IKEv2 VPN bricht bei Datenfluss die Verbindung ab

[AndreK]

Guten Tag zusammen,

Ich möchte aktuell von einem Lancom (1781VAW(over ISDN) inkl aktueller Firmware) ein neues VPN zu meiner Opensense aufbauen.

Aktuell existiert auf dem Lancom schon ein VPN zur alten Zentrale welches ich mit dem neuem Tunnel ersetzten möchte. Dies ist ein IKEv1 was Problemlos funktioniert.

Das neue soll ein IKEv2 werden. Das Problem ist das VPN bleibt aktiv und die SA's handeln sich auch neu aus, solange wie keine Traffic auf das VPN kommt. Sobald dies passiert bricht das VPN nach ca. 10min ab.

Anbei einmal ein Netzdiagram und das Log+Einstellungen der Sense.

Ablauf:
14:34:55 Aufbau des VPNs
Leelauf
16:04:43 Start ICMP über das VPN
Alles wunderbar
16:15:31 VPN bricht ab
Erneuter VPN Aufbau schlägt nun immer fehl.

Die Frage ist nun warum?

[AndreK]

Hier noch die Child_SA und das Log des Lancom (läßt sich mit Notepad o.ä. öffnen).

Bin für jeden Tipp dankbar. Sitzte schon 3 Tage an dem Fehler.

Gruß Andre

[mimugmail]

Wieso hast du respond only? Wieso ist reauth deaktiviert?

[AndreK]

Da der Lancom nicht immer an ist, Respond only.

Reauth ist aus, weil wenn ich es an schalte der Tunnel schon beim ersten Reauth abbricht.
Laut Wiki hier https://wiki.strongswan.org/projects/strongswan/wiki/ExpiryRekey baut er erst alle IKE's und SA's ab um sie dann wieder aufzubauen, was bei Voice nicht so schön ist. Darum ist es aus.

Ich würde den Schalter in der conf auch gerne ändern, denke aber das die Sense mir das nach jedem Stopen und starten der Dienste wieder überschreibt oder?

Gruß Andre

[mimugmail]

Du kannst über eine include auch eine eigene config laden, allerdings wird die dann nicht in der UI angezeigt

[AndreK]

Das wäre die unschönste Variante.

Kann ich den Dienst einfach stopppen und die strongswan.conf einfach ändern und danach den Dienst wieder starten oder überschreibt er es da auch schon?

Die Spannende Frage wäre aber warum der Tunnel abbricht sobald Daten fließen.
Ich hatte ihn von gestern auf heute 24h laufen ohne Daten. Kein Problem.

Sobald ich anfange zu pingen ist der Tunnel nach 2-10min tot.

Gruß Andre