VPN Verbindung zur Securepoint

[Tarzan]

Ich habe ein Lancom 1780EW-4G

Ich möchte eine VPN Verbindung zu einer Securepoint herstellen.

Ich bekomme auch eine Verbindung, jedoch erhalte ich im LOG ständig Fehlermeldungen.

1 2014-09-02 19:52:24 AUTH Hinweis Successfully connected to peer SECUREPOINT
2 2014-09-02 19:52:13 KERN Hinweis dropped message from 80.xx.xx.xx port 500 due to notification type INVALID_COOKIE
3 2014-09-02 19:52:13 KERN Hinweis message_drop_invalid_cookies: invalid cookie(s) eefccaabd4ca6b94 5b7cc1cbcfbxxxx
4 2014-09-02 19:52:13 LOCAL0 Fehler VPN: Error for peer SECUREPOINT: IFC-X-Line-polling-failed
5 2014-09-02 19:52:13 LOCAL0 Fehler VPN: Error for peer SECUREPOINT: IFC-X-Line-polling-failed
6 2014-09-02 19:52:13 LOCAL0 Fehler line polling to peer SECUREPOINT failed
7 2014-09-02 19:51:32 LOCAL3 Alarm Dst: 37.xx.xx.xx 4191 {Lancom.intern}, Src: 14.207.xx.xx:21461 (UDP): connection refused
8 2014-09-02 19:51:27 AUTH Hinweis Successfully connected to peer SECUREPOINT
9 2014-09-02 19:51:16 KERN Hinweis dropped message from 80.xx.xx.xx port 500 due to notification type INVALID_COOKIE

Hat jemand eine Idee was das ist?

[MariusP]

Hi,
Könntest du bitte einen VPN-Statustrace von dem Zeitraum des Fehlers erstellen.
Gruß

[Tarzan]

So ich hab da mal was kopiert

[VPN-Status] 2014/09/03 20:39:17,668 Devicetime: 2014/09/03 20:39:09,573
VPN: WAN state changed to WanConnect for SECUREPOINT (80.152.xxx.xxx), called by: 00a7860c

[VPN-Status] 2014/09/03 20:39:17,668 Devicetime: 2014/09/03 20:39:09,573
vpn-maps[15], remote: SECUREPOINT, connected, static-name, connected-by-name


[VPN-Status] 2014/09/03 20:39:22,660 Devicetime: 2014/09/03 20:39:14,573
VPN: poll timeout for SECUREPOINT (80.152.xxx.xxx)
remote site answered during interval
send poll frame to 80.152.xxx.xxx
set poll timer to 30000 ms


[VPN-Status] 2014/09/03 20:39:52,659 Devicetime: 2014/09/03 20:39:44,573
VPN: poll timeout for SECUREPOINT (80.152.xxx.xxx)
remote site did not answer during interval
send poll frame to 80.152.xxx.xxx
set poll timer to 5000 ms


[VPN-Status] 2014/09/03 20:39:58,665 Devicetime: 2014/09/03 20:39:50,573
VPN: poll timeout for SECUREPOINT (80.152.xxx.xxx)
remote site did not answer during interval (5 retries left)
send poll frame to 80.152.xxx.xxx
set poll timer to 1000 ms

[VPN-Status] 2014/09/03 20:39:59,664 Devicetime: 2014/09/03 20:39:51,573
VPN: poll timeout for SECUREPOINT (80.152.xxx.xxx)
remote site did not answer during interval (4 retries left)
send poll frame to 80.152.xxx.xxx
set poll timer to 1000 ms

[VPN-Status] 2014/09/03 20:40:00,662 Devicetime: 2014/09/03 20:39:52,573
VPN: poll timeout for SECUREPOINT (80.152.xxx.xxx)
remote site did not answer during interval (3 retries left)
send poll frame to 80.152.xxx.xxx
set poll timer to 1000 ms

[VPN-Status] 2014/09/03 20:40:01,660 Devicetime: 2014/09/03 20:39:53,573
VPN: poll timeout for SECUREPOINT (80.152.xxx.xxx)
remote site did not answer during interval (2 retries left)
send poll frame to 80.152.xxx.xxx
set poll timer to 1000 ms

[VPN-Status] 2014/09/03 20:40:02,659 Devicetime: 2014/09/03 20:39:54,573
VPN: poll timeout for SECUREPOINT (80.152.xxx.xxx)
remote site did not answer during interval (1 retries left)
send poll frame to 80.152.xxx.xxx
set poll timer to 1000 ms

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,573
VPN: poll timeout for SECUREPOINT (80.152.xxx.xxx)
remote site did not answer during interval, no retries left, disconnect channel

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,573
VPN: Error: IFC-X-Line-polling-failed (0x1307) for SECUREPOINT (80.152.xxx.xxx)

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,573
VPN: disconnecting SECUREPOINT (80.152.xxx.xxx)

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,573
VPN: Error: IFC-X-Line-polling-failed (0x1307) for SECUREPOINT (80.152.xxx.xxx)

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,574
VPN: WAN state changed to WanDisconnect for SECUREPOINT (80.152.xxx.xxx), called by: 00a7860c

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,576
IKE info: Delete Notification sent for Phase-2 SA ipsec-1-SECUREPOINT-pr0-l0-r0 to peer SECUREPOINT, spi [0xed6c0154]

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,576
IKE info: Phase-2 SA removed: peer SECUREPOINT rule ipsec-1-SECUREPOINT-pr0-l0-r0 removed
IKE info: containing Protocol IPSEC_ESP, with spis [c38dcb9a ] [ed6c0154 ]

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,578
IKE info: Delete Notification sent for Phase-1 SA to peer SECUREPOINT, cookies [0xb5a18aa19b469e 0x4a42f012b757e3]

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,578
IKE info: Phase-1 SA removed: peer SECUREPOINT rule SECUREPOINT removed

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,599
VPN: SECUREPOINT (80.152.xxx.xxx) disconnected

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,600
vpn-maps[15], remote: SECUREPOINT, idle, static-name

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,600
selecting next remote gateway using strategy eFirst for SECUREPOINT
=> no remote gateway selected

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,600
selecting first remote gateway using strategy eFirst for SECUREPOINT
=> CurrIdx=0, IpStr=>80.152.xxx.xxx<, IpAddr=80.152.xxx.xxx, IpTtl=0s

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,600
VPN: installing ruleset for SECUREPOINT (80.152.xxx.xxx)

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,600
VPN: WAN state changed to WanIdle for SECUREPOINT (80.152.xxx.xxx), called by: 00a7860c

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,600
VPN: SECUREPOINT (80.152.xxx.xxx) disconnected

[VPN-Status] 2014/09/03 20:40:03,486 Devicetime: 2014/09/03 20:39:55,610
VPN: rulesets installed

[VPN-Status] 2014/09/03 20:40:03,704 Devicetime: 2014/09/03 20:39:55,646
IKE log: 203955.646813 Default message_drop_invalid_cookies: invalid cookie(s) b5a18aa19b469e 4a42f012b757e3

[VPN-Status] 2014/09/03 20:40:03,704 Devicetime: 2014/09/03 20:39:55,647
IKE log: 203955.647153 Default dropped message from 80.152.xxx.xxx port 500 due to notification type INVALID_COOKIE

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,600
VPN: WAN state changed to WanCall for SECUREPOINT (80.152.xxx.xxx), called by: 00a7860c

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,600
VPN: connecting to SECUREPOINT (80.152.xxx.xxx)

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,600
vpn-maps[15], remote: SECUREPOINT, nego, static-name, connected-by-name

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,600
vpn-maps[15], remote: SECUREPOINT, nego, static-name, connected-by-name

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,600
VPN: set local server addresses for SECUREPOINT (80.152.xxx.xxx)
DNS: 192.168.200.230, 0.0.0.0
NBNS: 192.168.200.230, 0.0.0.0

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,600
VPN: start dynamic VPN negotiation for SECUREPOINT (80.152.xxx.xxx) via ICMP/UDP

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,600
VPN: create dynamic VPN V2 authentication packet for SECUREPOINT (80.152.xxx.xxx)
DNS: 192.168.200.230, 0.0.0.0
NBNS: 192.168.200.230, 0.0.0.0
polling address: 192.168.200.230

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,600
VPN: dynamic VPN V2 packet send to SECUREPOINT (80.152.xxx.xxx)
dynamic VPN V2 header:
Version: 2
HdrLen: 28
InfoLen: 40
MsgType: address info (1)
Flags: 0x0000
Responser: no
Challenge: 1721228574

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,600
VPN: installing ruleset for SECUREPOINT (80.152.xxx.xxx)

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,600
vpn-maps[15], remote: SECUREPOINT, nego, static-name, connected-by-name

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,601
VPN: start IKE negotiation for SECUREPOINT (80.152.xxx.xxx)

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,601
VPN: WAN state changed to WanProtocol for SECUREPOINT (80.152.xxx.xxx), called by: 00a7860c

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,601
IKE info: Phase-1 negotiation started for peer SECUREPOINT rule isakmp-peer-SECUREPOINT using MAIN mode

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,611
VPN: ruleset installed for SECUREPOINT (80.152.xxx.xxx)

[VPN-Status] 2014/09/03 20:40:04,484 Devicetime: 2014/09/03 20:39:56,611
VPN: rulesets installed


[VPN-Status] 2014/09/03 20:40:13,782 Devicetime: 2014/09/03 20:40:05,690
IKE info: The remote server 80.152.xxx.xxx:500 (UDP) peer SECUREPOINT id <no_id> supports draft-ietf-ipsec-isakmp-xauth
IKE info: The remote server 80.152.xxx.xxx:500 (UDP) peer SECUREPOINT id <no_id> negotiated rfc-3706-dead-peer-detection
IKE info: The remote peer SECUREPOINT supports NAT-T in RFC mode
IKE info: The remote peer SECUREPOINT supports NAT-T in draft mode
IKE info: The remote peer SECUREPOINT supports NAT-T in draft mode

[VPN-Status] 2014/09/03 20:40:13,782 Devicetime: 2014/09/03 20:40:05,690
IKE info: Phase-1 remote proposal 1 for peer SECUREPOINT matched with local proposal 1

[VPN-Status] 2014/09/03 20:40:13,782 Devicetime: 2014/09/03 20:40:05,851
IKE info: Phase-1 [responder] for peer SECUREPOINT initiator id 80.152.xxx.xxx, responder id xxx.dyndns.org
IKE info: initiator cookie: 0xa5b77caf865dd166, responder cookie: 0xeb940ee794808e49
IKE info: SA ISAKMP for peer SECUREPOINT encryption aes-cbc authentication SHA1
IKE info: life time ( 3600 sec/ 0 kb)

[VPN-Status] 2014/09/03 20:40:13,782 Devicetime: 2014/09/03 20:40:05,851
IKE info: Phase-1 SA Rekeying Timeout (Soft-Event) for peer SECUREPOINT set to 3240 seconds (Responder)

[VPN-Status] 2014/09/03 20:40:13,782 Devicetime: 2014/09/03 20:40:05,852
IKE info: Phase-1 SA Timeout (Hard-Event) for peer SECUREPOINT set to 3600 seconds (Responder)

[VPN-Status] 2014/09/03 20:40:14,000 Devicetime: 2014/09/03 20:40:05,932
IKE info: Phase-2 remote proposal 1 for peer SECUREPOINT matched with local proposal 1

[VPN-Status] 2014/09/03 20:40:14,000 Devicetime: 2014/09/03 20:40:06,016
IKE info: Phase-2 SA Rekeying Timeout (Soft-Event) for peer SECUREPOINT set to 25920 seconds (Responder)

[VPN-Status] 2014/09/03 20:40:14,000 Devicetime: 2014/09/03 20:40:06,016
IKE info: Phase-2 SA Timeout (Hard-Event) for peer SECUREPOINT set to 28800 seconds (Responder)

[VPN-Status] 2014/09/03 20:40:14,000 Devicetime: 2014/09/03 20:40:06,017
IKE info: Phase-2 [responder] done with 2 SAS for peer SECUREPOINT rule ipsec-1-SECUREPOINT-pr0-l0-r0
IKE info: rule:' ipsec 192.168.100.0/255.255.255.0 <-> 192.168.0.0/255.255.255.0 '
IKE info: SA ESP [0xcb189d44] alg AES_CBC keylength 128 +hmac HMAC_SHA outgoing
IKE info: SA ESP [0xdb59e576] alg AES_CBC keylength 128 +hmac HMAC_SHA incoming
IKE info: life soft( 25920 sec/0 kb) hard (28800 sec/0 kb)
IKE info: tunnel between src: 91.15.xx.xxx dst: 80.152.xxx.xxx

[VPN-Status] 2014/09/03 20:40:15,108 Devicetime: 2014/09/03 20:40:07,017
VPN: SECUREPOINT connected

[VPN-Status] 2014/09/03 20:40:15,108 Devicetime: 2014/09/03 20:40:07,017

set poll timer to 5000 ms

[backslash]

Hi Tarzan,

ich vermute mal, du hast den Eintrag mit dem Wizard angelegt...

Entferne in der PPP-Tabelle (unter Kommunikation -> Protokolle -> PPP-Liste...) einfach den Eintrag für die Gegenstelle SECUREPOINT - der ist überflüssig, weil er eigentlich nur für dynamic VPN benötigt wird, was eine Securepoint aber nicht kennt. Über den PPP-Eintrag wird aber auch das Polling, das hier scheitert, gesteuert - und zwar über den Parameter "Zeit", welcher das Poll-Intervall in 10-Sekunden setzt (0 bedeutet "kein Polling").

Du könntest natürlich auch auf der Securepoint das Ping-Blocking deaktivieren, denn das bringt eh keinerlei Seicherheitsgewinn, berhindert aber immer wieder gerne die Fehlersuche oder führt erst (wie hier) zu einem "Fehler". Der einzige tatsächliche Vorteil eines Ping-Blocking ist, daß der Upstream einer ADSL-Leitung durch nicht Fluten des Downstreams "verstopft" werden kann.

Gruß
Backslash

[Tarzan]

Danke für die Info.

Aber habe ich das richtig verstanden, muss ich unter Kommunikation -> Protokolle-> PPP-Liste den ganzen Eintrag SECUREPOINT löschen?

[Bernie137]

Hi Tarzan,

Entferne in der PPP-Tabelle (unter Kommunikation -> Protokolle -> PPP-Liste...) einfach den Eintrag für die Gegenstelle SECUREPOINT - der ist überflüssig

Ist eigentlich eindeutig, oder?
Und einfach mal probieren kann ja nicht schaden. Funktionieren tut es ja eh nicht und der Eintrag ist auch schnell wieder gemacht (Vielleicht vorher aufschreiben).

weil er eigentlich nur für dynamic VPN benötigt wird, was eine Securepoint aber nicht kennt.

Da würde ich noch VPN -> Verbindungsliste -> Gegenstelle SECUREPOINT prüfen, dass dort auch kein dyn. VPN eingestellt ist.

vg Bernie

[Tarzan]

danke für euer Tip.

ich hab's geändert und siehe da die Fehlermeldung ist weg.

Super Tolle Unterstützung hier.

Ach ja vielleicht hab ich noch eine Sache. ich habe auf dem Router LTE und DSL. Zur Zeit geht der Datenverkehr über den LTE Anschluß. Kann mir jemand sagen wo ich das einstellen kann das der VPN Tunnel,über den DSL Anschluß geht? Ich bin mir nicht sicher was im Monat für ein Datenvolumen anfällt.

[Bernie137]

Hi,

Kann mir jemand sagen wo ich das einstellen kann das der VPN Tunnel,über den DSL Anschluß geht?

Da musst zwei Fälle unterscheiden:

1. Eingehender VPN Ruf: es wird einfach die öffentliche IP vom DSL Anschluss angesprochen
2. Ausgehender VPN Ruf: VPN -> Verbindungsliste -> Gegenstelle SECUREPOINT das Routing Tag vom DSL Anschluss hinterlegen

vg Bernie

[Tarzan]

Ok verstanden.

Es ist ja richtig das wenn ich auf einer Seite dyn. IP ( Lancom) und auf der anderen Seite eine feste IP ( Securepoint) habe, der Verbindungsaufbau nur von der dyn. Nach feste IP geht. Oder?

[Bernie137]

Nicht zwangsläufig, aber Du hast das Prinzip verstanden, ja.

Es ist auch ein Ruf von einer festen IP zu einer dyn IP mit Hilfe eines dyn DNS Dienstes möglich. Ob das allerdings zwischen Securepoint und Lancom funktioniert oder eingerichtet ist, weis ich nicht.

Vg Bernie


Gesendet von iPhone mit Tapatalk

[Bernie137]

Ach ja, das habe ich jetzt ganz unterschlagen: Es ist natürlich noch eine Firewall Regel erforderlich, die die Datenpakete vom LAN des Lancoms zum Ziel LAN mit dem Tag des DSL Anschlusses versieht.

Vg Bernie


Gesendet von iPhone mit Tapatalk

[Tarzan]

So die Verbindung geht jetz.

Wo ich mir aber nicht sicher bin ob der Router die Verbindung über LTE oder DSL aufbaut.

Gibt es eine Stelle wo ich das nachsehen kann?

[Bernie137]

Im LANmonitor zeigt es an VPN Verbindung über ...Name der entspr. Internetverbindung.

Vg Bernie


Gesendet von iPhone mit Tapatalk

[Tarzan]

Also mal geht der VPN Tunnel und mal nicht.

Nun bekomme ich die Fehlermeldung :

VPN: Error for peer SECUREPOINT: IFC-I-No-PPP-table-entry-matched
3 2014-09-07 16:17:25 LOCAL0 Fehler VPN: Error for peer SECUREPOINT: IFC-I-No-PPP-table-entry-matched
4 2014-09-07 16:17:25 LOCAL0 Fehler VPN: Error for peer SECUREPOINT: IFC-I-Connection-timeout-IKE-IPSEC
6 2014-09-07 16:16:55 LOCAL0 Fehler VPN: Error for peer SECUREPOINT: IFC-I-No-PPP-table-entry-matched
7 2014-09-07 16:16:54 LOCAL0 Fehler VPN: Error for peer SECUREPOINT: IFC-I-No-PPP-table-entry-matched
8 2014-09-07 16:16:54 LOCAL0 Fehler VPN: Error for peer SECUREPOINT: IFC-I-Connection-timeout-IKE-IPSEC
9 2014-09-07 16:16:24 LOCAL0 Fehler VPN: Error for peer SECUREPOINT: IFC-I-No-PPP-table-entry-matched
10 2014-09-07 16:16:23 LOCAL0 Fehler VPN: Error for peer SECUREPOINT: IFC-I-No-PPP-table-entry-matched
11 2014-09-07 16:16:23 LOCAL0 Fehler VPN: Error for peer SECUREPOINT: IFC-I-Connection-timeout-IKE-IPSEC
12 2014-09-07 16:15:53 LOCAL0 Fehler VPN: Error for peer SECUREPOINT: IFC-I-No-PPP-table-entry-matched
13 2014-09-07 16:15:52 AUTH Info Disconnected from peer SECUREPOINT

Hat da jemand eine Idee?

[cpuprofi]

Hallo Tarzan,

ist NetBIOS für VPN aktiv?

Grüße
Cpuprofi