abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 00:33 | Komunita Ladislav Hagara | Komentářů: 0
včera 17:30 | Zajímavý článek

Mozilla.cz informuje, že webový prohlížeč Firefox bude od verze 53 obsahovat integrovaný prohlížeč dat ve formátu JSON. Firefox kromě strukturovaného prohlížení nabídne také možnost filtrace a uložení na disk. Dle plánu by měl Firefox 53 vyjít 18. 4. 2017.

Ladislav Hagara | Komentářů: 1
včera 11:00 | Komunita

Členové a příznivci spolku OpenAlt se pravidelně schází v Praze a Brně. Fotky z pražských srazů za uplynulý rok si můžete prohlédnout na stránkách spolku. Příští sraz se koná už zítra 19. ledna – tentokrát je tématem ergonomie ovládání počítače – tzn. klávesnice, myši a další zařízení. Také budete mít příležitost si prohlédnout pražský hackerspace Brmlab.

xkucf03 | Komentářů: 0
17.1. 21:55 | Komunita

Nadace pro svobodný software (FSF) oznámila aktualizaci seznamu prioritních oblastí (changelog), na které by se měli vývojáři a příznivci svobodného softwaru zaměřit. Jsou to například svobodný operační systém pro chytré telefony, hlasová a video komunikace nebo softwarový inteligentní osobní asistent.

Ladislav Hagara | Komentářů: 15
17.1. 16:44 | Nová verze

Byla vydána verze 2.0.0 knihovny pro vykreslování grafů v programovacím jazyce Python Matplotlib (Wikipedie, GitHub). Přehled novinek a galerie grafů na stránkách projektu.

Ladislav Hagara | Komentářů: 0
17.1. 15:33 | Komunita

V australském Hobartu probíhá tento týden konference linux.conf.au 2017. Na programu je celá řada zajímavých přednášek. Sledovat je lze online.

Ladislav Hagara | Komentářů: 0
17.1. 10:20 | Zajímavý článek

Pavel Tišnovský se v dvoudílném článku na MojeFedora.cz věnuje bitmapovým (rastrovým) grafickým editorům ve Fedoře. V prvním dílu se věnuje editorům MyPaint, MtPaint, Pinta, XPaint, Krita a GIMP. V pokračování pak editorům GNU Paint (gpaint), GrafX2, KolourPaint, KIconEdit a Tux Paint.

Ladislav Hagara | Komentářů: 1
16.1. 17:11 | Komunita

Byl proveden bezpečnostní audit svobodného IMAP a POP3 serveru Dovecot (Wikipedie). Audit byl zaplacen z programu Mozilla Secure Open Source a provedla jej společnost Cure53. Společnost Cure53 byla velice spokojena s kvalitou zdrojových kódu. V závěrečné zprávě (pdf) jsou zmíněny pouze 3 drobné a v upstreamu již opravené bezpečnostní chyby.

Ladislav Hagara | Komentářů: 0
16.1. 15:30 | IT novinky

Nadace Raspberry Pi představila na svém blogu Raspberry Pi Compute Module 3 (CM3 a CM3L), tj. zmenšené Raspberry Pi vhodné nejenom pro průmyslové využití. Jedná se o nástupce Raspberry Pi Compute Module (CM1) představeného v dubnu 2014. Nový CM3 vychází z Raspberry Pi 3 a má tedy dvakrát více paměti a desetkrát větší výkon než CM1. Verze CM3L (Lite) je dodávána bez 4 GB eMMC flash paměti. Uživatel si může připojit svou vlastní. Představena byla

… více »
Ladislav Hagara | Komentářů: 2
16.1. 01:23 | Nová verze

Oficiálně bylo oznámeno vydání verze 3.0 multiplatformního balíku svobodných kancelářských a grafických aplikací Calligra (Wikipedie). Větev 3 je postavena na KDE Frameworks 5 a Qt 5. Krita se osamostatnila. Z balíku byly dále odstraněny aplikace Author, Brainstorm, Flow a Stage. U Flow a Stage se předpokládá jejich návrat v některé z budoucích verzí Calligry.

Ladislav Hagara | Komentářů: 7
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (10%)
 (3%)
 (74%)
 (3%)
 (10%)
Celkem 317 hlasů
 Komentářů: 24, poslední 17.1. 10:14
    Rozcestník
    Reklama

    Dotaz: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI

    31.12.2012 14:18 OgeeN
    Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Přečteno: 1019×
    Ahoj, mám problém se sestavením IPSec tunelu mezi cisco ASA5500 a ipsec-tools-0.8.0_2 on FreeBSD 8.3. Na obou stranách tunelu je několik vnitřních sítí. Po nějakém čase přestane fungovat přístup do některé sítě, zatímco přístup do ostatních sítí funguje bez problémů. V logu se zobratují tyto zprávy

    ASA:
    
    Dec 13 2012 13:19:31 FW-ASA : %ASA-4-402114: IPSEC: Received an ESP packet (SPI= 0x9560A834, sequence number= 0x3153) from 159.181.37.30 to 192.168.72.2 with an invalid SPI.
    FreeBSD:
    
    2012-12-13 13:19:37: DEBUG: 68 bytes message received from
    192.168.72.2[500] to
    159.181.37.30[500]
    2012-12-13 13:19:37: DEBUG:
    83ace3cd 9453a654 c7ff589d 79dac762 08100501 971f521c 00000044 bf1367d5
    ca16ec3e 71f99632 06cdb877 08131115 9d458edf 9d196689 c60b51a6 3999ff4c
    77ebc114
    2012-12-13 13:19:37: DEBUG: receive Information.
    2012-12-13 13:19:37: DEBUG: compute IV for phase2
    2012-12-13 13:19:37: DEBUG: phase1 last IV:
    2012-12-13 13:19:37: DEBUG:
    5d0a6ae7 6c8ec4c0 971f521c
    2012-12-13 13:19:37: DEBUG: hash(sha1)
    2012-12-13 13:19:37: DEBUG: encryption(3des)
    2012-12-13 13:19:37: DEBUG: phase2 IV computed:
    2012-12-13 13:19:37: DEBUG:
    9091c420 5bd3fcab
    2012-12-13 13:19:37: DEBUG: begin decryption.
    2012-12-13 13:19:37: DEBUG: encryption(3des)
    2012-12-13 13:19:37: DEBUG: IV was saved for next processing:
    2012-12-13 13:19:37: DEBUG:
    3999ff4c 77ebc114
    2012-12-13 13:19:37: DEBUG: encryption(3des)
    2012-12-13 13:19:37: DEBUG: with key:
    2012-12-13 13:19:37: DEBUG:
    7d3ea450 a7dd6d85 5c49c919 9956a4a6 b076d4ea 8248db5e
    2012-12-13 13:19:37: DEBUG: decrypted payload by IV:
    2012-12-13 13:19:37: DEBUG:
    9091c420 5bd3fcab
    2012-12-13 13:19:37: DEBUG: decrypted payload, but not trimed.
    2012-12-13 13:19:37: DEBUG:
    0b000018 c8ce3caf a945270c df09bafd b70783f0 72b7fbf3 00000010 00000001
    0304000b e9a942da
    2012-12-13 13:19:37: DEBUG: padding len=218
    2012-12-13 13:19:37: DEBUG: skip to trim padding.
    2012-12-13 13:19:37: DEBUG: decrypted.
    2012-12-13 13:19:37: DEBUG:
    83ace3cd 9453a654 c7ff589d 79dac762 08100501 971f521c 00000044 0b000018
    c8ce3caf a945270c df09bafd b70783f0 72b7fbf3 00000010 00000001 0304000b
    e9a942da
    2012-12-13 13:19:37: DEBUG: IV freed
    2012-12-13 13:19:37: DEBUG: HASH with:
    2012-12-13 13:19:37: DEBUG:
    971f521c 00000010 00000001 0304000b e9a942da
    2012-12-13 13:19:37: DEBUG: hmac(hmac_sha1)
    2012-12-13 13:19:37: DEBUG: HASH computed:
    2012-12-13 13:19:37: DEBUG:
    c8ce3caf a945270c df09bafd b70783f0 72b7fbf3
    2012-12-13 13:19:37: DEBUG: hash validated.
    2012-12-13 13:19:37: DEBUG: begin.
    2012-12-13 13:19:37: DEBUG: seen nptype=8(hash)
    2012-12-13 13:19:37: DEBUG: seen nptype=11(notify)
    2012-12-13 13:19:37: DEBUG: succeed.
    2012-12-13 13:19:37: [192.168.72.2] ERROR: notification INVALID-SPI  received in informational exchange.
    
    Konfigurace ASY:
    
    access-list 101 remark IPSec range
    access-list 101 extended permit ip 191.37.111.160 255.255.255.240 object-group NET_Central
    access-list 101 extended permit ip 191.37.111.176 255.255.255.248 object-group NET_Central
    access-list 101 extended permit ip 191.37.111.184 255.255.255.248 object-group NET_Central
    crypto ipsec transform-set IPSEC esp-aes-256 esp-sha-hmac
    crypto ipsec security-association lifetime seconds 3600
    crypto ipsec security-association lifetime kilobytes 2147483647
    crypto map VPN 1 match address 101
    crypto map VPN 1 set peer 159.181.37.30 159.181.37.38 159.181.37.39
    crypto map VPN 1 set transform-set IPSEC
    crypto map VPN 1 set security-association lifetime seconds 3600
    crypto map VPN interface outside
    crypto isakmp identity address
    crypto isakmp enable outside
    crypto isakmp policy 1
     authentication pre-share
     encryption 3des
     hash sha
     group 1
     lifetime 7200
    tunnel-group 159.181.37.30 type ipsec-l2l
    tunnel-group 159.181.37.30 ipsec-attributes
     pre-shared-key *
     isakmp keepalive disable
    tunnel-group 159.181.37.39 type ipsec-l2l
    tunnel-group 159.181.37.39 ipsec-attributes
     pre-shared-key *
    tunnel-group 159.181.37.38 type ipsec-l2l
    tunnel-group 159.181.37.38 ipsec-attributes
     pre-shared-key *
    
    Konfigurace racoonu:
    
    padding {
        maximum_length 20;
        randomize off;
        strict_check off;
        exclusive_tail off;
    }
    timer {
        counter 5;
        interval 20 sec;
        persend 1;
        phase1 30 sec;
        phase2 15 sec;
    }
    listen {
        isakmp 159.181.37.30 [500];
    }
    remote "ASA-remote" {
        remote_address 192.168.72.2;
        exchange_mode main;
        proposal_check obey;
        lifetime time 7200 sec;
        my_identifier address;
        proposal {
            authentication_method pre_shared_key;
            encryption_algorithm 3des;
            hash_algorithm sha1;
            dh_group 1;
        }
    }
    sainfo address xxx.xxx.xxx.xxx/32 4 address xxx.xxx.xxx.xxx/32 4 {
        lifetime time 86400 sec;
        encryption_algorithm aes;
        authentication_algorithm hmac_sha1;
        compression_algorithm deflate;
    }
    
    V čem by mohl být problém? Díky

    Řešení dotazu:


    Odpovědi

    31.12.2012 14:41 NN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Nesouhlasi ti lifetime SA:
    ASA:
    crypto map VPN 1 set security-association lifetime seconds 3600
    racoon:
    lifetime time 7200 sec;
    
    take muzes na ASA jeste pouzit, prikaz:
    crypto isakmp invalid-spi-recovery
    
    ktery bude informovat protistranu o problemu.
    31.12.2012 14:48 OgeeN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Bohužel se mi to stalo i když jsem měl lifetime nastavený stejně.

    Zmíněný příkaz mi moje asa vůbec nenabídne: Cisco Adaptive Security Appliance Software Version 8.0(5)19

    Díky za reakci.
    9.1.2013 21:55 Stefan
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    skus toto sysctl net.key.preferred_oldsa=0 a rebootni racoon.
    10.1.2013 14:31 OgeeN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Díky za tip. Zatím jsem provedl downgrade na 0.7.3. Zatím vše běží jak má.
    31.12.2012 19:42 Krystl
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Ahoj, jak casto se to stava? Mam podobny problem na routeru vs. openswan a jednou za cas se nejak nepovede obnova ipsec kanalu a az do dalsi obnovy VPN nefunguje, tj. necelou hodinu. Zatim ani cisco TAC na nic neprisel.

    Krystl
    2.1.2013 11:11 OgeeN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    To je různé. Měli jsme takhle připojeno několik poboček a na některých se to stávalo i několikrát do hodiny. Teď je takto připojena už jen jedna pobočka a timeouty jsou tam nastaveny na 30 dní. Výpadek jsme tam zatím zaznamenali jen jeden.
    1.1.2013 01:38 pa3k
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Ako vyzera config pre setkey?
    2.1.2013 11:16 OgeeN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Takto
    
    xxx.xxx.0.0/16 xxx.xxx.xxx.160/28 any -P out ipsec esp/tunnel/xxx.xxx.xxx.10-xxx.xxx.xxx.210/unique;
    xxx.xxx.xxx.160/28 xxx.xxx.0.0/16 any -P in ipsec esp/tunnel/xxx.xxx.xxx.210-xxx.xxx.xxx.10/unique;
    xxx.xxx.0.0/16 xxx.xxx.xxx.176/29 any -P out ipsec esp/tunnel/xxx.xxx.xxx.10-xxx.xxx.xxx.210/unique;
    xxx.xxx.xxx.176/29 xxx.xxx.0.0/16 any -P in ipsec esp/tunnel/xxx.xxx.xxx.210-xxx.xxx.xxx.10/unique;
    atd.
    
    3.1.2013 19:07 pa3k
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    skus dat require namiesto unique
    4.1.2013 10:36 OgeeN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    To jsem už zkoušel. S touto volbou mi tunel, tuším, vůbec nefungoval. Nebo fungoval jen pro první domluvené SA. Nevím už přesně.
    4.1.2013 11:34 NN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Ja mam stejne pocit, ze ASA dostava invalid SPI proto, ze si racoon mysli, ze tunel stale bezi a tipuju to na ty lifetime casovace.
    4.1.2013 12:24 OgeeN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Tak to máme stejný pocit. Bohužel nevím co s tím.
    4.1.2013 16:22 Petr
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Kdyz zadna data netecou, racoon drzi tunel dal, ale cisco ten tunel zrusi bez ohledu na lifetime. Vysledkem je invalid spi v logu na strane cisca a nefunkcni tunel. Workaround je hnat tim tunelem nejaka data aby cisco ten tunel neshodilo. Kdysi jsem to na linuxovem firewallu resil ze pingem :). IP adresa na strane cisca musi byt jina nez vnitrni konec tunelu. Nejak na takhle " ping -i 60 -s 1 -I eth0 a.b.c.d ".
    4.1.2013 23:02 NN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    To je nesmysl.
    6.1.2013 09:51 Petr
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    a) Proc myslis ze je to nesmysl ? Placnout ze je to nesmysl umim taky.
    vencour avatar 6.1.2013 10:28 vencour | skóre: 55 | blog: Tady je Vencourovo | Praha+západní Čechy
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    V principu js SPI klíč, kterým se zrovna šifruje. Je odvozený na základě nastavení při sestavení tunelu. Když je na lince chybovost, když uplyne (polovina) lifetime, tak se SPI přegeneruje a použije nové. Takže do chybové hlášky o invalid SPI mluví stavy obou ipsec konců a stav přenosového média.
    Ty nejhlubší objevy nečekají nutně za příští hvězdou. Jsou uvnitř nás utkány do vláken, která nás spojují, nás všechny.
    6.1.2013 11:10 Petr
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Do chybove hlasky ale taky mluvi zpusob implementace na konkretni platforme. A ten je v unix systemech a ciscu jiny. BTW, po vygenerovani noveho SPI se tento novy pouzije az po vyprseni lifetime stareho SPI. Novy SPI je prozatim pouze "pripraven". Kdyz cisco tunel zrusi , protoze tunelem zadna data netecou , ocekava vygenerovani noveho spi. Openswan/racoon ale drzi i zateto situace stavajici spi. Vysledek je invalid spi. BTW, cistota prechodu mezi starym a novym SPI se projevovala na nahodnem resetu spojeni skz tunel (overeno v labu). To jen pro upresneni. Tu chybu "invalid spi" (a nejen ji) s uspechem dostanete mezi ruznymi implementaceni. Ten popisovany workaround jsem s uspechem pouzival nekolik let.
    vencour avatar 6.1.2013 11:24 vencour | skóre: 55 | blog: Tady je Vencourovo | Praha+západní Čechy
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Ok, z praxe si pamatuju hlavně Cisco. A třebo i to, že nastavit lifetime na 5 minut je docela vražedné.
    Ty nejhlubší objevy nečekají nutně za příští hvězdou. Jsou uvnitř nás utkány do vláken, která nás spojují, nás všechny.
    6.1.2013 11:05 NN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Proc ? Protoze tunel je trvaly spoj a rozpadne se jen v pripade problemu a je uplne jedno jestli jim neco tece nebo ne. Imho vzdycky jim alespon neco tece..
    6.1.2013 11:19 Petr
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Tunel je trvaly spoj, bohuzel virtualni se vsemi dusledky. Pri stejnem zpusobu implementace je opravdu jedno jestli jim neco tece nebo netece. Pri ruznych implementacich to opravdu jedno neni. "Imho vzdycky jim alespon neco tece" - v realnem svete to tak vzdy neni. Prikladu vas napadne jiste dost.
    6.1.2013 20:57 OgeeN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Díky za tip. Na straně racoonu je cca 20 sítí na straně ASY jsou sítě 3. Pokud tomu dobře rozumím, tak pro jeden tunel pak bude sestaveno 60 SA a 60 SPI. Musel bych tedy pravidelně posílat 60 pingů. Pochopil sem to správně?
    7.1.2013 20:48 Petr
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Spravne tech SPI bude 120 :) , protoze jsou dva na kazde spojeni (inbound,outbound). Jinak jste to pochopil spravne. Neni mozne ty site nejak sloucit ? Pripadne to jinak zjednodusit ?
    pavlix avatar 8.1.2013 07:27 pavlix | skóre: 53 | blog: pavlix
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Tady vidím typický rovnák na vohejbák. IPsec byl podle mě od začátku navržený tak, aby mu bylo jedno kolik sítí je propojených, a kdy a jak často probíhá komunikace.

    Typicky se keepalive ping používá pro udržení špatné síťové konfigurace. Pomáhá především proti různým výpadkům z IP maškarády a takovým věcem.

    Nicméně pro IPsec tunely mezi routery na veřejných adresách něco takového nedává smysl. Pokud vadí příliš časné navazování asociací a s ním spojené čekání a případné ztráty paketů (které by FreeBSD mělo umět narozdíl od Linuxu pozdržet), tak snad jde nějak prodloužit časová platnost. Pokud je to stálý tunel, tak by snad mělo jít nastavit, aby se neshazoval vůbec.

    Ten ping slouží podle mě jenom k oživení něčeho, co je rozbité špatnou konfigurací (v horším případě implementací).
    Gentoo – Jsem open source vývojář, nikoli markeťák ⇒ názory zde uvedené jsou jen mé vlastní.
    4.1.2013 23:10 NN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Tak mozna to bude bug..
    5.1.2013 19:22 OgeeN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    V tom případě by mohl pomoct downgrade. Vyzkouším to a dám vědět.
    14.1.2013 15:04 OgeeN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Devátého ledna jsem nasadil verzi 0.7.3 a od té doby ani jedna chyba.
    14.1.2013 22:35 NN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Super, diky za odezvu.
    28.1.2013 10:07 OgeeN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Tak zpět k rýsovacímu prknu. Po nějakém čase se chyba projevila i s ipsec-tools 0.7.3.
    28.1.2013 10:13 NN
    Rozbalit Rozbalit vše Re: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI
    Hm, tak to bude chtit podrobny debug celeho problemu..

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.