Lancom 1721+ VPN über Linux aufbauen

[Netkiller666]

Hallo,

ich habe ein großes Problem und finde auch hier im Forum noch keine Hilfe.

Wir haben einen Lancom 1721 Router mit VPN und wollen Linux Systeme per VPN anbinden.

Wir haben 2 Linux VPN Clients getestet, den Shrew und Openswan.

Die Konfiguration für alle User ist zum Test genau gleich : PSK, AES / MD5, ESP_TN, MODP - 1024, keine Zertifikate, NAT-T aktiv

User 1. kann keinen Tunnel eröffnen und der VPN Trace wirft folgenden Fehler :

[VPN-Status] 2009/03/04 15:52:22,550
IKE info: The remote server xxxxx(IP):500 peer def-aggr-peer id <no_id> supports NAT-T in mode draft
IKE info: The remote server xxxxx:500 peer def-aggr-peer id <no_id> supports NAT-T in mode draft
IKE info: The remote server xxxxx:500 peer def-aggr-peer id <no_id> supports NAT-T in mode rfc
IKE info: The remote server xxxxx:500 peer def-aggr-peer id <no_id> supports NAT-T in mode rfc
IKE info: The remote server xxxxx:500 peer def-aggr-peer id <no_id> negotiated rfc-3706-dead-peer-detection
IKE info: The remote server xxxxx:500 peer def-aggr-peer id <no_id> supports NAT-T in mode rfc
IKE info: The remote server xxxxx:500 peer def-aggr-peer id <no_id> supports NAT-T in mode rfc
IKE info: The remote server xxxxx:500 peer def-aggr-peer id <no_id> supports NAT-T in mode rfc
IKE info: The remote server xxxxx:500 peer def-aggr-peer id <no_id> supports NAT-T in mode rfc

[VPN-Status] 2009/03/04 15:52:22,550
IKE info: Phase-1 remote proposal 1 for peer def-aggr-peer matched with local proposal 1


Danach leider nichts mehr.



User 2. erhält beim Shrew einen Tunnel, und der Router empfängt auch Ping anfragen etc. nur leider kommt beim User nichts an. Er hat ein Ubuntu 8.10 als Hostsystem. So wie es im Trace aussieht bearbeitet der Router die Anfragen auch und sendet sie zurück, nur z.B. beim Ping bekommt das Linux keine Rückmeldung.



Vielen Dank für eure Ideen !

[mtk]

Hi!

Ich habe leider das gleiche Problem mit dem Shrew-Client (Für OpenSWAN bin ich zu doof...).
Eine Sache, die mir dabei aufgefallen ist, ist dass die Version des Shrew-Client in den Ubuntu 8.x-Respositorities relativ alt ist.
In der neuen 9.04 Version von Ubuntu, die irgendwann Ende April (?) kommen soll, ist eine neuere Version des VPN-Clients, die aber immer noch nicht die aktuellste ist. Hab hier mal die Alpha mit dem dort verfügbaren Shrew getestet - aber auch hier gab es Probleme.

Wirklich ungut finde ich, dass Lancom selber nicht mal eine offizielle Empfehlung für einen VPN-Client unter Linux abgibt. Das würde einiges einfacher machen...

Wenn Du mit dem Problem irgendwie weiter kommt wäre es großartig, wenn Du das Ergebnis posten könntest - würde mich auch interessieren.

Viele Grüße

[xxfog]

Ich habe das selbe Phänomen. Ich habe shrewsoft unter Windows da geht es prima und habe dann das selbe Profil exportiert und im Linux importiert - Einstellungen sind also gleich - aber kann nicht mal pingen.

Der Tunnel steht und mein Linux zum testen ist ein Ubuntu 8.04. Ich vermute fast, dass Ubuntu einfach die Ports blockiert.

[rapulski]

Nach einiger Bastelei habe ich es nun hinbekommen.

1. Auf der Lancom-Routerseite wurde nach folgender Anleitung vorgegangen.
http://www.shrew.net/static/howto/Lanco ... ateway.pdf

2. Innerhalb von Ubuntu wurde die Shrew-Soft Version direkt über den integrierten Paketmanager bezogen. Die Konfiguration erfolgte auf Basis folgender Anleitung:
http://www.shrew.net/static/howto/Lanco ... client.pdf

3. Nachdem der Tunnel steht schlägt eine Sicherheitseinstellung zu, die vor ungültigen Absenderadressen schützen soll zu.

Wenn die interne Netzwerkschnittstelle eth0 ist, kann man testweise folgende Einstellung vornehmen.

echo "0" > /proc/sys/net/ipv4/conf/eth0/rp_filter

Danach sollte die Kommunikation mit dem Tunnel funktionieren.


Nach eingehender Analyse konnte ich das Problem isolieren.
In der Datei /etc/sysctl.conf kann man den Eintrag net.ipv4.conf.eth0.rp_filter=0 erstellen. Theoretisch müsste nach einem Neustart des Systems der Wert übernommen werden. Da die Schnittstelle zur Laufzeit des Skripts noch nicht existiert wird der sichere Standardwert übernommen.
Ich habe im Verzeichhnis /etc/network/if-up.d eine Datei mit dem Namen VPN angelegt, die die gleichen Rechte hat, wie die anderen Dateien in diesem Ordner. Der Inhalt der Datei ist dieser:

#! /bin/sh

echo "0" > /proc/sys/net/ipv4/conf/eth0/rp_filter

Diese Datei wird dann ausgeführt, wenn die Netzwerkschnittstelle geladen wurde.
Ich gehe davon aus, dass dies Einstellung auch bei anderen VPN-Lösungen in Verbindung mit dem beschriebenen Effekt funktioniert.

Beste Grüße aus Berlin

Rapulski

[rapulski]

Noch eine kleine Ergänzung:
Mit folgendem Befehl kann man den aktuellen Wert auslesen:

sysctl -a | grep rp_filter | grep -v arp

Bei mir heißt die Netzwerkkarte eth0 dafür wird folgender Wert zurückgegeben:
net.ipv4.conf.eth0.rp_filter = 0