Plötzlich 8 IPSec Tunnel weg. Fehler in OPNsense

[0xDEADC0DE]

Von jetzt auf gleich sind 8 IPSec Tunnel offline und lassen sich nicht mehr starten.
Nach längerem Debuggen hab ich folgendes in den Logs gefunden.

Aug 29 00:42:09    charon: 16[CFG] configured proposals: ESP:AES_CBC_256/HMAC_SHA2_512_256/MODP_2048/NO_EXT_SEQ
Aug 29 00:42:09    charon: 16[CFG] received proposals: ESP:AES_CBC_256/HMAC_SHA2_512_256/MODP_1536/NO_EXT_SEQ

Ich hab aber kein MODP_2048 konfiguriert sonder MODP_1536.
Ich habe in Phase 2 geschaut. Egal was ich unter PFS einstelle, wenn ich

cat /usr/local/etc/ipsec.conf
aufrufe steht IMMER
esp = aes256-sha512-modp2048!
Ich kann AES ändern und SHA ändern usw. Aber -modp2048 bleibt IMMER stehen hinter jeder esp Einstellung und bei jeder IPSec Verbindung. Woher kommt das plötzlich?
Selbst Phase 2 Einträge löschen und neu anlegen ändert nichts.

Ach ja. An der Oberfläche stimmt alles was ich eingestellt habe.
Egal welche PFS Einstellung, sie ist immer da. Nur der Eintrag in der ipsec.conf ist IMMER falsch.

[0xDEADC0DE]

Ich hab jetzt noch in
/conf/config.xml
nachgeschaut.
Da steht auch alles richtig drinnen.

[0xDEADC0DE]

Ich hab jetzt manuell die ipsec.conf angepasst und strongswan neu gestartet.
Jetzt funktionieren die geänderten Verbindungen wieder

[franco]

Ist das vielleicht ein Cluster? Bringt es ein Neustart zum Ziel? IKEv1 oder IKEv2?


Grüsse
Franco

[0xDEADC0DE]

Kein Cluster. Aktuelle 17.7er Version.
Ein Neustart bringt leider gar nichts.
Sind alles IKEv1 VPNs.

Bevor das Problem aufgetreten ist hatte ich das einzige VPN mit Aggressive Mode
auf Main Mode geändert. Das war alles. Ob das die Ursache war kann ich nicht
sagen.

[franco]

Klingt schon danach... ich schau mal.

[franco]

EDIT: Wird denn der Config-Apply-Restart ausgeführt? Klappt bei mir.

Auch:

# grep pfsgroup /conf/config.xml


Grüsse
Franco

[0xDEADC0DE]

Wie prüfe ich ob der Config-Apply-Restart ausgeführt wird?

[franco]

Sicher sein kann man, wenn man nach dem Speichern der Phase 1/2 Einstellungen auf den Apply-Button in der blauen Info-Box der neu geladenen Seite klickt.

Oder das "Enable IPsec" ausmachen und dann wieder anmachen.

Oder ein Reboot.

Wenn es richtig in der config.xml ist, dann ist es mit all diesen Methoden eigentlich auch in der ipsec.conf.


Grüsse
Franco

[0xDEADC0DE]

Ich habs gerade versucht. Egal was ich mache, in der config.xml stehen die richtigen Werte.
In der ipsec.conf sind sie falsch.
Was kann ich noch tun um den Fehler zu finden?

[0xDEADC0DE]

Egal was ich mache, das Problem bleibt.
Habt ihr noch einen Hinweis was ich machen kann?

[mimugmail]

Neu gestartet hast du oder?

[0xDEADC0DE]

Ja. Alles gemacht. Gerade hat OPNsense wohl die Config neu geschrieben und die VPNs waren wieder weg.
Egal ob ich neu boote oder bei IPSec etwas ändere.
die ESP DH Group steht falsch in der ipsec.conf

[mimugmail]

Hm, PSKs aufschreiben und alle VPNs löschen und neu anlegen.
Eigentlich kann ichs mir nicht vorstellen, aber entweder so, oder vorher mal alle P1 und P2 deaktivieren und eins nach dem anderen aktivieren und schauen wann bzw. ob eins allein dann funktioniert.

[0xDEADC0DE]

Alle löschen hat nicht funktioniert. Nach längerem Suchen hab ich den Fehler in OPNsense gefunden.
Ich hatte im IPSec Mobile Client PFS auf 14, also 2048, konfiguriert. Mobile Client war aber
abgeschaltet. Trotzdem werden für alle VPNs die PFS Group aus dem Mobile Client genommen.