Probleme mit IPSec Verbindung

[AndreM]

Hallo zusammen, ich versuche seit einigen Tagen eine IPSec Verbindung zwischen opnSense und dem IPSec-Client von Zyxel herzustellen. Die Verbindung schlägt aber leider fehlt, weil er kein passendes Peer auf dem Server findet. :-( Ich hab aber keine Idee, wo genau der Fehler in der Config liegt.

Nach dem Verbindungsversuch vom Client aus, erscheint dies im Log von opnSense

Code: [Select]

2020-09-08T12:09:47 charon: 16[NET] <64522> sending packet: from XX.XXX.123.62[4500] to XXX.X.212.211[54076] (80 bytes)
2020-09-08T12:09:47 charon: 16[ENC] <64522> generating IKE_AUTH response 1 [ N(AUTH_FAILED) ]
2020-09-08T12:09:47 charon: 16[IKE] <64522> received ESP_TFC_PADDING_NOT_SUPPORTED, not using ESPv3 TFC padding
2020-09-08T12:09:47 charon: 16[CFG] <64522> no matching peer config found
2020-09-08T12:09:47 charon: 16[CFG] <64522> looking for peer configs matching XX.XXX.123.62[%any]...XXX.X.212.211[192.168.1.33]
2020-09-08T12:09:47 charon: 16[ENC] <64522> parsed IKE_AUTH request 1 [ IDi AUTH SA TSi TSr N(INIT_CONTACT) N(ESP_TFC_PAD_N) ]
2020-09-08T12:09:47 charon: 16[NET] <64522> received packet: from XXX.X.212.211[54076] to XX.XXX.123.62[4500] (384 bytes)
2020-09-08T12:09:47 charon: 16[NET] <64522> sending packet: from XX.XXX.123.62[500] to XXX.X.212.211[500] (501 bytes)
2020-09-08T12:09:47 charon: 16[ENC] <64522> generating IKE_SA_INIT response 0 [ SA KE No N(NATD_S_IP) N(NATD_D_IP) CERTREQ N(CHDLESS_SUP) N(MULT_AUTH) ]
2020-09-08T12:09:47 charon: 16[IKE] <64522> sending cert request for "C=DE, ST=North Rhine-Westphalian, L=Detmold, O=Company, E=info@Company.de, CN=vpn_mwd"
2020-09-08T12:09:47 charon: 16[IKE] <64522> sending cert request for "C=US, O=Let's Encrypt, CN=Let's Encrypt Authority X3"
2020-09-08T12:09:47 charon: 16[IKE] <64522> remote host is behind NAT
2020-09-08T12:09:47 charon: 16[CFG] <64522> selected proposal: IKE:AES_CBC_256/HMAC_SHA2_256_128/PRF_HMAC_SHA2_256/MODP_2048
2020-09-08T12:09:47 charon: 16[IKE] <64522> XXX.X.212.211 is initiating an IKE_SA

Jemand eine Idee?

[rainerle]

Hi,

das könnte das gleiche Problem sein wie hier:
https://forum.opnsense.org/index.php?topic=17522.msg85706

Die OPNsense sendet ein LE TLS Zertifikat, obwohl Mutual PSK angedacht ist...