VPN Verbindungsstörungen

bitteeinbit · Beitrag von **bitteeinbit** » 13 Apr 2006, 17:01

Hallo!

Ich habe manchmal ein sehr komisches Problem. Wir nutzen fünf 1621 Router und in der Zentrale einen 1721 für unsere VPN Verbindung. Diese ist normalerweise auch stabil, nur wenn die Zwangstrennung erfolgt kommt es manchmal zu schwierigkeiten. Häufig kann sich der Router in der Zentrale dann meistens mit einem, manchmal auch zwei Routern nicht wieder verbinden. Dies passiert Standort unabhänigig, mal der eine mal der andere. Das kann dann teilweise über Stunden gehen, bis sich die Router plötzlich wieder per VPN verbinden. Wenn ich dann die DSL Verbindung per Hand im LANmonitor nochmal trenne, der Router in der Außenstelle sich wieder neu einwählt, klappt die Verbindung meist wieder sofort, woran kann das liegen? Danach kann es dann sein, dass die Verbindung wieder über zwei Wochen tadellos funktioniert, insofern kann es ja nicht an der Konfiguration liegen oder? Für der VPN Verbindungen ist keep alive eingestellt, der 1721 Router in der Zentrale hat einen Festanschluss, die Außenstellen haben DSL. Die Fehlermeldung beim aufbau der VPN Verbindung ist meisten, Line Polling oder Zeitüberschreitung währende der IKE-pder IPSec-Verhandlung.

Ich weiß mittlerweile nicht mehr was ich machen soll...

Gruß
bitteeinbit

backslash · Beitrag von **backslash** » 13 Apr 2006, 17:58

Hi bitteeinbit

welche Firmware setzt du ein? In der 5.2x kann es da Probleme beim dynamic VPN geben

Achte auch darauf, daß das Keep-Alive nur in den Aussenstellen konfiguriert ist (weil sich sonst die Aufbauten überschneiden).

Gruß
Backslash

bitteeinbit · Beitrag von **bitteeinbit** » 13 Apr 2006, 18:40

Hallo Backslash,

vielen Dank für deine Antwort, die Router haben alle die 6.06 Firmware, aber ich habe das Keep Alive sowohl bei den Außenstellen, als auch in der Zentrale aktiviert. Soll ich dann in der Polling Tabelle der Zentrale die fünf Außenstellenrouter wieder rausnehmen, oder muss die Verbindungshaltezeit der VPN Kanäle auf z.B. 60 Sek. stellen?

Gruß
Bitteeinbit

backslash · Beitrag von **backslash** » 13 Apr 2006, 19:14

Hi bitteeinbit

Soll ich dann in der Polling Tabelle der Zentrale die fünf Außenstellenrouter wieder rausnehmen

nein, die kannst du drinlassen - bzw. solltest du auch drinlassen, weil sonst ein Zusammenbruch des Tunnels nicht sauber festgestellt werden kann.

Das geht sonst nur noch über DPD. Das testet aber nicht den Tunnel, sondern nur, ob die Gegenseite noch lebt...

oder muss die Verbindungshaltezeit der VPN Kanäle auf z.B. 60 Sek. stellen?

auf 0 Sekunden - dann werden sie nicht abgebaut...
Und in den Filialen natürlich auf 9999 für's Keep-Alive...

Gruß
Backslash

bitteeinbit · Beitrag von **bitteeinbit** » 13 Apr 2006, 19:26

Alles klar, werde ich ausprobieren, danke!!!

Gruß bitteeinbit

bitteeinbit · Beitrag von **bitteeinbit** » 14 Apr 2006, 00:21

Also so richtig hat es jetzt auch noch nicht funktioniert, habe dann allerdings bei den VPN Gegenstellen in der PPP Liste unter "Zeit" und "Wiederholungen" jeweils 0 eingegeben, seitdem klappt es einwandfrei. Hat das sonst noch irgendwelche Nachteile, oder kann ich es so lassen? Die VPN Verbindung wird ja dadurch, dass ich den Wert auf 0 gesetzt habe nicht mehr überprüft oder?

Gruß
bitteeinbit

bitteeinbit · Beitrag von **bitteeinbit** » 14 Apr 2006, 15:02

Also es klappt leider immer noch nicht, im Telnet trace sieht das dann so aus:

Gegenstelle 1:

[VPN-Status] 2006/04/14 13:48:32,380
VPN: received dynamic VPN V2 authentication packet from STAMMXXXXXXX (xxx.xxx.25.10)
DNS: 10.24.56.250, 0.0.0.0
NBNS: 10.24.56.250, 0.0.0.0
polling address: 10.24.56.250

[VPN-Status] 2006/04/14 13:48:33,370
VPN: received dynamic VPN V2 authentication packet from STAMMXXXXXXX (xxx.xxx.25.10)
DNS: 10.24.56.250, 0.0.0.0
NBNS: 10.24.56.250, 0.0.0.0
polling address: 10.24.56.250

[VPN-Status] 2006/04/14 13:48:34,370
VPN: received dynamic VPN V2 authentication packet from STAMMXXXXXXX (xxx.xxx.25.10)
DNS: 10.24.56.250, 0.0.0.0
NBNS: 10.24.56.250, 0.0.0.0
polling address: 10.24.56.250

[VPN-Status] 2006/04/14 13:48:35,330
VPN: connection for STAMMXXXXXXX (xxx.xxx.25.10) timed out: no response

[VPN-Status] 2006/04/14 13:48:35,330
VPN: Error: IFC-R-Connection-timeout-IKE-IPSEC (0x1206) for STAMMXXXXXXX (xxx.xxx.25.10)

[VPN-Status] 2006/04/14 13:48:35,330
VPN: disconnecting STAMMXXXXXXX (xxx.xxx.25.10)

[VPN-Status] 2006/04/14 13:48:35,380
VPN: received dynamic VPN V2 authentication packet from STAMMXXXXXXX (xxx.xxx.25.10)
DNS: 10.24.56.250, 0.0.0.0
NBNS: 10.24.56.250, 0.0.0.0
polling address: 10.24.56.250

[VPN-Status] 2006/04/14 13:48:35,380
VPN: STAMMXXXXXXX (xxx.xxx.25.10) disconnected

[VPN-Status] 2006/04/14 13:48:35,430
VPN: selecting next remote gateway using strategy eFirst for STAMMXXXXXXX
=> no remote gateway selected

[VPN-Status] 2006/04/14 13:48:35,430
VPN: selecting first remote gateway using strategy eFirst for STAMMXXXXXXX
=> CurrIdx=0, IpStr=>stammxxxxxxx.ath.cx<, IpAddr=xxx.xxx.25.10, IpTtl=60s

[VPN-Status] 2006/04/14 13:48:35,430
VPN: installing ruleset for STAMMXXXXXXX (xxx.xxx.25.10)

[VPN-Status] 2006/04/14 13:48:36,370
VPN: received dynamic VPN V2 authentication packet from STAMMXXXXXXX (xxx.xxx.25.10)
DNS: 10.24.56.250, 0.0.0.0
NBNS: 10.24.56.250, 0.0.0.0
polling address: 10.24.56.250

[VPN-Status] 2006/04/14 13:48:36,370
VPN: installing ruleset for STAMMXXXXXXX (xxx.xxx.25.10)

[VPN-Status] 2006/04/14 13:48:36,380
VPN: ruleset installed for STAMMXXXXXXX (xxx.xxx.25.10)

[VPN-Status] 2006/04/14 13:48:36,380
VPN: start dynamic VPN negotiation for STAMMXXXXXXX (xxx.xxx.25.10) via ICMP/UDP

[VPN-Status] 2006/04/14 13:48:36,380
VPN: create dynamic VPN V2 authentication packet for STAMMXXXXXXX (xxx.xxx.25.10)
DNS: 10.9.208.254, 0.0.0.0
NBNS: 10.9.208.254, 0.0.0.0
polling address: 10.9.208.254

[VPN-Status] 2006/04/14 13:48:36,380
VPN: wait for IKE negotiation from STAMMXXXXXXX (xxx.xxx.25.10)

[VPN-Status] 2006/04/14 13:48:37,370
VPN: received dynamic VPN V2 authentication packet from STAMMXXXXXXX (xxx.xxx.25.10)
DNS: 10.24.56.250, 0.0.0.0
NBNS: 10.24.56.250, 0.0.0.0
polling address: 10.24.56.250

[VPN-Status] 2006/04/14 13:48:38,370
VPN: received dynamic VPN V2 authentication packet from STAMMXXXXXXX (xxx.xxx.25.10)
DNS: 10.24.56.250, 0.0.0.0
NBNS: 10.24.56.250, 0.0.0.0
polling address: 10.24.56.250

[VPN-Status] 2006/04/14 13:48:39,370
VPN: received dynamic VPN V2 authentication packet from STAMMXXXXXXX (xxx.xxx.25.10)
DNS: 10.24.56.250, 0.0.0.0
NBNS: 10.24.56.250, 0.0.0.0
polling address: 10.24.56.250

[VPN-Status] 2006/04/14 13:48:40,370
VPN: received dynamic VPN V2 authentication packet from STAMMXXXXXXX (xxx.xxx.25.10)
DNS: 10.24.56.250, 0.0.0.0
NBNS: 10.24.56.250, 0.0.0.0
polling address: 10.24.56.250
...

Gegenstelle 2:

[VPN-Status] 2006/04/14 13:48:27,910
VPN: received dynamic VPN V2 authentication packet from HILDXXXXXX (xx.xxx.65.166)
DNS: 10.9.208.254, 0.0.0.0
NBNS: 10.9.208.254, 0.0.0.0
polling address: 10.9.208.254

[VPN-Status] 2006/04/14 13:48:28,900
VPN: received dynamic VPN V2 authentication packet from HILDXXXXXX (xx.xxx.65.166)
DNS: 10.9.208.254, 0.0.0.0
NBNS: 10.9.208.254, 0.0.0.0
polling address: 10.9.208.254

[VPN-Status] 2006/04/14 13:48:29,910
VPN: received dynamic VPN V2 authentication packet from HILDXXXXXX (xx.xxx.65.166)
DNS: 10.9.208.254, 0.0.0.0
NBNS: 10.9.208.254, 0.0.0.0
polling address: 10.9.208.254

[VPN-Status] 2006/04/14 13:48:30,820
VPN: connection for HILDXXXXXX (xx.xxx.65.166) timed out: no response

[VPN-Status] 2006/04/14 13:48:30,820
VPN: Error: IFC-R-Connection-timeout-IKE-IPSEC (0x1206) for HILDXXXXXX (xx.xxx.65.166)

[VPN-Status] 2006/04/14 13:48:30,820
VPN: disconnecting HILDXXXXXX (xx.xxx.65.166)

[VPN-Status] 2006/04/14 13:48:30,830
VPN: HILDXXXXXX (xx.xxx.65.166) disconnected

[VPN-Status] 2006/04/14 13:48:30,840
VPN: selecting next remote gateway using strategy eFirst for HILDXXXXXX
=> no remote gateway selected

[VPN-Status] 2006/04/14 13:48:30,840
VPN: selecting first remote gateway using strategy eFirst for HILDXXXXXX
=> CurrIdx=0, IpStr=>hgbmhildxxxxxx.ath.cx<, IpAddr=xx.xxx.65.166, IpTtl=59s

[VPN-Status] 2006/04/14 13:48:30,840
VPN: installing ruleset for HILDXXXXXX (xx.xxx.65.166)

[VPN-Status] 2006/04/14 13:48:30,900
VPN: received dynamic VPN V2 authentication packet from HILDXXXXXX (xx.xxx.65.166)
DNS: 10.9.208.254, 0.0.0.0
NBNS: 10.9.208.254, 0.0.0.0
polling address: 10.9.208.254

[VPN-Status] 2006/04/14 13:48:30,910
VPN: installing ruleset for HILDXXXXXX (xx.xxx.65.166)

[VPN-Status] 2006/04/14 13:48:30,920
VPN: ruleset installed for HILDXXXXXX (xx.xxx.65.166)

[VPN-Status] 2006/04/14 13:48:30,920
VPN: start dynamic VPN negotiation for HILDXXXXXX (xx.xxx.65.166) via ICMP/UDP

[VPN-Status] 2006/04/14 13:48:30,920
VPN: create dynamic VPN V2 authentication packet for HILDXXXXXX (xx.xxx.65.166)
DNS: 10.24.56.250, 0.0.0.0
NBNS: 10.24.56.250, 0.0.0.0
polling address: 10.24.56.250

[VPN-Status] 2006/04/14 13:48:30,920
VPN: wait for IKE negotiation from HILDXXXXXX (xx.xxx.65.166)

[VPN-Status] 2006/04/14 13:48:31,910
VPN: received dynamic VPN V2 authentication packet from HILDXXXXXX (xx.xxx.65.166)
DNS: 10.9.208.254, 0.0.0.0
NBNS: 10.9.208.254, 0.0.0.0
polling address: 10.9.208.254

[VPN-Status] 2006/04/14 13:48:32,900
VPN: received dynamic VPN V2 authentication packet from HILDXXXXXX (xx.xxx.65.166)
DNS: 10.9.208.254, 0.0.0.0
NBNS: 10.9.208.254, 0.0.0.0
polling address: 10.9.208.254

[VPN-Status] 2006/04/14 13:48:33,910
VPN: received dynamic VPN V2 authentication packet from HILDXXXXXX (xx.xxx.65.166)
DNS: 10.9.208.254, 0.0.0.0
NBNS: 10.9.208.254, 0.0.0.0
polling address: 10.9.208.254

usw.....

Und es passiert wie gesagt völlig unregelmäßig, es kann sein, dass die Verbindung zwei Wochen lang ornungsgemäß funktioniert, und dann nach der Zwangstrennung der einen Gegenstelle klappt der Verbindungsaufbau nicht mehr.

Gruß
bitteeinbit

bitteeinbit · Beitrag von **bitteeinbit** » 17 Apr 2006, 09:50

Hat denn keiner eine Idee woran das liegen könnte?

backslash · Beitrag von **backslash** » 18 Apr 2006, 17:47

Hi bitteeinbit

das ist genau der Fehler, der in der 5.2x auftritt - beide Seiten meinen sie wären Responder - und genau das ist in der 6.0x gefixt - ich habe gerade nochmal im Code nachgeschaut...

Wichtig ist, daß auf *allen* Routern die 6.0x ist

Gruß
Backslash