IPsec mit VTI, kein automat. Start bei Datenverkehr

[siegfried]

Guten Abend allerseits,
ich möchte ein Site-2-Site mit VTI aufbauen. Baue ich den Tunnel manuell auf oder setze die Config auf "sofort starten" ist alles schick (also hab ich wohl keine grundsätzlichen Fehler gemacht), aber nur bis der Tunnel dann mal abgebaut wird. Der Tunnel wird nicht automatisch aufgebaut, Anbei die Meldungen dazu (zeitliche Abfolge von oben nach unten):

charon: 15[KNL] received an SADB_ACQUIRE with policy id 2 but no matching policy found
charon: 15[KNL] creating acquire job for policy a.b.c.d/32 === w.x.y.z/32 with reqid {0}
charon: 16[CFG] trap not found, unable to acquire reqid 0

Auf beiden Büchsen läuft 19.1.8, beide zeigen das gleiche Verhalten, Auf der einen ist das einzige Tunnel, auf der anderen laufen noch andere, bisher policy-basierte Tunnel.

Kennt jemand das Problem oder hat eine Idee, wo der Fehler liegt?
Danke vorab,
Siegfried

[micneu]

Sorry, für mich zum Verständnis, was ist ,,VTI"?


Gesendet von iPad mit Tapatalk Pro

[mimugmail]

0 ist komisch, eigentlich geht's ab 1000 los. Schau Mal in die ipsec.conf

[siegfried]

Sorry, für mich zum Verständnis, was ist ,,VTI"?


Gesendet von iPad mit Tapatalk Pro

VTI = virtual tunnel interface
Hier ist ein Howto dazu: https://github.com/opnsense/docs/blob/master/source/manual/how-tos/ipsec-s2s-route.rst

[siegfried]

Moin minugmail,
in der ipsec.conf steht reqid = 1000

conn con1
  aggressive = no
  fragmentation = yes
  keyexchange = ikev2
  mobike = yes
  reauth = yes
  rekey = yes
  forceencaps = no
  installpolicy = no
 
  dpdaction = none
  left = x.x.x.x
  right = y.y.y.y
 
  leftid = xxx.yyy.de
  ikelifetime = 28800s
  lifetime = 28800s
  ike = aes256-sha512-ecp521!
  leftauth = pubkey
  rightauth = pubkey
  leftcert = /usr/local/etc/ipsec.d/certs/cert-1.crt
  leftsendcert = always
  rightca = "meineCA"
  rightid = xxx.yyy.de
  reqid = 1000
  rightsubnet = 0.0.0.0/0
  leftsubnet = 0.0.0.0/0
  esp = aes256-sha512-ecp521!
  auto = route

[mimugmail]

Hm, das würde ja eher auf einen Bug in strongswan selbst hinweisen.
Wenn du nur danach googlest kommt nix?

"creating acquire job for policy" "with reqid {0}"

[siegfried]

Leider nichts, was mich weiterbringt. Was ich da finde ist z.T. mehrere Jahre alt...:-(

[siegfried]

Gerade gefunden: wie es scheint gibt's dazu zwei Tickets.
https://github.com/opnsense/core/issues/2332
https://github.com/opnsense/core/issues/3443
Hab ich also morgen früh im Büro was zu lesen ;-)

[siegfried]

Nachdem ich das Thema zwischendurch habe ruhen lassen, nun ein neuer Versuch mit 19.7.1 auf der einen Büchse. Leider immer noch dasselbe Verhalten. Hab auch schon die gesamte IPSec config geklöscht, die Kiste zurückgesetzt und das config-Backup wieder draufgenagelt und das VPN neu konfiguriert. Hat nix gebracht.

[mimugmail]

Ich hab den Fehler auch schon bei Policy based mit Checkpoint gesehen, ich glaub das heißt nicht viel. Stell doch mal alles auf bekannten Standard, also AES 256, SHA256, DH14 und PSK statt cert. Ist es dann besser?

[GaardenZwerch]

Ich versuche gerade das routed IPSec howto nachzustellen und komme nicht weiter: bei der Einrichtung der Gateways habe ich nur meine selbst eingerichteten Interfaces zur Auswahl. Die generierte ipsec.conf beinhaltet kein 'reqid = ' aber ein 'type = tunnel'.
Habe ich irgendwas übersehen? (Ich habe es zigmal kontrolliert).

Die Verbindung ist 'up'

Code Select Expand

       con1{11}:  INSTALLED, TUNNEL, reqid 7, ESP SPIs: cf282e8b_i c874d2a8_o
        con1{11}:  AES_CBC_256/HMAC_SHA2_256_128, 0 bytes_i, 0 bytes_o, rekeying in 30 minutes
        con1{11}:   10.111.1.1/32 === 10.111.1.2/32

ipsec.conf

Code Select Expand

# This file is automatically generated. Do not edit
config setup
  uniqueids = yes

conn con1
  aggressive = no
  fragmentation = yes
  keyexchange = ikev2
  mobike = yes
  reauth = yes
  rekey = yes
  forceencaps = no
  installpolicy = no
  type = tunnel
 
  left = 1.2.3.4
  right = 4.3.2.1
 
  leftid = 1.2.3.4
  ikelifetime = 86400s
  lifetime = 3600s
  ike = aes256-sha256-modp2048!
  leftauth = psk
  rightauth = psk
  rightid = 4.3.2.1
  rightsubnet = 10.111.1.1
  leftsubnet = 10.111.1.2
  esp = aes256-sha256!
  auto = start

include ipsec.opnsense.d/*.conf


[mimugmail]

Screenshot Phase2 bitte ...

[GaardenZwerch]

Bitte :-)
und Danke

[mimugmail]

Mode muss routed sein, nicht tunnel ...  :o

[GaardenZwerch]

Oh, mann.... Sorry, 'route-based'....