Помогите решить проблему с IPSec в связке DFL-800 + Linux.
Туннель перестает передавать пакеты каждые 8 часов! Требуется перезапуск racoon на Linux.
Если перезапуск не делать, то через некоторое время racoon начинает сыпать в логи сообщение: "ERROR: S.S.S.S give up to get IPsec-SA due to time up to wait.", то есть racoon не может соединиться с WAN портом DFL-800. Хотя порт без проблем пингуется.
На стороне Linux динамический белый IP (D.D.D.D - соединение PPPoE), на стороне DFL-800 статический белый IP (S.S.S.S ).
За линуксом локальная сеть 192.168.4.0/24, за DFL-800 192.168.5.0/24
Версия аппаратного обеспечения DFL-800: 2.26.00.06-12649 Sep 23 2009
На Linux используется пакет ipsec-tools-0.8.0, в принципе 0.7.3 тоже был попробован, результат точно такой же.
Ядра на Linux тоже менял перепробовал все от 2.6.x, до 3.3.8, это не помогает, ровно через 8 часов IPSec-туннель умирает.
Я специально написал скрипт который проверяет туннель каждые пять минут.
Конфигурация на DFL-800:
Код:
Удаленная точка: (None)
Режим инкапсуляции: Tunnel
IKE Config Mode Pool: (None)
Алгоритмы IKE: Medium
Время жизни IKE: 28800 секунд (т. е. 8 часов)
Алгоритмы IPsec: Medium
Время жизни IPsec: 3600 секунд
Время жизни IPsec: 0 килобайт
Конфиг racoon:
Код:
# sync
# sync
# cat racoon.conf
# auto generated by /etc/init.d/racoon
path pre_shared_key "/var/racoon/psk.txt";
path certificate "/var/racoon/cert";
padding {
maximum_length 20; randomize off;
strict_check off; exclusive_tail off;
}
timer {
counter 5; interval 20 sec; persend 1;
phase1 30 sec; phase2 15 sec;
}
listen {
isakmp D.D.D.D;
isakmp_natt D.D.D.D [4500];
}
remote S.S.S.S {
exchange_mode aggressive,main;
proposal_check obey;
nat_traversal on;
proposal {
lifetime time 28800 sec;
encryption_algorithm aes 128;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group 2;
}
}
sainfo address 192.168.4.0/24 any address 192.168.5.0/24 any {
pfs_group 2;
lifetime time 3600 sec;
encryption_algorithm aes 128;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
}
Как лечить это безобразие? Вроде DFL-800 недешевая железка, должна же по идее нормально работать с ipsec-tools?
Вход
Регистрация
FAQ
Поиск
