Dotaz: Problém s VPN mezi ASA5500 a ipsec-tools-0.8.0_2 INVALID-SPI

[OgeeN]

Ahoj, mám problém se sestavením IPSec tunelu mezi cisco ASA5500 a ipsec-tools-0.8.0_2 on FreeBSD 8.3. Na obou stranách tunelu je několik vnitřních sítí. Po nějakém čase přestane fungovat přístup do některé sítě, zatímco přístup do ostatních sítí funguje bez problémů. V logu se zobratují tyto zprávy

ASA:

Dec 13 2012 13:19:31 FW-ASA : %ASA-4-402114: IPSEC: Received an ESP packet (SPI= 0x9560A834, sequence number= 0x3153) from 159.181.37.30 to 192.168.72.2 with an invalid SPI.

FreeBSD:

2012-12-13 13:19:37: DEBUG: 68 bytes message received from
192.168.72.2[500] to
159.181.37.30[500]
2012-12-13 13:19:37: DEBUG:
83ace3cd 9453a654 c7ff589d 79dac762 08100501 971f521c 00000044 bf1367d5
ca16ec3e 71f99632 06cdb877 08131115 9d458edf 9d196689 c60b51a6 3999ff4c
77ebc114
2012-12-13 13:19:37: DEBUG: receive Information.
2012-12-13 13:19:37: DEBUG: compute IV for phase2
2012-12-13 13:19:37: DEBUG: phase1 last IV:
2012-12-13 13:19:37: DEBUG:
5d0a6ae7 6c8ec4c0 971f521c
2012-12-13 13:19:37: DEBUG: hash(sha1)
2012-12-13 13:19:37: DEBUG: encryption(3des)
2012-12-13 13:19:37: DEBUG: phase2 IV computed:
2012-12-13 13:19:37: DEBUG:
9091c420 5bd3fcab
2012-12-13 13:19:37: DEBUG: begin decryption.
2012-12-13 13:19:37: DEBUG: encryption(3des)
2012-12-13 13:19:37: DEBUG: IV was saved for next processing:
2012-12-13 13:19:37: DEBUG:
3999ff4c 77ebc114
2012-12-13 13:19:37: DEBUG: encryption(3des)
2012-12-13 13:19:37: DEBUG: with key:
2012-12-13 13:19:37: DEBUG:
7d3ea450 a7dd6d85 5c49c919 9956a4a6 b076d4ea 8248db5e
2012-12-13 13:19:37: DEBUG: decrypted payload by IV:
2012-12-13 13:19:37: DEBUG:
9091c420 5bd3fcab
2012-12-13 13:19:37: DEBUG: decrypted payload, but not trimed.
2012-12-13 13:19:37: DEBUG:
0b000018 c8ce3caf a945270c df09bafd b70783f0 72b7fbf3 00000010 00000001
0304000b e9a942da
2012-12-13 13:19:37: DEBUG: padding len=218
2012-12-13 13:19:37: DEBUG: skip to trim padding.
2012-12-13 13:19:37: DEBUG: decrypted.
2012-12-13 13:19:37: DEBUG:
83ace3cd 9453a654 c7ff589d 79dac762 08100501 971f521c 00000044 0b000018
c8ce3caf a945270c df09bafd b70783f0 72b7fbf3 00000010 00000001 0304000b
e9a942da
2012-12-13 13:19:37: DEBUG: IV freed
2012-12-13 13:19:37: DEBUG: HASH with:
2012-12-13 13:19:37: DEBUG:
971f521c 00000010 00000001 0304000b e9a942da
2012-12-13 13:19:37: DEBUG: hmac(hmac_sha1)
2012-12-13 13:19:37: DEBUG: HASH computed:
2012-12-13 13:19:37: DEBUG:
c8ce3caf a945270c df09bafd b70783f0 72b7fbf3
2012-12-13 13:19:37: DEBUG: hash validated.
2012-12-13 13:19:37: DEBUG: begin.
2012-12-13 13:19:37: DEBUG: seen nptype=8(hash)
2012-12-13 13:19:37: DEBUG: seen nptype=11(notify)
2012-12-13 13:19:37: DEBUG: succeed.
2012-12-13 13:19:37: [192.168.72.2] ERROR: notification INVALID-SPI  received in informational exchange.

Konfigurace ASY:

access-list 101 remark IPSec range
access-list 101 extended permit ip 191.37.111.160 255.255.255.240 object-group NET_Central
access-list 101 extended permit ip 191.37.111.176 255.255.255.248 object-group NET_Central
access-list 101 extended permit ip 191.37.111.184 255.255.255.248 object-group NET_Central
crypto ipsec transform-set IPSEC esp-aes-256 esp-sha-hmac
crypto ipsec security-association lifetime seconds 3600
crypto ipsec security-association lifetime kilobytes 2147483647
crypto map VPN 1 match address 101
crypto map VPN 1 set peer 159.181.37.30 159.181.37.38 159.181.37.39
crypto map VPN 1 set transform-set IPSEC
crypto map VPN 1 set security-association lifetime seconds 3600
crypto map VPN interface outside
crypto isakmp identity address
crypto isakmp enable outside
crypto isakmp policy 1
 authentication pre-share
 encryption 3des
 hash sha
 group 1
 lifetime 7200
tunnel-group 159.181.37.30 type ipsec-l2l
tunnel-group 159.181.37.30 ipsec-attributes
 pre-shared-key *
 isakmp keepalive disable
tunnel-group 159.181.37.39 type ipsec-l2l
tunnel-group 159.181.37.39 ipsec-attributes
 pre-shared-key *
tunnel-group 159.181.37.38 type ipsec-l2l
tunnel-group 159.181.37.38 ipsec-attributes
 pre-shared-key *

Konfigurace racoonu:

padding {
    maximum_length 20;
    randomize off;
    strict_check off;
    exclusive_tail off;
}
timer {
    counter 5;
    interval 20 sec;
    persend 1;
    phase1 30 sec;
    phase2 15 sec;
}
listen {
    isakmp 159.181.37.30 [500];
}
remote "ASA-remote" {
    remote_address 192.168.72.2;
    exchange_mode main;
    proposal_check obey;
    lifetime time 7200 sec;
    my_identifier address;
    proposal {
        authentication_method pre_shared_key;
        encryption_algorithm 3des;
        hash_algorithm sha1;
        dh_group 1;
    }
}
sainfo address xxx.xxx.xxx.xxx/32 4 address xxx.xxx.xxx.xxx/32 4 {
    lifetime time 86400 sec;
    encryption_algorithm aes;
    authentication_algorithm hmac_sha1;
    compression_algorithm deflate;
}

V čem by mohl být problém? Díky

---

---

Odpovědi

[NN]

Nesouhlasi ti lifetime SA:

ASA:
crypto map VPN 1 set security-association lifetime seconds 3600
racoon:
lifetime time 7200 sec;

take muzes na ASA jeste pouzit, prikaz:

crypto isakmp invalid-spi-recovery

ktery bude informovat protistranu o problemu.

[OgeeN]

Bohužel se mi to stalo i když jsem měl lifetime nastavený stejně.

Zmíněný příkaz mi moje asa vůbec nenabídne: Cisco Adaptive Security Appliance Software Version 8.0(5)19

Díky za reakci.

[Stefan]

skus toto sysctl net.key.preferred_oldsa=0 a rebootni racoon.

[OgeeN]

Díky za tip. Zatím jsem provedl downgrade na 0.7.3. Zatím vše běží jak má.

[Krystl]

Ahoj, jak casto se to stava? Mam podobny problem na routeru vs. openswan a jednou za cas se nejak nepovede obnova ipsec kanalu a az do dalsi obnovy VPN nefunguje, tj. necelou hodinu. Zatim ani cisco TAC na nic neprisel.

Krystl

[OgeeN]

To je různé. Měli jsme takhle připojeno několik poboček a na některých se to stávalo i několikrát do hodiny. Teď je takto připojena už jen jedna pobočka a timeouty jsou tam nastaveny na 30 dní. Výpadek jsme tam zatím zaznamenali jen jeden.

[pa3k]

Ako vyzera config pre setkey?

[OgeeN]

Takto

xxx.xxx.0.0/16 xxx.xxx.xxx.160/28 any -P out ipsec esp/tunnel/xxx.xxx.xxx.10-xxx.xxx.xxx.210/unique;
xxx.xxx.xxx.160/28 xxx.xxx.0.0/16 any -P in ipsec esp/tunnel/xxx.xxx.xxx.210-xxx.xxx.xxx.10/unique;
xxx.xxx.0.0/16 xxx.xxx.xxx.176/29 any -P out ipsec esp/tunnel/xxx.xxx.xxx.10-xxx.xxx.xxx.210/unique;
xxx.xxx.xxx.176/29 xxx.xxx.0.0/16 any -P in ipsec esp/tunnel/xxx.xxx.xxx.210-xxx.xxx.xxx.10/unique;
atd.

[pa3k]

skus dat require namiesto unique

[OgeeN]

To jsem už zkoušel. S touto volbou mi tunel, tuším, vůbec nefungoval. Nebo fungoval jen pro první domluvené SA. Nevím už přesně.

[NN]

Ja mam stejne pocit, ze ASA dostava invalid SPI proto, ze si racoon mysli, ze tunel stale bezi a tipuju to na ty lifetime casovace.

[OgeeN]

Tak to máme stejný pocit. Bohužel nevím co s tím.

[Petr]

Kdyz zadna data netecou, racoon drzi tunel dal, ale cisco ten tunel zrusi bez ohledu na lifetime. Vysledkem je invalid spi v logu na strane cisca a nefunkcni tunel. Workaround je hnat tim tunelem nejaka data aby cisco ten tunel neshodilo. Kdysi jsem to na linuxovem firewallu resil ze pingem :). IP adresa na strane cisca musi byt jina nez vnitrni konec tunelu. Nejak na takhle " ping -i 60 -s 1 -I eth0 a.b.c.d ".

[NN]

To je nesmysl.

[Petr]

a) Proc myslis ze je to nesmysl ? Placnout ze je to nesmysl umim taky.

[vencour]

V principu js SPI klíč, kterým se zrovna šifruje. Je odvozený na základě nastavení při sestavení tunelu. Když je na lince chybovost, když uplyne (polovina) lifetime, tak se SPI přegeneruje a použije nové. Takže do chybové hlášky o invalid SPI mluví stavy obou ipsec konců a stav přenosového média.

[Petr]

Do chybove hlasky ale taky mluvi zpusob implementace na konkretni platforme. A ten je v unix systemech a ciscu jiny. BTW, po vygenerovani noveho SPI se tento novy pouzije az po vyprseni lifetime stareho SPI. Novy SPI je prozatim pouze "pripraven". Kdyz cisco tunel zrusi , protoze tunelem zadna data netecou , ocekava vygenerovani noveho spi. Openswan/racoon ale drzi i zateto situace stavajici spi. Vysledek je invalid spi. BTW, cistota prechodu mezi starym a novym SPI se projevovala na nahodnem resetu spojeni skz tunel (overeno v labu). To jen pro upresneni. Tu chybu "invalid spi" (a nejen ji) s uspechem dostanete mezi ruznymi implementaceni. Ten popisovany workaround jsem s uspechem pouzival nekolik let.

[vencour]

Ok, z praxe si pamatuju hlavně Cisco. A třebo i to, že nastavit lifetime na 5 minut je docela vražedné.

[NN]

Proc ? Protoze tunel je trvaly spoj a rozpadne se jen v pripade problemu a je uplne jedno jestli jim neco tece nebo ne. Imho vzdycky jim alespon neco tece..

[Petr]

Tunel je trvaly spoj, bohuzel virtualni se vsemi dusledky. Pri stejnem zpusobu implementace je opravdu jedno jestli jim neco tece nebo netece. Pri ruznych implementacich to opravdu jedno neni. "Imho vzdycky jim alespon neco tece" - v realnem svete to tak vzdy neni. Prikladu vas napadne jiste dost.

[OgeeN]

Díky za tip. Na straně racoonu je cca 20 sítí na straně ASY jsou sítě 3. Pokud tomu dobře rozumím, tak pro jeden tunel pak bude sestaveno 60 SA a 60 SPI. Musel bych tedy pravidelně posílat 60 pingů. Pochopil sem to správně?

[Petr]

Spravne tech SPI bude 120 :) , protoze jsou dva na kazde spojeni (inbound,outbound). Jinak jste to pochopil spravne. Neni mozne ty site nejak sloucit ? Pripadne to jinak zjednodusit ?

[pavlix]

Tady vidím typický rovnák na vohejbák. IPsec byl podle mě od začátku navržený tak, aby mu bylo jedno kolik sítí je propojených, a kdy a jak často probíhá komunikace.

Typicky se keepalive ping používá pro udržení špatné síťové konfigurace. Pomáhá především proti různým výpadkům z IP maškarády a takovým věcem.

Nicméně pro IPsec tunely mezi routery na veřejných adresách něco takového nedává smysl. Pokud vadí příliš časné navazování asociací a s ním spojené čekání a případné ztráty paketů (které by FreeBSD mělo umět narozdíl od Linuxu pozdržet), tak snad jde nějak prodloužit časová platnost. Pokud je to stálý tunel, tak by snad mělo jít nastavit, aby se neshazoval vůbec.

Ten ping slouží podle mě jenom k oživení něčeho, co je rozbité špatnou konfigurací (v horším případě implementací).

[NN]

Tak mozna to bude bug..

[OgeeN]

V tom případě by mohl pomoct downgrade. Vyzkouším to a dám vědět.

[OgeeN]

Devátého ledna jsem nasadil verzi 0.7.3 a od té doby ani jedna chyba.

[NN]

Super, diky za odezvu.

[OgeeN]

Tak zpět k rýsovacímu prknu. Po nějakém čase se chyba projevila i s ipsec-tools 0.7.3.

[NN]

Hm, tak to bude chtit podrobny debug celeho problemu..