Ich habe einen Haupt-Standort der im Moment zwei Internetleitungen hat.
Es gibt ein paar Außenstellen, die per LANCOM mit IPsec verbunden sind. (IKEv1 sowie IKEv2)
Der Hauptstandort hat bei der neuen Internetleitung eine OPNsense Firewall, die bald den LANCOM vom Hauptstandort an der anderen Internetleitung ablösen soll.
Im Moment bin ich dabei die Außenstandorte per IPsec mit der OPNsense zu verbinden (LANCOM zu LANCOM steht schon länger, wird wie gesagt bald abgelöst) und stoße dabei immer wieder auf Probleme, die ich meistens bisher beheben konnte.
Nun komme ich zum aktuellen Problem:
Die Konfiguration auf der OPNsense und LANCOM scheinen korrekt zu sein, aber, wenn ich eine Verbindung aufbauen will, sagt die OPNsense Firewall: AUTHENTICATION_FAILED
Code: Alles auswählen
Fehlermeldung auf OPNsense: (P.S.: Die IP Adressen sind gefaked!)
2025-04-14T16:21:39 Informational charon 06[IKE] <con7|344> received AUTHENTICATION_FAILED notify error
2025-04-14T16:21:39 Informational charon 06[ENC] <con7|344> parsed IKE_AUTH response 1 [ N(AUTH_FAILED) ]
2025-04-14T16:21:39 Informational charon 06[NET] <con7|344> received packet: from 4.12.9.23[4500] to 21.27.30.16[4500] (96 bytes)
2025-04-14T16:21:39 Informational charon 06[NET] <con7|344> sending packet: from 21.27.30.16[4500] to 4.12.9.23[4500] (496 bytes)- er sagt "Verbindungen ohne Fehler: 2" - das sind andere VPNs
- "Verbindungen mit Fehler: Keine"
Code: Alles auswählen
Konfiguration OPNsense:
- IPsec -> Tunnel Settings [legacy] mit IPv4 IKEv2
- Anschlussart Standard mit V2, IPv4, die einzige WAN Schnittstelle
- Fernes Gateway ist eine DynDNS Adresse die sich korrekt pingen lässt (auch von der OPNsense aus, er bekommt eine Antwort)
- Mutual PSK
- Meine Kennung: Eindeutiger Benutzername (mail1@domain1.tld)
- Peer-Identifizierer: Eindeutiger Benutzername (mail1@domain1.tld)
- PSK an OPNsense und LANCOM hinterlegt
- AES -> 256
- SHA256, SHA512
- DH 14
- Richtlinie installieren: Häkchen gesetzt
- NAT-T: AKtiviert
- Close Action: Keines
- Unique: Ersetzen
- der Rest ist leer
Phase2:
- Tunnel IPv4
- LAN Subnetz
- 192.168.0.0/24 Remote Netz
- ESP
- AES256, aes256gcm16
- SHA256, SHA512
- PFS: 14
- Lebenszeit: 3600Code: Alles auswählen
Konfiguration LANCOM:
- VPN -> IKEv2/IPsec
- Entferntes Gateway auch eine DynDNS Adresse die sich korrekt auflöst bei einem Ping von meinem W11 Client
- Verschlüsselung, folgendes aktiviert:
- DH: 14
- PFS: Ja
- IKE-SA: AES-CBC-256, AES-GCM,356
- Hash-Liste: SHA-512, SHA-256
- Child-SA folgt:
- Verschlüsselungsliste: AES-CBC256, AES-GCM,256
- Hash-Liste: SHA-512, SHA-256
- Authentifizierung folgt:
- lokaler/Entfernter Identitätstyp: "E-MailAdresse (FQUN)": dieselbe wie bei der OPNsense - lokal und remote dasselbe! (mail1@domain1.tld)
- Passwort habe ich bei lokal und entfernt den PSK eingetragen von der OPNsense (hatte bei anderen Geräten schon funktioniert wie ich mich erinnere)
- der Rest wie vor eingestellt!
- P.S.: Ich nutzte den LANCOM Wizard zum erstellen des Tunnels und wählte Responder als Art (er reagiert auf Verbindungen, baut keine Aktiv auf)Code: Alles auswählen
[VPN-Status] 2025/04/17 13:14:30,984 Devicetime: 2025/04/17 13:14:34,214
starting external DNS resolution for XXOPNSENSE
IpStr=>standort.dyndns.de<, IpAddr(old)=2.7.3.96, IpTtl(old)=293s
[VPN-Status] 2025/04/17 13:14:30,984 Devicetime: 2025/04/17 13:14:34,221
external DNS resolution for XXOPNSENSE
IpStr=>standort.dyndns.de<, IpAddr(old)=2.7.3.96, IpTtl(old)=293s
IpStr=>standort.dyndns.de<, IpAddr(new)=2.7.3.96, IpTtl(new)=227s
Ich belege mal meine LANCOM Trace Skills:
- habe folgenden Trace aktiviert, aber meine (erfolgreichen) Pings auf das WAN Interface konnte ich mir nicht anzeigen lassen:
Code: Alles auswählen
[TraceStarted] 2025/04/17 13:29:22,018
Used config:
# Trace config
trace + IPSEC
trace + VPN-Status
trace + VPN-Packet
trace + VPN-IKE
trace + VPN-Debug
trace + VPN
trace + IPv4-WAN-Packet
trace + IPv4-Packet
trace + IP-Router
trace + ICMP
# Show commands
show bootlog
show locked-jobsIch habe schon verschiedenes versucht wie z.B. IKEv1 (da sah ich laut LANCOM Trace nicht mal ein Verbindungsaufbauversuch, gar nichts) und verschiedene Proposals getestet (OPNsense akzeptiert anscheinend nur "AES" mit "256" - alle andere will er anscheinend nicht - sonst sagt er "NO PROPOSAL CHOOSEN" was ich so verstehe: keine Proposals ausgewählt auf beiden Seiten die übereinstimmen)
Über Tipps/etc. freue ich mich natürlich sehr!
Vielen lieben Dank! Euch eine schöne Restwoche!
Grüße! Bestfred!