Nach Update auf 23.1.1 (23.1) strongswan Daemon stürz nach unbekannter Zeit ab.

[the_Mod]

Hallo an die Gemeinde,

auch nach dem Update auf 23.1.1 stürzt der strongswan Daemon (IPSEC) nach undefinierter Zeit ab. Im gegensatz zum PSK, wird hier mit Zertifikaten gearbeitet. Auch das vorgänger Update, was ja im IPSEC den Fehler beheben sollte (PSK, wenn ich das so richtig verstanden hatte) gab es weiterhin Problem, so das ich auf 22.7.11 zurück musste, wo der Fehler nicht aufgetreten ist.

Man kann disen Daemen per hand starten, muss ihn aber noch einmal neu starten, damit er dann auch wieder (kurzzeitig) funktionierte.

Unter den Logs kann ich nichts finden (oder ich schaue an der falschen stelle)

Jemand mal eine Idee?

Vielen Dank

[the_Mod]

So mal eine kleine Ergänzung, auszug aus dem Log:

2023-02-27T18:13:19   Notice   daemon   -> ??:0   
2023-02-27T18:13:19   Notice   daemon   /lib/libthr.so.3 @ 0x00000008003a0000 (pthread_sigmask+0x540) [0x00000008003ba580]   
2023-02-27T18:13:19   Notice   daemon   dumping 11 stack frame addresses:
2023-02-27T18:13:19   Notice   daemon   /usr/local/lib/ipsec/plugins/libstrongswan-x509.so @ 0x0000000801079000 (x509_cert_load+0x17d6) [0x0000000801083176]   
2023-02-27T18:13:19   Notice   daemon   0x7ffffffff8a3 <???> at ???   
2023-02-27T18:13:19   Notice   daemon   -> ??:0   
2023-02-27T18:13:19   Notice   daemon   /lib/libthr.so.3 @ 0x00000008003a0000 (pthread_setschedparam+0x82f) [0x00000008003b9b3f]   
2023-02-27T18:13:19   Notice   daemon   -> ??:0

und das geht immer so weiter

Hat das jemand schon so gesehen und besser wäre noch eine Idee

[the_Mod]

Abend

Nach 23.1.2 geht per IPSEC nun gar nichts mehr. Der Dienst funktioniert, aber ein Tunnel kommt nun garnicht mehr zu stände.

unter 22.7 funktioniert die gleiche Konfiguration ohne Probleme und der Tunnel kommt zu stande.

[groove21]

Ich vermute, du hast das gleiche Problem wie atom und ich:

https://forum.opnsense.org/index.php?topic=32429.0

Hast du auch DYNDNS am anderen Ende des Tunnels und in deinen Configs? Das scheint generell Probleme zu machen. Ich bin wieder zurück auf 22.

[schnipp]

Hat das jemand schon so gesehen und besser wäre noch eine Idee

Das sieht in der Tat nach einem Bug aus (vorausgesetzt, der Health Check der Opnsense bescheinigt, dass alle Dateien in Ordnung sind). Da mein IPsec sowohl mit PSK als auch Zertifikaten zuverlässig läuft, vermute ich mal, dass der Absturz möglicherweise in Parser der Zertifikate auftritt. Das darf natürlich nicht passieren, auch wenn Zertifikate defekt sein sollten.

• Führe den Health-Check der Opnsense aus
• Prüfe die Struktur aller Zertifikate auf Fehler
• Prüfe das Dateisystem auf Fehler

Wie hast Du die Zertifikate denn erstellt?