Dotaz: strongswan - ikev2 ipsec to ipsec

[zipi]

Zdravím, je možné zjistit s hlášky, kde je problém ..? Dle všeho nesedí policy bud na jedné straně nebo druhé. Je možné se podívat co si mezi sebou povídají .? Už jsem stoho neštastnej, jelikož druhá strana tvrdí, že je u nich vše OK.

parsed CREATE_CHILD_SA response 6 [ N(NO_PROP) ]
received NO_PROPOSAL_CHOSEN notify, no CHILD_SA built
failed to establish CHILD_SA, keeping IKE_SA
establishing connection 'ipsec-xxx' failed

Odpovědi

[X]

received NO_PROPOSAL_CHOSEN

Znamena, ze si protistrana v nektere fazi nevybrala z nabidnutych algoritmu. Hodila by se konfigurace a cely vystup logu, pripadne zvetsit uroven logovani na default = 2.

[Max]

Přesně tak. Nedohodnou se na phase1. Nemusí to být jen šifrováním, ale může to být i rozdílným PSK, Local ID a Peer ID. Prostě konfigurace na obou stranách není shodná.
Každopádně já to vždy řešil tak, že jsem si s protistranou vyměnil konfiguraci. Tzn. zabezpečenou cestou jim poslal screenshoty nastavení, nebo oni mě. Tím je pak jistota, že minimálně jedna strana zná nastavení obou routerů a najde rozdíl/chybu.
Každopádně pokud šifry souhlasí a PSK také, bude problém v tom Local ID a Peer ID.
Zdar Max

[j]

Jak uz zaznelo, i pokud je konfigurace "stejna", tak pokud jde o ruzny implementace, v drtivy vetsine pripadu tohle znamena, ze se nedohodnou na algoritmech. Typicky to nastane v situaci, kdy mas na jedny strane tux, a na druhy widle. Protoze widle bydefault podporujou jen neslabsi algoritmy, a tuxi implementace je typicky bydefault odmitaji pouzivat.

Pri podrobnejsim logovani by i melo byt videt, co nabizi ktera strana.

---

Dete s tim guuglem dopice!