IPSec-Verbindung Cisco

[jmacdonald]

Hallo zusammen,

ich habe das Forum schon durchsucht aber leider nichts gefunden.
Zu meinem Problem:
Ich habe auf der einen Seite eine OPNSense Version 22.1 auf der anderen Seite einen Cisco (Weboberfläche von Meraki).
Nun versuche ich ein IPSec aufzubauen und es werden auf dem Status Overview keine Routen angezeigt.
Im Log erscheint folgendes:
2022-02-22T16:20:26   Informational   charon   11[IKE] <con1|1> peer supports MOBIKE   
2022-02-22T16:20:26   Informational   charon   11[IKE] <con1|1> received AUTH_LIFETIME of 25413s, scheduling reauthentication in 24873s   
2022-02-22T16:20:26   Informational   charon   11[IKE] <con1|1> failed to establish CHILD_SA, keeping IKE_SA   
2022-02-22T16:20:26   Informational   charon   11[IKE] <con1|1> received TS_UNACCEPTABLE notify, no CHILD_SA built   
2022-02-22T16:20:26   Informational   charon   11[IKE] <con1|1> maximum IKE_SA lifetime 28510s   
2022-02-22T16:20:26   Informational   charon   11[IKE] <con1|1> scheduling reauthentication in 27970s   
2022-02-22T16:20:26   Informational   charon   11[IKE] <con1|1> IKE_SA con1[1] established between 87.129.231.226[87.129.231.226]...185.6.70.114[185.6.70.114]   
2022-02-22T16:20:26   Informational   charon   11[IKE] <con1|1> authentication of 'xxx.x.xx.xxx' with pre-shared key successful   
2022-02-22T16:20:26   Informational   charon   11[ENC] <con1|1> parsed IKE_AUTH response 1 [ IDr AUTH N(AUTH_LFT) N(MOBIKE_SUP) N(ADD_4_ADDR) N(TS_UNACCEPT) ]   
2022-02-22T16:20:26   Informational   charon   11[NET] <con1|1> received packet: from 185.6.70.114[4500] to 87.129.231.226[4500] (160 bytes)   
2022-02-22T16:20:26   Informational   charon   11[NET] <con1|1> sending packet: from 87.129.231.226[4500] to 185.6.70.114[4500] (304 bytes)   
2022-02-22T16:20:26   Informational   charon   11[ENC] <con1|1> generating IKE_AUTH request 1 [ IDi N(INIT_CONTACT) IDr AUTH N(ESP_TFC_PAD_N) SA TSi TSr N(MOBIKE_SUP) N(ADD_4_ADDR) N(ADD_4_ADDR) N(MULT_AUTH) N(EAP_ONLY) N(MSG_ID_SYN_SUP) ]   
2022-02-22T16:20:26   Informational   charon   11[IKE] <con1|1> establishing CHILD_SA con1{2}   
2022-02-22T16:20:26   Informational   charon   11[IKE] <con1|1> authentication of '87.129.231.226' (myself) with pre-shared key   
2022-02-22T16:20:26   Informational   charon   11[CFG] <con1|1> selected proposal: IKE:AES_CBC_256/HMAC_SHA2_256_128/PRF_HMAC_SHA2_256/MODP_2048   
2022-02-22T16:20:26   Informational   charon   11[ENC] <con1|1> parsed IKE_SA_INIT response 0 [ SA KE No N(NATD_S_IP) N(NATD_D_IP) N(FRAG_SUP) N(HASH_ALG) N(MULT_AUTH) ]   
2022-02-22T16:20:26   Informational   charon   11[NET] <con1|1> received packet: from 185.6.70.114[500] to 87.129.231.226[500] (462 bytes)   
2022-02-22T16:20:26   Informational   charon   11[NET] <con1|1> sending packet: from 87.129.231.226[500] to 185.6.70.114[500] (464 bytes)   
2022-02-22T16:20:26   Informational   charon   11[ENC] <con1|1> generating IKE_SA_INIT request 0 [ SA KE No N(NATD_S_IP) N(NATD_D_IP) N(FRAG_SUP) N(HASH_ALG) N(REDIR_SUP) ]   
2022-02-22T16:20:26   Informational   charon   11[IKE] <con1|1> initiating IKE_SA con1[1] to 185.6.70.114   
2022-02-22T16:20:26   Informational   charon   12[CFG] received stroke: initiate 'con1'

Auf der Oberfläche von Meraki zeigt er mir aber an das der Status schon auf Grün ist  (Verbunden).

Kann mir jemand sagen was da falsch läuft?
P.S.: auf dem gleichen Cisco läuft eine anderen OPNSense mit IPSec und dort klappt es aber leider ist dort die Version noch eine ältere 21.7.3_3

Vielen Dank

[atom]

Hallo jmacdonald,

die Netze für Phase 2 passen nicht zusammen.

Gruß,
atom

[jmacdonald]

Das verstehe ich jetzt aber nicht so genau denn das ist wie mit der anderen Verbindung das ist genauso eingestellt.

Ich hab die Netze geprüft und es sind die dort eingetragen sind.

[atom]

Dann poste mal bitte die Einstellungen von beiden Seiten.
Außerdem bitte noch MOBIKE abschalten.

[jmacdonald]

Vielen Dank für deine Unterstützung. Ich weiß hier leider nicht weiter.

https://ibb.co/wNsFWV5
https://ibb.co/R4C90nk
https://ibb.co/7vJyCbt
https://ibb.co/smH0PcS
https://ibb.co/gPN5k5L
https://ibb.co/sqXVH3W

[atom]

Trage mal bitte auf der OPNsense bei Local Network in der Form: x.x.x.x/24 und nicht LOCALNET.
Auf dem Cisco dann das lokale Netz und als Remote-Netz das lokale Netz der OPNsense.

z.B. so:
Cisco 
lokal 10.10.0.0/24
remote 10.20.0.0/24

OPNsense
lokal 10.20.0.0/24
remote 10.10.0.0/24

[jmacdonald]

Leider klappt es nicht. Ich stelle morgen nochmal andere Bilder rein. Von einer anderen OPNSense die auf den gleichen Cisco geht wo es funktioniert.

Denn dort habe ich die Einstellungen so übernommen nur leider verstehe ich nicht wieso dort funktioniert und bei der nicht.

[atom]

Alles klar.

[jmacdonald]

Die Bilder sind von einer anderen OPNSense wo die Einstellungen funktioniert aber leider mit der Version 21.7.3_3

Ich hoffe das du mir vielleicht helfen kannst.

https://ibb.co/ByztBNX
https://ibb.co/xGKx8Bk
https://ibb.co/XyJjMdj
https://ibb.co/YdQQbS1
https://ibb.co/7QmZ45c
https://ibb.co/GFJFc14

[atom]

Da fehlt auf jeden Fall noch etwas, denn im Status Overview der anderen OPNsense sind viel mehr Netze in Phase 2 eingetragen.

Kannst Du das Log der OPNsense zeigen, wenn vom Cisco aus der Tunnel aufgebaut wird. ( und nicht umgekehrt )

[jmacdonald]

Ja ist richtig aber die ganzen Netze brauche ich auf der jetzigen OPNSense nicht.

Kannst du mir kurz sagen wo ich diese Log finde?

[atom]

Das Log findest Du unter entweder unter /var/log als eine Log-Datei oder im Ordner /var/log/ipsec/ und dann für jeden Tag eine neue.
Das hängt davon ab, wie das Logging unter System -> Settings -> Logging eingestellt ist.

[jmacdonald]

Das Log findest Du unter entweder unter /var/log als eine Log-Datei oder im Ordner /var/log/ipsec/ und dann für jeden Tag eine neue.
Das hängt davon ab, wie das Logging unter System -> Settings -> Logging eingestellt ist.

Ok das hole von der OPNSense wo ich die aktuellen Probleme habe oder?

[atom]

Ja, genau.

[jmacdonald]

Ja, genau.

Ok super, danke.
Das werde ich gleich morgen früh machen.