IKEv2 Tunnel mit Cisco

[Suraki]

Ich habe folgendes Phänomen mit einem IKEv2 Tunnel zu einer Cisco.

zwei IPs in Phase 2, wenn ich dann eine IP anpinge, geht kein Traffic zu der anderen mehr.

ungefähr so :

10.10.1.1/32  zu 192.168.1.1
10.10.1.2/32 zu 192.168.1.2

ping von 192.168.1.1 auf 10.10.1.1 funktioniert, dann aber nicht mehr der Ping von 192.168.1.2 auf 10.10.1.2.

erst nach einem neuaufbau des Tunnels funktioniert der Ping von 192.168.1.2 auf 10.10.1.2 wieder, bis Traffic über die 192.168.1.1 geht, dann funktiniert nur noch 192.168.1.1.

scheint wie eine art Failover zu sein, aber bei VPN?

Hatte dieses Problem hier schon jemand?

[juere]

10.10.1.1/32  zu 192.168.1.1
10.10.1.2/32 zu 192.168.1.2

Ich nehme mal an, das sind wirklich zwei verschiedene Phase2 Einträge.
Schon mal die Option "Tunnel Isolation" in den OPNSense seitigen Phase1 Settings versucht ?
Das hat bei mir schon ähnliche Probleme mit CISCO Gegenstellen beseitigt.

[Suraki]

10.10.1.1/32  zu 192.168.1.1
10.10.1.2/32 zu 192.168.1.2

Ich nehme mal an, das sind wirklich zwei verschiedene Phase2 Einträge.
Schon mal die Option "Tunnel Isolation" in den OPNSense seitigen Phase1 Settings versucht ?
Das hat bei mir schon ähnliche Probleme mit CISCO Gegenstellen beseitigt.

Hallo juere,

vielen Dank für den Tipp, werde das nachher direkt mal ausprobieren, melde mich! :-)

[mschmidt]

Wir hatten das selbe Problem mit einer fortigate als Gegenstelle.
Als Lösung haben wir einfach zwei identische Phase 1 Einträge mit jeweils einem Phase 2 Eintrag angelegt.

[Suraki]

10.10.1.1/32  zu 192.168.1.1
10.10.1.2/32 zu 192.168.1.2

Ich nehme mal an, das sind wirklich zwei verschiedene Phase2 Einträge.
Schon mal die Option "Tunnel Isolation" in den OPNSense seitigen Phase1 Settings versucht ?
Das hat bei mir schon ähnliche Probleme mit CISCO Gegenstellen beseitigt.

Hallo juere,

vielen Dank für den Tipp, werde das nachher direkt mal ausprobieren, melde mich! :-)

Genau das hat uns aus der Patsche geholfen, vielen dank! :-)

[Suraki]

Wir hatten das selbe Problem mit einer fortigate als Gegenstelle.
Als Lösung haben wir einfach zwei identische Phase 1 Einträge mit jeweils einem Phase 2 Eintrag angelegt.

Hatten wir auch kurz überlegt, aber dann wieder verworfen, weil nicht ganz so sauber.
Tunnel Isolation soll ja auch bei Fortigate Wunder wirken. (so jedenfalls der Hilfetext bei dem Schalter)

[franco]

Jupp, hat mir 2016 gut geholfen die vererbte Fortigate aus dem Main Office mit OPNsense zu paaren.  ;)

https://github.com/opnsense/core/commit/fb5e78635378145


Grüsse
Franco

[mschmidt]

Bei uns hatte Tunnel Isolation nicht funktioniert.

[franco]

Dafür gibt es keinen technischen Anhaltspunkt. Die Konfiguration ist letztlich identisch.


Grüsse
Franco