vpn mit zertifikaten

[diddihaller]

hallo,

habe 2 router ( 1821 und 1711 )

mein problem ist vpn mit zertifikaten.

PSK funktioniert wunderbar. mit Cert funzt gar nichts.

Gibts es eine anständige anleitung mit Zertifikaten. ( ausser HANDBUCH 6.0)

habe das ganze mit dem setup assistenten durchgeführt.

im forum habe ich nichts darüber gefunden. ( vielleicht war ich auch blind )

gruss
diddihaller

[LoUiS]

Gibts es eine anständige anleitung mit Zertifikaten. ( ausser HANDBUCH 6.0)

Nur mal Interessehalber, was ist denn an der Anleitung im Handbuch auszusetzen?


Ciao
LoUiS

[diddihaller]

Nur mal Interessehalber, was ist denn an der Anleitung im Handbuch auszusetzen?


habe alles nach anleitung gemacht. ob win2003 CA oder Openssl.

mit openssl bekomme ich immer einer fehlermeldung
Loading 'screen' into random state - done
Error Loading extension section default
2128:error:22097082:X509 V3 routines:DO_EXT_NCONF:unknown extension name:.\crypt
o\x509v3\v3_conf.c:124:
2128:error:22098080:X509 V3 routines:X509V3_EXT_nconf:error in extension:.\crypt
o\x509v3\v3_conf.c:93:name=HOME, value=.
error in x509

habe dazu aber jetzt einen link gefunden im Forum
http://www.lancom-forum.de/lhtopic,1573 ... fikat.html
vielleicht hilft der mir ja weiter.

vielleicht sind es auch nur verständnisfehler.

muss ich 2 zertifakte anfordern von der CA. Die Eine für den Standort. Die andere für die Filiale.
Ist das O.K. ???

gruss
diddihaller

[LoUiS]

muss ich 2 zertifakte anfordern von der CA. Die Eine für den Standort. Die andere für die Filiale.
Ist das O.K. ???

Ja, Du musst ein Zertifikat fuer dern 1821er und ein Zertifikat fuer den 1711er generieren und auf beide kommt noch das CA Zertifikat drauf und der jeweilige Key.
Im LANCOM kannst Du dann per Telnet/SSH mit "show vpn ca" und "show vpn cert" nachsehen ob die Zertifikate korrekt sind.
Pruefe ob die Identitaeten korrekt eingetragen sind und mit den Identitaeten uebereinstimmen, die im "show vpn cert" ausgegeben werden. Achtung im "show vpn cert" ist die Reihenfolge der RDN umgekehrt, wie sie in den Identitaeten eingetragen sind.

Im Zertifikat steht also sowas wie: Subject: O=FIRMA, OU=ABTEILUNG, CN=TEST und in der Konfiguration der Identitaet steht dann sowas: VPN_TEST-KEY Distinguished-Name /CN=TEST/OU=ABTEILUNG/O=FIRMA und die Identitaet des Zertifikats der Gegenseite ebenso: Distinguished-Name /CN=TEST2/OU=ABTEILUNG2/O=FIRMA2


Ciao
LoUiS

[diddihaller]

Hallo LoUiS,

danke für die schnelle Hilfe. Hatte mich vertan bei dem Distinguished-Name /CN=TEST2/OU=ABTEILUNG2/O=FIRMA2

Der VPN AUfbau funktioniert, aber nicht immer.
Wenn VPN neu aufgebaut werden muss, dann bekomme ich immer die Fehlermeldung " Zeitüberschreitung während IKE- oder IPSec - Verhandlung
Responder (0x1206).

Wenn ich aber einen dauerping auf das entfernte netz mache, dann funktioniert es manchmal ( meistens nach 30 min. )

Das wiederum zeigt, das das Zertifikat i.O. ist.

Kann mir da jemand helfen???

Weis keinen Rat mehr?

Gruss
DiddiHaller

[diddihaller]

hier ein trace von lokal

[VPN-Status] 2006/03/29 19:58:12,380
VPN: connecting to LANCOM1711 (xxx.xxx.xxx.252)

[VPN-Status] 2006/03/29 19:58:12,380
VPN: start dynamic VPN negotiation for LANCOM1711 (xxx.xxx.xxx.252) via ICMP/UDP

[VPN-Status] 2006/03/29 19:58:12,380
VPN: create dynamic VPN V2 authentication packet for LANCOM1711 (xxx.xxx.xxx.252)
DNS: 172.21.10.1, 0.0.0.0
NBNS: 172.21.10.1, 0.0.0.0
polling address: 172.21.10.1

[VPN-Status] 2006/03/29 19:58:12,380
VPN: installing ruleset for LANCOM1711 (xxx.xxx.xxx.252)

[VPN-Status] 2006/03/29 19:58:12,430
VPN: ruleset installed for LANCOM1711 (xxx.xxx.xxx.252)

[VPN-Status] 2006/03/29 19:58:12,430
VPN: start IKE negotiation for LANCOM1711 (xxx.xxx.xxx.252)

[VPN-Status] 2006/03/29 19:58:12,450
VPN: rulesets installed

[VPN-Status] 2006/03/29 19:58:12,450
IKE info: Phase-1 negotiation started for peer LANCOM1711 rule isakmp-peer-LANCOM1711 using
MAIN mode


[VPN-Status] 2006/03/29 19:58:12,530
VPN: received dynamic VPN V2 authentication packet from LANCOM1711 (xxx.xxx.xxx.252)
DNS: 192.168.1.151, 0.0.0.0
NBNS: 192.168.1.151, 0.0.0.0
polling address: 192.168.1.151

[VPN-Status] 2006/03/29 19:58:12,570
IKE info: The remote server xxx.xxx.xxx.252:500 peer LANCOM1711 id <no_id> supports NAT-T in
mode draft
IKE info: The remote server xxx.xxx.xxx.252:500 peer LANCOM1711 id <no_id> supports NAT-T in
mode draft
IKE info: The remote server xxx.xxx.xxx.252:500 peer LANCOM1711 id <no_id> supports NAT-T in
mode rfc
IKE info: The remote server xxx.xxx.xxx.252:500 peer LANCOM1711 id <no_id> is Enigmatec IPSE
C version 1.5.1
IKE info: The remote server xxx.xxx.xxx.252:500 peer LANCOM1711 id <no_id> negotiated rfc-37
06-dead-peer-detection


[VPN-Status] 2006/03/29 19:58:12,570
IKE info: Phase-1 remote proposal 1 for peer LANCOM1711 matched with local proposal 1


[VPN-Status] 2006/03/29 19:58:42,450
VPN: connection for LANCOM1711 (xxx.xxx.xxx.252) timed out: no response

[VPN-Status] 2006/03/29 19:58:42,460
VPN: Error: IFC-I-Connection-timeout-IKE-IPSEC (0x1106) for LANCOM1711 (xxx.xxx.xxx.xxx)

[VPN-Status] 2006/03/29 19:58:42,460
VPN: disconnecting LANCOM1711 (xxx.xxx.xxx.252)

[VPN-Status] 2006/03/29 19:58:42,470
VPN: LANCOM1711 (xxx.xxx.xxx.252) disconnected

[VPN-Status] 2006/03/29 19:58:42,490
VPN: selecting next remote gateway using strategy eFirst for LANCOM1711
=> no remote gateway selected

[VPN-Status] 2006/03/29 19:58:42,490
VPN: selecting first remote gateway using strategy eFirst for LANCOM1711
=> CurrIdx=0, IpStr=>xxx.xxx.xxx.252<, IpAddr=xxx.xxx.xxx.252, IpTtl=0s

[VPN-Status] 2006/03/29 19:58:42,490
VPN: installing ruleset for LANCOM1711 (xxx.xxx.xxx.252)

[VPN-Status] 2006/03/29 19:58:42,500
VPN: rulesets installed

[diddihaller]

Und hier ein trace von remote

[VPN-Status] 2006/03/29 20:08:47,730
VPN: connecting to LANCOM1821 (xx.xxx.xxx.199)

[VPN-Status] 2006/03/29 20:08:47,730
VPN: start dynamic VPN negotiation for LANCOM1821 (xx.xxx.xxx.199) via ICMP/UDP

[VPN-Status] 2006/03/29 20:08:47,730
VPN: create dynamic VPN V2 authentication packet for LANCOM1821 (xx.xxx.xxx.199)
DNS: 192.168.1.151, 0.0.0.0
NBNS: 192.168.1.151, 0.0.0.0
polling address: 192.168.1.151

[VPN-Status] 2006/03/29 20:08:47,730
VPN: installing ruleset for LANCOM1821 (xx.xxx.xxx.199)

[VPN-Status] 2006/03/29 20:08:47,750
VPN: ruleset installed for LANCOM1821 (xx.xxx.xxx.199)

[VPN-Status] 2006/03/29 20:08:47,750
VPN: start IKE negotiation for LANCOM1821 (xx.xxx.xxx.199)

[VPN-Status] 2006/03/29 20:08:47,770
VPN: rulesets installed

[VPN-Status] 2006/03/29 20:08:47,770
IKE info: Phase-1 negotiation started for peer LANCOM1821 rule isakmp-peer-LANCOM1821 using
MAIN mode


[VPN-Status] 2006/03/29 20:08:47,890
VPN: received dynamic VPN V2 authentication packet from LANCOM1821 (xx.xxx.xxx.199)
DNS: 172.21.10.1, 0.0.0.0
NBNS: 172.21.10.1, 0.0.0.0
polling address: 172.21.10.1

[VPN-Status] 2006/03/29 20:08:47,900
IKE info: The remote server xx.xxx.xxx.199:500 peer LANCOM1821 id <no_id> supports NAT-T in m
ode draft
IKE info: The remote server xx.xxx.xxx.199:500 peer LANCOM1821 id <no_id> supports NAT-T in m
ode draft
IKE info: The remote server xx.xxx.xxx.199:500 peer LANCOM1821 id <no_id> supports NAT-T in m
ode rfc
IKE info: The remote server xx.xxx.xxx.199:500 peer LANCOM1821 id <no_id> is Enigmatec IPSEC
version 1.5.1
IKE info: The remote server xx.xxx.xxx.199:500 peer LANCOM1821 id <no_id> negotiated rfc-3706
-dead-peer-detection


[VPN-Status] 2006/03/29 20:08:47,900
IKE info: Phase-1 remote proposal 1 for peer LANCOM1821 matched with local proposal 1


[VPN-Status] 2006/03/29 20:08:48,740
VPN: starting external DNS resolution for LANCOM1821
IpStr=>xx.xxx.xxx.dyndns.org<, IpAddr(old)=xx.xxx.xxx.199, IpTtl(old)=60s

[VPN-Status] 2006/03/29 20:08:52,700
VPN: external DNS resolution for LANCOM1821
IpStr=>xx.xxx.xxx.org<, IpAddr(old)=xx.xxx.xxx.199, IpTtl(old)=60s
IpStr=>xx.xxx.xxx.dyndns.org<, IpAddr(new)=xx.xxx.xxx.199, IpTtl(new)=60s

[VPN-Status] 2006/03/29 20:08:57,620
IKE log: 200857 Default ipsec_get_keystate: no keystate in ISAKMP SA 00a09980


[VPN-Status] 2006/03/29 20:09:07,630
IKE log: 200907 Default ipsec_get_keystate: no keystate in ISAKMP SA 00a09980


[VPN-Status] 2006/03/29 20:09:17,640
IKE log: 200917 Default message_recv: invalid cookie(s) 11347da87acc0553 6ed6160cb8a6ca69


[VPN-Status] 2006/03/29 20:09:17,640
IKE log: 200917 Default dropped message from xx.xxx.xxx.199 port 500 due to notification type
INVALID_COOKIE


[VPN-Status] 2006/03/29 20:09:17,640
IKE info: dropped message from peer unknown xx.xxx.xxx.199 port 500 due to notification type
INVALID_COOKIE


[VPN-Status] 2006/03/29 20:09:17,770
VPN: connection for LANCOM1821 (xx.xxx.xxx.199) timed out: no response

[VPN-Status] 2006/03/29 20:09:17,770
VPN: Error: IFC-I-Connection-timeout-IKE-IPSEC (0x1106) for LANCOM1821 (xx.xxx.xxx.199)

[VPN-Status] 2006/03/29 20:09:17,770
VPN: disconnecting LANCOM1821 (xx.xxx.xxx.199)

[VPN-Status] 2006/03/29 20:09:17,780
VPN: LANCOM1821 (xx.xxx.xxx.199) disconnected

[VPN-Status] 2006/03/29 20:09:17,790
VPN: selecting next remote gateway using strategy eFirst for LANCOM1821
=> no remote gateway selected

[VPN-Status] 2006/03/29 20:09:17,790
VPN: selecting first remote gateway using strategy eFirst for LANCOM1821
=> CurrIdx=0, IpStr=>xx.xxx.xxx.dyndns.org<, IpAddr=xx.xxx.xxx.199, IpTtl=60s

[VPN-Status] 2006/03/29 20:09:17,790
VPN: installing ruleset for LANCOM1821 (xx.xxx.xxx.199)

[VPN-Status] 2006/03/29 20:09:17,800
VPN: rulesets installed

[VPN-Status] 2006/03/29 20:09:17,890
IKE log: 200917 Default message_recv: invalid cookie(s) 11347da87acc0553 6ed6160cb8a6ca69


[VPN-Status] 2006/03/29 20:09:17,890
IKE log: 200917 Default dropped message from xx.xxx.xxx.199 port 500 due to notification type
INVALID_COOKIE


[VPN-Status] 2006/03/29 20:09:17,890
IKE info: dropped message from peer unknown xx.xxx.xxx.199 port 500 due to notification type
INVALID_COOKIE


wäre super, wenn mir einer helfen könnte.

[erte]

Ich bin heute über Deinen Beitrag gestolpert und habe mich gefragt ob das Problem gelöst ist. Falls ja würde mich dass interessieren...