[NET] received packet: from 89.204.155.28[38220] to 192.168.178.10[4500] (444 bytes)
Jan 22 22:01:38    charon: 12[NET] sending packet: from 192.168.178.10[4500] to 89.204.155.28[38220] (92 bytes)
Jan 22 22:01:38    charon: 12[ENC] generating TRANSACTION response 1612096853 [ HASH CPRP(ADDR SUBNET) ]
Jan 22 22:01:38    charon: 12[IKE] assigning virtual IP 10.16.42.1 to peer 'bb10'
Jan 22 22:01:38    charon: 12[IKE] <con1|8> assigning virtual IP 10.16.42.1 to peer 'bb10'
Jan 22 22:01:38    charon: 12[IKE] peer requested virtual IP %any
Jan 22 22:01:38    charon: 12[IKE] <con1|8> peer requested virtual IP %any
Jan 22 22:01:38    charon: 12[ENC] parsed TRANSACTION request 1612096853 [ HASH CPRQ(ADDR MASK DNS NBNS U_SPLITINC U_DEFDOM U_BANNER U_SAVEPWD U_PFS U_FWTYPE VER) ]
Jan 22 22:01:38    charon: 12[NET] received packet: from 89.204.155.28[38220] to 192.168.178.10[4500] (172 bytes)
Jan 22 22:01:38    charon: 13[IKE] maximum IKE_SA lifetime 86151s
Jan 22 22:01:38    charon: 13[IKE] <con1|8> maximum IKE_SA lifetime 86151s
Jan 22 22:01:38    charon: 13[IKE] scheduling reauthentication in 85611s
Jan 22 22:01:38    charon: 13[IKE] <con1|8> scheduling reauthentication in 85611s
Jan 22 22:01:38    charon: 13[IKE] IKE_SA con1[8] established between 192.168.178.10[192.168.178.10]...89.204.155.28[bb10]
Jan 22 22:01:38    charon: 13[IKE] <con1|8> IKE_SA con1[8] established between 192.168.178.10[192.168.178.10]...89.204.155.28[bb10]
Jan 22 22:01:38    charon: 13[ENC] parsed TRANSACTION response 1393998599 [ HASH CPA(X_STATUS) ]
Jan 22 22:01:38    charon: 13[NET] received packet: from 89.204.155.28[38220] to 192.168.178.10[4500] (76 bytes)
Jan 22 22:01:38    charon: 13[NET] sending packet: from 192.168.178.10[4500] to 89.204.155.28[38220] (76 bytes)
Jan 22 22:01:38    charon: 13[ENC] generating TRANSACTION request 1393998599 [ HASH CPS(X_STATUS) ]
Jan 22 22:01:38    charon: 13[IKE] detected reauth of existing IKE_SA, adopting 0 children and 1 virtual IPs
Jan 22 22:01:38    charon: 13[IKE] <con1|7> detected reauth of existing IKE_SA, adopting 0 children and 1 virtual IPs
Jan 22 22:01:38    charon: 13[IKE] XAuth authentication of 'bb10' successful
Jan 22 22:01:38    charon: 13[IKE] <con1|8> XAuth authentication of 'bb10' successful
Jan 22 22:01:38    charon: 13[IKE] XAuth-SCRIPT succeeded for user 'bb10'.
Jan 22 22:01:38    charon: 13[IKE] <con1|8> XAuth-SCRIPT succeeded for user 'bb10'.
Jan 22 22:01:38    charon: user 'bb10' authenticated
Jan 22 22:01:38    charon: 13[ENC] parsed TRANSACTION response 276435399 [ HASH CPRP(X_USER X_PWD) ]
Jan 22 22:01:38    charon: 13[NET] received packet: from 89.204.155.28[38220] to 192.168.178.10[4500] (92 bytes)
Jan 22 22:01:38    charon: 13[NET] sending packet: from 192.168.178.10[4500] to 89.204.155.28[38220] (76 bytes)
Jan 22 22:01:38    charon: 13[ENC] generating TRANSACTION request 276435399 [ HASH CPRQ(X_USER X_PWD) ]
Jan 22 22:01:38    charon: 13[IKE] remote host is behind NAT
Jan 22 22:01:38    charon: 13[IKE] <con1|8> remote host is behind NAT
Jan 22 22:01:38    charon: 13[IKE] local host is behind NAT, sending keep alives
Jan 22 22:01:38    charon: 13[IKE] <con1|8> local host is behind NAT, sending keep alives
Jan 22 22:01:38    charon: 13[ENC] parsed AGGRESSIVE request 0 [ NAT-D NAT-D HASH N(INITIAL_CONTACT) ]
Jan 22 22:01:38    charon: 13[NET] received packet: from 89.204.155.28[38220] to 192.168.178.10[4500] (140 bytes)
Jan 22 22:01:38    charon: 13[NET] sending packet: from 192.168.178.10[500] to 89.204.155.28[38994] (392 bytes)
Jan 22 22:01:38    charon: 13[ENC] generating AGGRESSIVE response 0 [ SA KE No ID V V V NAT-D NAT-D HASH ]
Jan 22 22:01:38    charon: 13[CFG] selected peer config "con1"
Jan 22 22:01:38    charon: 13[CFG] looking for XAuthInitPSK peer configs matching 192.168.178.10...89.204.155.28[bb10]
Jan 22 22:01:38    charon: 13[IKE] 89.204.155.28 is initiating a Aggressive Mode IKE_SA

Nachtrag:
VPN: IPsec: Security Policy Database

Source    Destination    Direction    Protocol    Tunnel endpoints
10.16.42.1    10.16.42.0/24       ESP    89.204.155.28 -> 192.168.178.10
10.16.42.0/24    10.16.42.1       ESP    192.168.178.10 -> 89.204.155.28

Hallo Astronach,

danke für Deine Rückantwort.

Ich versuche es mal mit den Details:

Die Firewall ist als Exposed Host hinter einer Fritzbox gesetzt. Der Blackberry wählt sich in eine Cisco Secure PIX Firewall VPN ein. Die Serveradresse ist eine dynamische - xxx.dyndns.org.

IP IF WAN: 192.168.178.10

1. Der Client hat den virtuellen Adress Pool 10.16.42.0/24
2. Die Tunnel-Einstellungen in der Phase 2 für das local subnet sind IPv4 tunnel 0.0.0.0/0
3. Die Firewall sieht wie folgt aus:
- Keine Floating rules
- IF IPSec: IPv4 *    *    *    *    *    *    
- IF LAN: IPv4 *    LAN net    *    *    *    *
- IF LAN: IPv6 *    LAN net    *    *    *    *
- IF WAN: IPv4 ESP    *    *    *    *    *    
- IF WAN: IPv4 UDP    *    *    *    500 (ISAKMP)    *
- IF WAN: IPv4 UDP    *    *    *    4500 (IPsec NAT-T)    *
- NAT Outbound:
IPsec    any     *    *    *    192.168.178.10    *    NO
WAN    127.0.0.0/8 192.168.42.0/24 10.0.50.0/24 10.0.50.0/24 10.0.50.0/24 10.0.50.0/24 10.16.42.0/24    *    *    500    WAN address    *    YES
WAN    127.0.0.0/8 192.168.42.0/24 10.0.50.0/24 10.0.50.0/24 10.0.50.0/24 10.0.50.0/24 10.16.42.0/24    *    *    *    WAN address    *    NO

Der Blackberry hat die Serveradresse 84.130.144.244. Die private IP-Adresse ist die 10.16.42.1/255.255.255.255.
Die Subnetze sind 84.130.144.244/255.255.255.255 und 10.16.42.0/255.255.255.0

Der primäre DNS ist im Blackberry mit 8.8.8.8 definiert. Die private Serveradresse ist 10.16.42.1.

Ein Ping aus der OPNsense auf 10.16.42.1 bringt 100% loss.

Es gibt jede Menge Posts im Netz zu IPSec, Blackberry und OPNsense oder PFsense. Meistens geht es darum, dass überhaupt ein Tunnel aufgebaut wird. Das ist hier ja nicht der Fall. Der Tunnel steht.

VPN: IPsec: Lease Status

   Pool: 10.16.42.0/24 Usage: 1/254 Online: 1    
   User    Host    Status    
   bb10    10.16.42.1    (online)

Der DNS-Forwarder ist aktiviert, ebenso der Proxy-Server. Im Forward sind die Interfaces lan, OpenVPN und IPSec definiert. In der Access Control List sind als Allowed Subnets das VPN-Netz und 10.16.42.0/24 hinterlegt.

Also Tunnel steht - aber kein Datenverkehr möglich. Wer kann helfen?

stefan

Ich habe eine IPsec-Verbindung zu einem BB Passport eingerichtet. Zum Verbindungsaufbau habe ich im BB eine Cisco Secure PIX Firewall VPN definiert.

Die Verbindung wird sofort und ohne Fehler aufgebaut!

Allerdings kann ich mit dem BB weder surfen noch emails empfangen. Ich erhalte im BB die Meldung, dass keine Netzwerkverbindung vorhanden ist. Im BB sind in der Standard-Konfiguration keine DNS-Server definiert. Das Telefon zeigt auch keine DNS-Server nach dem Verbindungsaufbau an. Das VPN-Profil im BB ist mit

- IP automatisch ermittlen,
- DNS automatisch ermitteln, und
- Algorithmus automatisch ermitteln
- Proxy verwenden "aus"

eingestellt.

Was mache ich falsch?

Vielen Dank für jede Hilfe.
stefan

Unter NAT - Port Forward:

WAN --> This Firewall (Port 443) --> IP des Servers (Port 443)

Unter Rules - WAN:

Source * Port * --> Destination Server IP (Port 443) --> Gateway *

Es funktioniert, die Regel unter WAN wurde automatisch angelegt, nachdem ich zuerst die Port-Forward Regel erstellt habe.

Ist das so korrekt? Vielen Dank für jeden Kommentar dazu.

stefan

Ich teste in einer virtuellen Umgebung die OPNsense FW. Im Echtbetrieb ist (noch) ein IPCop im Einsatz.

Der Server hinter der FW ist ein SME Server (CentOS basierter LINUX-Fileserver) mit der Groupware Horde 5.2.x. Im IPCop ist folgender ausgehender Traffic von der Grünen Schnittstelle ins WAN erlaubt:
- Port 993
- Port 443
- Port 465

Als Portweiterleitung ist definiert:
- Schnittstelle beliebig auf Grün: Port 443
- Schnittstelle beliebig auf Grün: Port 993

Die rote Schnittstelle ist geöffnet für:
- isakmp (Port 500), und
- IPsec (müsste Port 4500) sein, und zeigt auf den IPCop.

Zumindest in meiner virtuellen Umgebung bekomme ich keinen Sync zwischen Smartphone und Server hin.

Kann mir jemand weiterhelfen, was mache ich da falsch?

Vielen Dank im voraus,
stefan

fabian,

vielen Dank für Deine Antwort.

Es ist mir peinlich - wenn man jedoch die falsche Arbeitsgruppe bzw. Domain angibt, dann kann das nie funktionieren. Sorry, mit dem korrekten Namen ist alles o.k.

stefan

Guten Tag,

ich würde gerne vom IPCop zu OPNsense wechseln. Daher habe ich unter virtualbox ein Testnetzwerk aufgebaut.

OPNsense (WAN bridged, 192.168.84.10 - Gateway zu 192.168.84.1 / LAN 192.168.24.1) --> SME Server (192.168.24.10) als Domain-Controller --> WIN7 Client (DHCP von OPNsense). Alle LAN-Adapter sind Host-only konfiguriert. Host-only Netzwerk ist 192.168.24.1/255.255.255.0 /DHCP aus, konfiguriert.

Unter dem IPCop ist es möglich den Windows 7 Client in die Domäne des des SME-Servers beitreten zu lassen. Das gelingt mir mit der Firewall OPNsense nicht. Ich erhalte die Fehlermeldung:

"Es konnte keine Verbindung mit einem AD DC für die Domäne XYZ.local hergestellt werden. Fehler: Der DNS-Name ist nicht vorhanden, Fehlercode: 0x0000232B RCODE_NAME_ERROR. Es handelt sich um die Abfrage des Dienstidentifizierungseintrags (SRV) für _ldap._tcp.dc._msdcs.XYZ.local"

Häufigste Fehlerursache: Die zum Ermitteln eines AD DC erforderlichen DNS-SRV-Einträge wurden nicht in DNS registriert.... Diese Computer wurde zum Verwenden von DNS-Servern mit den folgenden IP-Adressen konfiguriert:

192.168.24.10 (das ist der SME-Server der als Domain-Controller agieren soll)

- Mindestens eine der folgenden Zonen enthalten kein Delegierung zu dieser untergeordneten Zone:

XYZ.local (diese Domäne ist korrekt, sowohl OPNsense als auch der Server sind entsprechend konfiguriert))
local
- (die Stammzone)

Unter den Netzwerkverbindungsdetails zeigt der WIN7-Rechner:
Verbindungsspezifisches DNS-Suffix: XYZ.local
DHCP-aktiviert: Ja
IPv4-Adresse: 192.168.24.51
...
IPv4-Standardgateway: 192.168.24.1 (OPNsense - Firewall)
IPv4-DHCP-Server: 192.168.24.1
IPv4-DNS-Server: 192.168.24.10
IPv4-WINS-Server: 192.168.24.10
Netbios über TCPIP aktiviert: Ja

Alle Rechner können sich gegenseitig anpingen, und auch in das Internet pingen. Sowohl der Ping auf eine IP, als auch auf z.B. google.com funktionieren

Ich weiss nicht was ich falsch mache. Weshalb kann der Client der Domäne nicht beitreten?

Vielen Dank für jede Hilfe.
stefan