Lancom 1812+ -> Bintec2302w (VPN)

[tssup]

Hi all,

ich hatte mir weil ich nun wirklich nicht der Profi in VPN bin diese beiden Geräte zugelegt da es im LCS Support da eine schöne schritt für schrittz Anleitung für den VPN aufbau gibt .. ^^

Soweit so gut -> alles nach Tutorial gemacht ..
Wenn jetzt der Lancom zum Bintec ein verbindung aufbaut sieht es mir so aus als würde Phase1 glatt gehn aber in Phase2 man sich nicht einigen können .. ka warum ^^ alles so wie im Tutorial von LCS beschrieben eingestellt ^^

Hier das ein meiner meinung nach aussagekräftiges Log vom Bintec:

x2302w.imc-office.net:> debug all&
19:24:09 INFO/INET: NAT: denied incoming session on ifc 10001 prot 1 87.186.76.139:190 <- 80.134.148.92:0
19:24:09 DEBUG/INET: NAT: new incoming session on ifc 10001 prot 17 87.186.76.139:500/87.186.76.139:500 <- 80.134.148.92:500
19:24:09 DEBUG/IPSEC: P1: peer 0 () sa 88 (R): new ip 87.186.76.139 <- ip 80.134.148.92
19:24:09 INFO/IPSEC: P1: peer 0 () sa 88 (R): Vendor ID: 80.134.148.92:500 (No Id) is 'eeefa37809e32ad4de4f6b010c26a640'
19:24:09 INFO/IPSEC: P1: peer 0 () sa 88 (R): Vendor ID: 80.134.148.92:500 (No Id) is 'Dead Peer Detection (DPD, RFC 3706)'
19:24:09 DEBUG/IPSEC: P1: peer 1 (IMCLANCOM) sa 88 (R): identified ip 87.186.76.139 <- ip 80.134.148.92
19:24:10 INFO/IPSEC: P1: peer 1 (IMCLANCOM) sa 88 (R): done id fqdn(any:0,[0..12]=xxxxx.test) <- id fqdn(any:0,[0..13]=xxxxx.test) AG[bc9ddaf4 459afe73 : c1a87e03 2a3516d5]
19:24:10 DEBUG/IPSEC: P2: peer 1 (IMCLANCOM) traf 0 bundle 0 (?): no traffic list for ipv4_subnet(any:0,[0..7]=192.168.201.0/24)<-ipv4_subnet(any:0,[0..7]=192.168.100.0/24)
19:24:10 DEBUG/IPSEC: IKE_INVALID_PROPOSAL: 20070621192410: SPI:0xd516352a037ea8c173fe9a45f4da9dbc Source addr:87.186.76.139 Destination addr:80.134.148.92
Description: Policy manager could not find any acceptable proposal for quick mode
19:24:10 DEBUG/ATM: DSP_RCVBITSWAP
19:24:10 INFO/INET: NAT: denied incoming session on ifc 10001 prot 1 87.186.76.139:190 <- 80.134.148.92:0
19:24:11 INFO/INET: NAT: denied incoming session on ifc 10001 prot 1 87.186.76.139:190 <- 80.134.148.92:0
19:24:12 INFO/INET: NAT: denied incoming session on ifc 10001 prot 1 87.186.76.139:190 <- 80.134.148.92:0
19:24:13 INFO/INET: NAT: denied incoming session on ifc 10001 prot 1 87.186.76.139:190 <- 80.134.148.92:0
19:24:14 INFO/INET: NAT: denied incoming session on ifc 10001 prot 1 87.186.76.139:190 <- 80.134.148.92:0
19:24:15 INFO/INET: NAT: denied incoming session on ifc 10001 prot 1 87.186.76.139:190 <- 80.134.148.92:0
19:24:16 DEBUG/IPSEC: P1: peer 1 (IMCLANCOM) sa 88 (R): DPD: received request sequence 920573282
19:24:16 DEBUG/IPSEC: P1: peer 1 (IMCLANCOM) sa 88 (R): DPD: sent response sequence 920573282
19:24:16 INFO/INET: NAT: denied incoming session on ifc 10001 prot 1 87.186.76.139:190 <- 80.134.148.92:0
19:24:17 DEBUG/ATM: DSP_RCVBITSWAP
19:24:17 INFO/INET: NAT: denied incoming session on ifc 10001 prot 1 87.186.76.139:190 <- 80.134.148.92:0
19:24:18 INFO/INET: NAT: denied incoming session on ifc 10001 prot 1 87.186.76.139:190 <- 80.134.148.92:0
x2302w.imc-office.net:>

so .. und nun habe ich null plan mehr was ich machen kann/muss ..
Kann mir irgendwer nen Tip geben ? .. oder hat ne Idee woran das liegen kann ?

Und wenn mir jemand verraten könnte wie ich ein VPN Tracelog auf dem Lancom mache würde ich auch das mal posten können

gruss tssup

[backslash]

Hi tssup

wenn die Phase-2 nicht hockommt, liegt das meist an falschen Netzbeziehungen. Das LANCOM erstellt die nötigen IPSec-Regeln normalerweise automatisch (in FreeSWAN-Notation):


left: eigenes LAN (Intranet)
right: entferntes Netz aus der Routing-Tabelle

das muß im Bintec genau Spiegelverkehrt konfiguriert werden:

left: LAN-Netz des Bintec
right: LAN-Netz des LANCOM.

eine weitere Möglichkeit wären unpassende Verschlüsselungs- und Authentifizierungsalgorithmen (z.B. 3DES/MD5) oder eine falsche PFS-Gruppe (2).

Und wenn mir jemand verraten könnte wie ich ein VPN Tracelog auf dem Lancom mache würde ich auch das mal posten können

auf der Konsole/Telnet trace # vpn-status eingeben.

Gruß
Backslash

[tssup]

Danke für die Antwort Backslash!

War nur ein paar Tage beruflich unterwegs ...

An den Netzbeziehungen und Verschlüsselungen lag es nicht sondern simpel daran das die Anleitung vom LCS Support einige wichtige Schritte beim Bintec vergessen hat ^^ z.b. die in der Anleitiung erstellte VPN Verbindung zum Virtuellen Interface zu machen ... (Zumindest nodwendig für die jetzt aktuellen software versionen)

Sobald ich hier mal wirklich fertig bin mit den ganzen Standort Vernetzungs problemen werde ich da mal ein How-To für machen ... Die Recherche hat ja nur fast einen Arbeitstag gekostet ^^ sollen auch andere was von haben ..

Also Stand ist jetzt das alle Standorte mit der Zentrale VPN verbindungen zustande bekommen. Selbst die IP Telefon einbindung in die Astersk in der Zentral funzt.

Z.Z. Trace ich jetzt auf allen Routern (thx backslash 4 Lancom konsole help) nach einem letzten kleinerm aber unschönen prob:

Völlig Random - nach 6-7 Minuten bis hin zu einigen stunden passiert es ab und an das eine Aussenstelle mit der Zentrale eine VPN Connection mit 2 Tunneln (weil 2 netze in zentrale) aufgebaut hat - aber gelichzeitig die Zentrale auch eine VPN Connection mit 2 Tunneln zur Aussenstelle hat.
Wenn das eintritt geht genau nichts mehr! Beide VPN Connections hängen dann irgendwie und man hat nur noch die Möglichkeit beide VPN Connections an einer der beiden seiten komplett zu kicken ... Dann (aber nur dann) baut sich alles wieder neu auf (mit einer Verbindung) und es geht wieder 7m lang oder wenn man glück hat auch 23:45 min bis systemevent ..

Logischer weise ist für die DAU User in Aussenstelle und Zentrale nicht akzeptabel und die Anrufe die dann bei mir auflaufen nerven etwas ^^

Der einzig bisher bei mir geloggt Fehler ist ein fehler auf dem Lancom der im Lanmonitor lautet: " Keine Regel für ID's gefunden - unbekannte Verbindung oder fehlerhafte ID"
Aber wenn dieser Fehler Auftritt heisst das nicht das die Verbindung abgebaut würde oder nicht gehen würde ^^ Mit Glück läuft sie auch mit diesem fehler 23:45 bis system event - denke also das dieser fehler NICHT das ist was mir Probleme bereitet ..

Irgendwer irgendeine Idee?

Wie gesagt - in log's bisher nichts besonderes sonst gefunden ..

gruss thomas