Netzwerkanalyse, Fehlersuche, Testberichte
Home / News
Netzwerkanalyse
Grundlagen
Verkabelung
Erste Schritte
Baselining
Let's sniff
Tools
Auswerten/Filtern
Typische Probleme 1
Typische Probleme 2
Sicherheit
Bücher
Tutorials
Cacti
DSL einrichten
DynDNS einrichten
m0n0wall | pfSense
Nmap
VirtualBox
Wireshark
Forum
Shop
FAQ
Know How
Testberichte
Hardware-DB
Events
Netzwerklexikon
Links / Service
Suche
Kontakt
Impressum
Feedback
Sitemap
Partner
Unser Partner für
SSL Zertifikate
ist Checkdomain GmbH.
Tutorials

VPN zwischen Astaro ASG und LiSS

Mit einem Site-to-Site VPN lassen sich die IP-Netzwerke von zwei Standorten mitander verbinden. Geräte wie Server, Netzwerkfestplatten und Telefonanlagen sind damit aus beiden vernetzten Standorten erreichbar. Zum Aufbau eines Site-to-Site VPN dürfen sich die IP-Netze der Standorte nicht überlappen. Jeder Standort benötigt einen VPN-Router.

Dieses Tutorial beschreibt den Aufbau einer LAN-LAN-Kopplung mit einer Astaro ASG und einer Telco-Tech LiSS 1000 Series. Jeder Router benötigt eine statische WAN-IP oder einen Hostnamen (z.B. von DynDNS). Im Beipiel kommt IPSec mit ESP im Main Mode zum Einsatz.

Das Astaro Security Gateway AGS erlaubt den Aufbau von Firewalls, Proxys und VPN-Gateways. Die ASG ist als Appliance und als Software erhältlich. Für diese Tutorial kam die mit der Firmware Version 7.401 zum Einsatz.

Telco-Tech bietet mit seiner LiSS-Serie Sicherheits-Lösungen für SOHO und SMB an. Das kleinste Modell LiSS 700 eignet sich für die Netzanbindung des Heimbüros. Die LiSS 5000 verfügt über vier Gigabit Interface und eignet sich auch zum Schutz großer Netzwerke. Diese Anleitung basiert auf einer LiSS 1000 mit der Firmware 3.18.2-1902.

VPN Netzwerkaufbau

In unserem Beispiel verbindet der VPN-Tunnel die beiden Standorte Karlsruhe und Teltow. Als IP-Adressen kommen private Adressen entsprechend RFC 1918 zum Einsatz. Das IP-Netz 172.16.0.0/24 aus Karlsruhe soll mit dem Netz 192.168.1.0/24 in Teltow verbunden werden.

Netzwerkaufbau Astaro und LiSS

VPN Parameter

Der VPN-Tunnel wird mit den folgenden Parametern aufgebaut.


1

2

Standort


Karlsruhe

Teltow

Gerät


Astaro ASG

LiSS 1000 series

Rolle


VPN-Gateway

VPN-Gateway

WAN-IP oder Hostname

A

192.168.178.39

192.168.178.31

Lokales IP-Netz / Maske

B

172.32.16.0/24

192.168.1.0/24

Pre Shared Key PSK

C

verys3cret+key

Austauschverfahren

D

Main Mode

Dead Peer Detection (DPD)

E

aktiviert

Identifier Type

F

IP-Adresse

IP-Adresse

Identifier

G

192.168.178.39

192.168.178.31





Phase 1

Lifetime

H

3600 sec

Verschlüsselung

I

AES-256

Hashalgorithmus

J

SHA2-256

Diffie-Hellman-Gruppe

K

DH-Group 14 MODP 2048


Phase 2

Lebensdauer

L

3600 sec

Verschlüsselung

M

AES-256

Hashalgorithmus

N

SHA2-256

Perfect Forward Secrecy

O

DH-Group 14 MODP 2048

Bitte wählen Sie für den produktiven Einsatz einen möglichst starken PSK oder setzen Sie Zertifikate ein.

Astaro VPN konfigurieren

Astaro realisiert IPsec unter Einsatz von strongSwan. Auf der Astaro müssen eine Policy, ein Remote Gateway und die eigenliche IPSec-Verbindung eingerichtet werden.

IPSec Policy

Legen Sie unter:

Site-to-Site VPN >> IPSec >> Policies >> New IPSec Policy

eine neue Policy mit AES 256, SHA 256, DH-Group 14 und PFS an.

IPSec Policy für die LiSS

Remote Gateway

Die LiSSmuss auf der Astaro als Remote Gateway angelegt werden. Als Remote Network tragen Sie das LAN der LiSS (Zelle B2 aus der Konfig-Tabelle) ein.

Site-to-Site VPN >> IPSec >> Remote Gateway >> New Remote Gateway

VPN Gateway LiSS

IPSec Connection

Als dritter Schritt wird die IPSec-Verbindung mit der vorbereiteten Policy und den Gateway eine IPSec-Verbindung erstellt.

Site-to-Site VPN >> IPSec >> connections >> New IPSec connection

VPN-Verbindung

Als Local Network geben Sie das LAN der Astaro (Zelle B1 aus der Konfig-Tabelle) an.

Die funktionierende VPN-Verbindung sollte dann in etwa so aussehen.

Tunnelstatus

VPN auf der LiSS einrichten

Telco-Tech setzt für die Implementierung von IPsec auf Openswan. Um VPN mit der LiSS nutzen zu können, müssen Sie unter VPN :: Einstellungen den VPN-Dienst aktivieren.

IPsec einschalten

Da beide VPN-Router in diesem Beispiel direkt mit dem Internet verbunden sind, wird kein NAT-Traversal benötigt. NAT-T ist für den Zugriff von mobilen Benutzern auf die LiSS notwendig. Stellen Sie unter VPN :: Profile das Profil default auf AES 256, SHA 256, DH-Group 14 und PFS. Aktivieren Sie DPD (Dead Peer Detection).

IPSec Profile der LiSS

Für VPN-Tunnel mit abweichenden IPSec-Parametern können Sie auch neue Profile erstellen.

Gehen Sie auf VPN :: Überblick und erstellen Sie eine neue VPN-Verbindung.

neue VPN-Verbindung auf der LiSS

Tragen Sie die WAN-IP oder den DNS-Namen der Astaro ein. Für den Aufbau des Tunnels nutzen wir IKE im Main Mode.

VPN Parameter

VPN Einstellungen

Tragen Sie die beiden durch den VPN-Tunnel zu verbindenden IP-Netzwerke ein.

IP-Netze konfigurieren

Als ID kommen die beiden WAN-IPs zum Einsatz. Der PSK muss auf beiden VPN-Routern übereinstimmen.

PSK für VPN

Damit ist der VPN-Tunnel fertig konfiguriert.

Fehlersuche

Bei Problemen mit dem VPN-Tunnel lohnt sich ein Blick in die Logs der beiden Router.

IPSec VPN Log der Astaro

So sieht das IPsec VPN Log der Astaro bei einem erfolgreichen Aufbau des Tunnels aus:

astaro pluto[3520]: added connection description "S_REF_SyVDqsMHjK_0"
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #23: initiating Main Mode
astaro pluto[3520]: forgetting secrets
astaro pluto[3520]: loading secrets from "/etc/ipsec.secrets"
astaro pluto[3520]: loaded shared key for 0.0.0.0 192.168.178.39
astaro pluto[3520]: loaded shared key for 0.0.0.0 192.168.178.39
astaro pluto[3520]: loaded shared key for 192.168.178.31 192.168.178.39
astaro pluto[3520]: Changing to directory '/etc/ipsec.d/cacerts'
astaro pluto[3520]: loaded CA cert file 'REF_filZKshokw.pem' (3003 bytes)
astaro pluto[3520]: Changing to directory '/etc/ipsec.d/aacerts'
astaro pluto[3520]: Changing to directory '/etc/ipsec.d/ocspcerts'
astaro pluto[3520]: Changing to directory '/etc/ipsec.d/crls'
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #23: ignoring Vendor ID payload [4f454b427a64597b774d5d40]
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #23: received Vendor ID payload [Dead Peer Detection]
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #23: Peer ID is ID_IPV4_ADDR: '192.168.178.31'
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #23: ISAKMP SA established
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #24: initiating Quick Mode PSK+ENCRYPT+TUNNEL+PFS+UP {using isakmp#23}
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #24: up-client output: grep: /proc/15028/stat: No such file or directory
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #24: up-client output: grep: /proc/15051/stat: No such file or directory
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #24: up-client output: grep: /proc/15060/stat: No such file or directory
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #24: up-client output: grep: /proc/15064/stat: No such file or directory
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #24: Dead Peer Detection (RFC 3706) enabled
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #24: sent QI2, IPsec SA established {ESP=>0x0398b1a0 <0x90ae1e0b DPD}

Im folgenden Log stimmen die PSKs der beiden Gateways nicht überein.

astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #26: max number of retransmissions (2) reached STATE_MAIN_I3. Possible authentication failure: no acceptable response to our first encrypted message
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #26: starting keying attempt 2 of an unlimited number
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #27: initiating Main Mode to replace #26
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #27: ignoring Vendor ID payload [4f454b427a64597b774d5d40]
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #27: received Vendor ID payload [Dead Peer Detection]
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #27: Informational Exchange message must be encrypted

Fehler in den IP-Definitionen.

code> astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #56: starting keying attempt 12 of an unlimited number
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #57: initiating Quick Mode PSK+ENCRYPT+TUNNEL+PFS+UP to replace #56 {using isakmp#45}
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #45: ignoring informational payload, type INVALID_ID_INFORMATION
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #45: ignoring informational payload, type INVALID_MESSAGE_ID
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #45: ignoring informational payload, type INVALID_MESSAGE_ID
astaro pluto[3520]: "S_REF_SyVDqsMHjK_0" #57: max number of retransmissions (2) reached STATE_QUICK_I1. No acceptable response to our first Quick Mode message: perhaps peer likes no proposal

IPSec VPN Log der LiSS

Zuerst ein erfolgreicher Aufbau des Tunnels im Main Mode:

pluto[5355]: "astaro_1" #23: STATE_QUICK_R2: IPsec SA established {ESP=>0x90ae1e0c <0x2b5b6756 xfrm=AES_256-HMAC_SHA2_256 NATD=none DPD=enabled}
pluto[5355]: "astaro_1" #23: transition from state STATE_QUICK_R1 to state STATE_QUICK_R2
pluto[5355]: "astaro_1" #23: Dead Peer Detection (RFC 3706): enabled
pluto[5355]: "astaro_1" #23: STATE_QUICK_R1: sent QR1, inbound IPsec SA installed, expecting QI2
pluto[5355]: "astaro_1" #23: transition from state STATE_QUICK_R0 to state STATE_QUICK_R1
pluto[5355]: "astaro_1" #23: responding to Quick Mode {msgid:ab3186bb}
pluto[5355]: "astaro_1" #22: Dead Peer Detection (RFC 3706): enabled
pluto[5355]: "astaro_1" #22: STATE_MAIN_R3: sent MR3, ISAKMP SA established {auth=OAKLEY_PRESHARED_KEY cipher=aes_256 prf=OAKLEY_SHA2_256 group=modp2048}
pluto[5355]: "astaro_1" #22: transition from state STATE_MAIN_R2 to state STATE_MAIN_R3
pluto[5355]: "astaro_1" #22: I did not send a certificate because I do not have one.
pluto[5355]: "astaro_1" #22: Main mode peer ID is ID_IPV4_ADDR: '192.168.178.39'
pluto[5355]: "astaro_1" #22: STATE_MAIN_R2: sent MR2, expecting MI3
pluto[5355]: "astaro_1" #22: transition from state STATE_MAIN_R1 to state STATE_MAIN_R2
pluto[5355]: "astaro_1" #22: STATE_MAIN_R1: sent MR1, expecting MI2
pluto[5355]: "astaro_1" #22: transition from state STATE_MAIN_R0 to state STATE_MAIN_R1
pluto[5355]: "astaro_1" #22: responding to Main Mode
pluto[5355]: packet from 192.168.178.39:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-00]
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02_n] meth=106, but port floating is off
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02] meth=107, but port floating is off
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-03] meth=108, but port floating is off
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [RFC 3947] meth=109, but port floating is off
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [Dead Peer Detection]
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [XAUTH]
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [Cisco-Unity]
pluto[5355]: packet from 192.168.178.39:500: ignoring unknown Vendor ID payload [2d1f406118fbd5d28474791ffa00488a]

Fehler im PSK

pluto[5355]: packet from 192.168.178.39:500: ignoring unknown Vendor ID payload [2d1f406118fbd5d28474791ffa00488a]
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [Cisco-Unity]
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [XAUTH]
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [Dead Peer Detection]
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [RFC 3947] meth=109, but port floating is off
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-03] meth=108, but port floating is off
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02] meth=107, but port floating is off
pluto[5355]: packet from 192.168.178.39:500: received Vendor ID payload [draft-ietf-ipsec-nat-t-ike-02_n] meth=106, but port floating is off
pluto[5355]: packet from 192.168.178.39:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t-ike-00]
pluto[5355]: "astaro_1" #16: responding to Main Mode
pluto[5355]: "astaro_1" #16: transition from state STATE_MAIN_R0 to state STATE_MAIN_R1
pluto[5355]: "astaro_1" #16: STATE_MAIN_R1: sent MR1, expecting MI2
pluto[5355]: "astaro_1" #16: transition from state STATE_MAIN_R1 to state STATE_MAIN_R2
pluto[5355]: "astaro_1" #16: STATE_MAIN_R2: sent MR2, expecting MI3
pluto[5355]: "astaro_1" #16: next payload type of ISAKMP Identification Payload has an unknown value: 134
pluto[5355]: "astaro_1" #16: probable authentication failure (mismatch of preshared secrets?): malformed payload in packet
pluto[5355]: | payload malformed after IV
pluto[5355]: | 64 1f 5e a0 c8 6a 7a 0f f8 9d 6e 62 f9 02 eb 38
pluto[5355]: | 16 be 08 af f4 48 3e e4 be 59 88 37 8e 38 48 52
pluto[5355]: "astaro_1" #16: sending notification PAYLOAD_MALFORMED to 192.168.178.39:500
pluto[5355]: "astaro_1" #16: next payload type of ISAKMP Identification Payload has an unknown value: 134
pluto[5355]: "astaro_1" #16: probable authentication failure (mismatch of preshared secrets?): malformed payload in packet
pluto[5355]: | payload malformed after IV
pluto[5355]: | 64 1f 5e a0 c8 6a 7a 0f f8 9d 6e 62 f9 02 eb 38
pluto[5355]: | 16 be 08 af f4 48 3e e4 be 59 88 37 8e 38 48 52
pluto[5355]: "astaro_1" #16: sending notification PAYLOAD_MALFORMED to 192.168.178.39:500
pluto[5355]: "astaro_1" #16: next payload type of ISAKMP Identification Payload has an unknown value: 134
pluto[5355]: "astaro_1" #16: probable authentication failure (mismatch of preshared secrets?): malformed payload in packet
pluto[5355]: | payload malformed after IV
pluto[5355]: | 64 1f 5e a0 c8 6a 7a 0f f8 9d 6e 62 f9 02 eb 38
pluto[5355]: | 16 be 08 af f4 48 3e e4 be 59 88 37 8e 38 48 52
pluto[5355]: "astaro_1" #16: sending notification PAYLOAD_MALFORMED to 192.168.178.39:500

Hier stimmen die Definitionen der IP-Netze nicht überein.

pluto[5355]: "astaro_1" #31: sending encrypted notification INVALID_MESSAGE_ID to 192.168.178.39:500
pluto[5355]: "astaro_1" #31: Quick Mode I1 message is unacceptable because it uses a previously used Message ID 0x471dbfd0 (perhaps this is a duplicated packet)
pluto[5355]: "astaro_1" #31: sending encrypted notification INVALID_ID_INFORMATION to 192.168.178.39:500
pluto[5355]: "astaro_1" #31: cannot respond to IPsec SA request because no connection is known for 1.1.1.0/24===192.168.178.31[S?C]...192.168.178.39[S?C]===172.16.0.0/24
pluto[5355]: "astaro_1" #31: Dead Peer Detection (RFC 3706): enabled
pluto[5355]: "astaro_1" #31: STATE_MAIN_R3: sent MR3, ISAKMP SA established {auth=OAKLEY_PRESHARED_KEY cipher=aes_256 prf=OAKLEY_SHA2_256 group=modp2048}
pluto[5355]: "astaro_1" #31: transition from state STATE_MAIN_R2 to state STATE_MAIN_R3
pluto[5355]: "astaro_1" #31: I did not send a certificate because I do not have one.
pluto[5355]: "astaro_1" #31: Main mode peer ID is ID_IPV4_ADDR: '192.168.178.39'
pluto[5355]: "astaro_1" #31: STATE_MAIN_R2: sent MR2, expecting MI3
pluto[5355]: "astaro_1" #31: transition from state STATE_MAIN_R1 to state STATE_MAIN_R2
pluto[5355]: packet from 192.168.178.39:500: received and ignored informational message
pluto[5355]: packet from 192.168.178.39:500: ignoring informational payload, type NO_PROPOSAL_CHOSEN
pluto[5355]: "astaro_1" #31: STATE_MAIN_R1: sent MR1, expecting MI2
pluto[5355]: "astaro_1" #31: transition from state STATE_MAIN_R0 to state STATE_MAIN_R1
pluto[5355]: "astaro_1" #31: responding to Main Mode

Auf der LiSS kann man unter VPN :: Fehlersuche den Detailgehalt der Meldungen steuern.

Logging für IPsec einstellen

Häufigste Ursache für Probleme beim Aufbau einer IPSec-Verbindung sind Tippfehler in den IP-Adressen, Netzmasken und Proposals. Viele VPN-Gateways erlauben das Logging auf einen Syslog-Server wie den Kiwi Syslog Server. Auf einem Syslog-Server lassen sich die Meldungen mehrerer Geräte zusammenführen und so leichter auswerten.

Weiterführende Informationen zu VPN

Bei Fragen zu VPN wird Ihnen im Netzwerkforum geholfen.

 

 
© 2004-2015, network lab - we make your net work - Netzwerkforum
aktualisiert am 22.03.2012