Dotaz: racoon ipsec

[kajinek]

Dobry den, mam nastavenej tunnel v IPSECu (racoon) pouzivam OS CentOS 5.x.Pri spojeni dostavam pokazde hlasku:

2012-07-24 15:13:38: ERROR: unknown notify message, no phase2 handle found. 2012-07-24 15:13:38: DEBUG: notification message 14:NO-PROPOSAL-CHOSEN, doi=1 proto_id=2 spi=05ed798c(size=4)

Nemuzu prijit na to kde je problem ?

Dekuji Kajinek

PS:phase1 je v pohode.

Odpovědi

[homunkulus]

Pokud je problem jen ve hlasce, tak na to v klidu zapomente. Ja dostavam pri kazde renegociaci klicu nekolik desitek hlasek, ale nakonec se dilo podari a tunel bezi v pohode a bez preruseni dal.

[kajinek]

Prave ze to nejede. Kdyz dam ping ze stanice na vzdalenej server tak nic. Packety tam lezou alé ja mam neco spatne.

[homunkulus]

Postnout sem konfiguracni soubory z obou stran vam zakazuje vase cirkev?

[Michal Kubeček]

Podle "NO-PROPOSAL-CHOSEN" předpokládám, že se racoon nedokázal dohodnout s protějškem, např. proto, že jejich sady povolených algoritmů a variant mají prázdný průnik. Případně může být nekompatibilita v jiných parametrech.

[NN]

no phase2 handle found

Problem v druhe fazi IKE ?

NN

[kajinek]

Dobry den, nevite kde presne hledat ? Kdyz tak muzu dat i konfiguraky jestli to pomuze.

[Michal Kubeček]

To už jste měl udělat dávno…

[kajinek]

Dobry den,
tady jsou moje konfiguracni soubory.
/etc/racoon.conf

# Racoon IKE daemon configuration file.
# See 'man racoon.conf' for a description of the format and entries.
path include "/etc/racoon";
path pre_shared_key "/etc/racoon/psk.txt";
path certificate "/etc/racoon/certs";
log debug2;
sainfo anonymous
{
pfs_group modp1024;
lifetime time 1 hour ;
encryption_algorithm 3des ;
authentication_algorithm hmac_sha1 ;
compression_algorithm deflate ;
}
include "/etc/racoon/xx.xxx.x.xxx.conf";

tady je druhej konfiguracni soubor /etc/racoon/xx.xxx.x.xxx.conf
remote xx.xxx.x.xxx
{ exchange_mode main;
my_identifier address;
proposal {
encryption_algorithm 3des;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group modp1024;
}
}
Dekuji
kajinek

[NN]

unknown notify message, no phase2 handle found

  racoon got an error message from the peer but was too dumb to spell it
  out.  Try running racoon with -d.  Usually, the peer was unable to
  verify the certificate.

[kajinek]

presne :) to jako ze nemuze precist heslo?

[homunkulus]

No a co

cat /etc/sysconfig/network-scripts/ifcfg-ipsec0

sedi tam (na obou stranach) definice siti a adres?

A proc je racoon.conf primo v etc? Racoon z repozitare ma svoji konfiguraci v /etc/racoon/racoon.conf

Jinak ja vzdy mam

dh_group 2;

misto

dh_group modp1024;

[Michal Kubeček]

Jinak ja vzdy mam

dh_group 2;

misto

dh_group modp1024;

To je totéž.

[homunkulus]

To vim, nicmene mne to na Centosu 5 funguje, jemu ne. Bude lepsi to uvest do stavu, kdy se odboura maximum stupnu volnosti pro pripadne stupidni chyby vyvojaru.

[vencour]

Nemáte po cestě nat?

[kajinek]

Dobry den, NAT jsem zrusil uz davno pro tento test. Je to FW to FW a pak jedno PC v lokalni siti na kazde strane. Take pouzivam CentOS.

PL

[NN]

Jeste jednou pro nevidome:

unknown notify message, no phase2 handle found

  racoon got an error message from the peer but was too dumb to spell it
  out.  Try running racoon with -d.  Usually, the peer was unable to
  verify the certificate.

btw. cim vice 'd' tim podrobnejsi vystup..

[kajinek]

racoon: INFO: IPsec-SA request for xx.xxx.x.xxx queued due to no phase1 found.
racoon: INFO: initiate new phase 1 negotiation: xxx.xx.x.xx[500]<=>xx.xxx.x.xxx[500]
racoon: INFO: begin Identity Protection mode.
INFO: received Vendor ID: DPD
racoon: INFO: ISAKMP-SA established xxxx.xx..x.xx[500]-xx.xxx.x.xxx[500] spi:03681a23c53fd455:cbc4358f7c54fc79
INFO: initiate new phase 2 negotiation: xxxx.xx..x.xx[500]<=>xx.xxx.x.xxx[500]
racoon: ERROR: unknown notify message, no phase2 handle found.
racoon: INFO: IPsec-SA expired: AH/Tunnel xx.xxx.x.xxx[0]->xxx.xx.x.xx[0] spi=256240104(0xf45e9e8)
racoon: WARNING: the expire message is received but the handler has not been established.
racoon: ERROR: xx.xxx.x.xxx give up to get IPsec-SA due to time up to wait.
racoon: INFO: IPsec-SA expired: ESP/Tunnel xx.xxx.x.xxx[0]->xxx.xx.x.xx[0] spi=144728566(0x8a061f6)
racoon: INFO: initiate new phase 2 negotiation: xxx.xx.x.xx[500]<=>xx.xxx.x.xxx[500]
racoon: ERROR: unknown notify message, no phase2 handle found.

[homunkulus]

Pochopil jsem, ze si chcete jen tak pokecat, tak si to uzijte.

[kajinek]

nee potreboval bych poradit ...tak jsem poslal log co je spatne ?

[linuxik]

Ahoj,

centos umi IPSEC sam o sobe. Zkus to takhle:

cat /etc/sysconfig/network-scripts/ifcfg-ipsec0

TYPE=IPSEC
ONBOOT=yes
IKE_METHOD=PSK
AH_PROTO=none
SRCNET=
DSTNET=
DST=

[kajinek]

jasne to jsem udelal podle navodu co je na strankach centosu.Kdyz tohle udelam a dam restart site tak se vsechno tohle nastavi i v /etc/racoon/racoon.conf a ip.conf ?

Dekuji

[linuxik]

Jeste tam samozrejme musi byt IKE_PSK=shared-key a pokud nemas NAT muzes AH_PROTO=none vynechat.

[linuxik]

To netusim, ale pamatuji si, ze mi to fungovalo na prvni pokus,takze jsem nic nezkoumal. Servery jiz bohuzel nemam dostupne, takze se nepodivam.

[homunkulus]

Projdi si vlakno jeste jednou a laskave dodej pozadovana data. Zatim jenom zvanis. Nemas tam nahodou dva konfiguraky? Je opravdu tak obtizne dodat ifcfg-ipsec0? Taky doted nevime, jak vypada konfigurace na druhe strane. Je tam vubec centos? Nesnazis se pripojit na centralni mozek lidstva? A tak dale.

[kajinek]

Dobry den, tak jsem dal dohromady pozadovne informace.GW zarizeni: HW BOX snazim se pripojit na toto zarizeni.Ktere je nastaveno takto.Mam pouze jeden konfiguracni soubor.


##Phase 1:
Protokol: ESP
Encapsulation: Tunel
IKE Policy (ISAKMP):
Encryption: 3DES
Authentication: SHA
Diffie-HellmanGroup: 2
Authentication mode: pre-shared key


##Phase 2:
IPSEC Tunnel Policy
Encryption: 3DES
Authentication: SHA
Perfect Forward Secrecy - Group 2
#IP adresy moje:
Gateway: verejna IP
Clients: lokalni IP
#IP adresy jeho:
Gateway: verejna IP
Client: localni IP


muj konfigurak ifcfg-ipsec0
# for the documentation of these parameters.
TYPE=IPSEC
ONBOOT=yes
IKE_METHOD=PSK
AH_PROTO=sha1
SRCGW=moje lokalni ip
DSTGW=druha strana lokalni ip
SRCNET=muj lokalni server/32
DSTNET=druha strana lokalni server/32
DST=verejna ip serveru na kterej se snazim pripojit

Dekuji Kajinek

[homunkulus]

S ruznejma podivnejma krabickama na druhe strane je to podstatne horsi. Je docela dobre mozne, ze ta krabicka vubec nepouziva AH (coz neni na zavadu, ba casto kvuli pruchodu NATem primo zadouci). Pak je treba v ifcfg-ipsec0 si pohrat s:

AH_PROTO=none
ESP_PROTO=3des
AESP_PROTO=hmac-sha1
KEY_ESP="ESP encryption key"
KEY_AESP="ESP authentication key"

V zasade je dobre na /etc/racoon/racoon.conf vubec nesahat (to zaridi skripty), /etc/racoon.conf smazat, protoze to tam nema co delat a experimentovat. Uspech s nejakou krabickou samozrejme neni zdaleka zarucen.

A mimoochodem, nema byt v nastaveni na krabicce prehozeno Gateway a Client?

Vice moznosti pro nastaveni v ifcfg-ipsecN viz

/usr/share/doc/initscripts-VERZE/sysconfig.txt