Локальная сеть - IPsec (железка-ComWl) ->
[Сеть оператора] <- (железка-ComWl перенаправлявшие с использованием NAT) -> IPsec (DFL860) - Локальная сеть
Если поднимать IPsec на железке ComWL со стороны DFL то все успешно работает, проблема в том, что надо подключить несколько IPsec а она этого не умеет
1. ComWl - отвратная железяка, но умеет формировать IPsec, параметры IPsec жестко заданы
Ниже приведен ЛОГ с ConWL
000 %myid = (none)
000 debug none
000
000 algorithm ESP encrypt: id=2, name=ESP_DES, ivlen=8, keysizemin=64, keysizemax=64
000 algorithm ESP encrypt: id=3, name=ESP_3DES, ivlen=8, keysizemin=192, keysizemax=192
000 algorithm ESP encrypt: id=11, name=ESP_NULL, ivlen=0, keysizemin=0, keysizemax=0
000 algorithm ESP encrypt: id=12, name=ESP_AES, ivlen=8, keysizemin=128, keysizemax=256
000 algorithm ESP auth attr: id=1, name=AUTH_ALGORITHM_HMAC_MD5, keysizemin=128, keysizemax=128
000 algorithm ESP auth attr: id=2, name=AUTH_ALGORITHM_HMAC_SHA1, keysizemin=160, keysizemax=160
000 algorithm ESP auth attr: id=251, name=(null), keysizemin=0, keysizemax=0
000
000 algorithm IKE encrypt: id=5, name=OAKLEY_3DES_CBC, blocksize=8, keydeflen=192
000 algorithm IKE encrypt: id=7, name=OAKLEY_AES_CBC, blocksize=16, keydeflen=128
000 algorithm IKE hash: id=1, name=OAKLEY_MD5, hashsize=16
000 algorithm IKE hash: id=2, name=OAKLEY_SHA1, hashsize=20
000 algorithm IKE dh group: id=2, name=OAKLEY_GROUP_MODP1024, bits=1024
000 algorithm IKE dh group: id=5, name=OAKLEY_GROUP_MODP1536, bits=1536
000 algorithm IKE dh group: id=14, name=OAKLEY_GROUP_MODP2048, bits=2048
000 algorithm IKE dh group: id=15, name=OAKLEY_GROUP_MODP3072, bits=3072
000 algorithm IKE dh group: id=16, name=OAKLEY_GROUP_MODP4096, bits=4096
000 algorithm IKE dh group: id=17, name=OAKLEY_GROUP_MODP6144, bits=6144
000 algorithm IKE dh group: id=18, name=OAKLEY_GROUP_MODP8192, bits=8192
000
000 stats db_ops.c: {curr_cnt, total_cnt, maxsz} :context={0,0,0} trans={0,0,0} attrs={0,0,0}
000
000 "ipsec1": 10.23.51.0/24===10.110.239.130[S?C]...10.110.239.131[S?C]===10.23.251.24/29; unrouted; eroute owner: #0
000 "ipsec1": srcip=unset; dstip=unset; srcup=/etc/init.d/updown; dstup=/etc/init.d/updown;
000 "ipsec1": ike_life: 28800s; ipsec_life: 3600s; rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0
000 "ipsec1": policy: PSK+ENCRYPT+TUNNEL+UP; prio: 24,29; interface: ppp0; encap: esp;
000 "ipsec1": newest ISAKMP SA: #0; newest IPsec SA: #0;
000
000 #173: "ipsec1":500 STATE_MAIN_I3 (sent MI3, expecting MR3); none in -1s; lastdpd=-1s(seq in:0 out:0)
000 #173: pending Phase 2 for "ipsec1" replacing #0
000
2. На другом конце такая же железяка, на ней настроен проброс пакетов на DFL860E
Собственно задача:
Настроить параметры IPsec, так чтобы они были согласованны и тоннель работал?Выполнено:
Чтение и разбор мануал, как русскую так и En варианты.
В IPsec выставил параметр поддержки NAT.
Замена прошивки для поддержки 3DES, соответственно 3DES добавлена в алгоритмы шифрования и аутентификации.
На момент написания выходит:
IKE_Invalid_PayloadНе понятно с какими параметрами в DFL ассоциировать параметры ConWL(
rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0)
Так же не понятно по кодировке секретной фразы ключа "pre-shared key". В мануале для DFL написано ASCII. Как можно узнать её у ComWL? Вдруг в ней несоответствие? В заголовке написано (text/html; charset=iso-8859-1). Т.е. если секретная фраза будет написана латиницей будет ли соответствие?
Как можно указать пустые идентификаторы ID?
Как пожелание и доп. вопрос: Можно ли посмотреть/отследить операции по поднятию IPsec-туннеля на DFL по каждой операции, чтоб понять на каком этапе происходит ошибка/несогласованность?
Есть ли пошаговая инструкция формирования IPsec-туннеля на основе логов пакетов получаемых со стороны вызывающего устройства и приходящих на DFL, можно ли по логу пакетов понять какие значения каких параметров надо задать? По типу. В поле, видишь, дуб. На нем найди сундук. Если их два открой самый большой. В нем утка, если нет найди и посади ее в сундук. Подожди когда она снесет яйцо. Если не хочешь ждать, вскрой утку, там яйцо .... а не так, напиши закрытыми глазами 3ad0ldaL0 и все должно работать, если нет начинай сначала и делай до посинения, смысл понимать не обязательно.
Вход
Регистрация
FAQ
Поиск
, странно но на двух ComWL это работает без проблем.
