Hallo,
ich habe ein Problem mit dem Aufbau der VPN Verbindung von einem LanCom 1621 zu einem OpenSWAN Gateway. Ich verwende Zertifikate für die Authentifizierung. Die Definitionen der Verbindungen auf dem OpenSWAN Gateway sollten richtig sein, da es schon 3 BinTec Router gibt, die mit dem Gateway funktioneren.
Das Gateway zeigt folgendes an :
Dec 21 14:37:54 tenwall pluto[5935]: "hagen-eicker"[4] 212.95.104.122 #54: sent MR3, ISAKMP SA established
Dec 21 14:37:54 tenwall pluto[5935]: packet from 212.95.104.122:500: ignoring informational payload, type INVALID_HASH_INFORMATION
Die Zertifikate sind auf dem Lancom importiert worden und werden mittels vpn show ca und vpn show cert auch angezeigt. Die richtige Identität wird auch gesendet. Verschlüsselung läuft über 3DES/MD5.
Der Lancom Router zeigt folgenden Fehler an: Allgemeiner Fehler(Initiator, IKE) [0x21FF]
Für Tipps, wie ich das Problem beheben kann, bin ich dankbar.
Lancom 1621 VPN - OpenSWAN
Moderator: Lancom-Systems Moderatoren
Hallo Dan,
Und hast zusätzlich bedacht, dass der Lancom den DN des eingehenden Zertifikates prüft? Dieser DN muss natürlich korrekt in 'Entfernte Identität' eingetragen sein.
Gruß
Mario
Du hast auch wirklich beim entfernten Identitätstyp 'ASN.1-Distinguished Name' ausgewählt?Die Zertifikate sind auf dem Lancom importiert worden und werden mittels vpn show ca und vpn show cert auch angezeigt. Die richtige Identität wird auch gesendet.
Und hast zusätzlich bedacht, dass der Lancom den DN des eingehenden Zertifikates prüft? Dieser DN muss natürlich korrekt in 'Entfernte Identität' eingetragen sein.
Gruß
Mario
Ja.eddia hat geschrieben: Du hast auch wirklich beim entfernten Identitätstyp 'ASN.1-Distinguished Name' ausgewählt?
Die ASN.1 DN ist sowohl für die Lokale als auch für die Remote Identität korrekt gesetzt.eddia hat geschrieben: Und hast zusätzlich bedacht, dass der Lancom den DN des eingehenden Zertifikates prüft? Dieser DN muss natürlich korrekt in 'Entfernte Identität' eingetragen sein.
Hallo Dan,
Gruß
Mario
Besteht der remote DN zufällig aus mehreren RDNs? Dann ist auch noch die Reihenfolge der RDNs wichtig. In diesem Fall lädst Du Dir einfach mal testweise das Zertifikat vom OpenSWAN als Gerätezertifikat in den Lancom. Der dann per vpn show cert angezeigte DN muss dann genau umgedreht in die entfernte Identität des Lancoms eingegeben werden.Die ASN.1 DN ist sowohl für die Lokale als auch für die Remote Identität korrekt gesetzt.
Gruß
Mario
Ja, sie besteht aus mehrerer RDNs. Die Zertifikate werden über vpn show cert auch korrekt angezeigt. Die Reihenfolge im Lancom, also umgedreht, passt auch.eddia hat geschrieben:Hallo Dan,
Besteht der remote DN zufällig aus mehreren RDNs? Dann ist auch noch die Reihenfolge der RDNs wichtig. In diesem Fall lädst Du Dir einfach mal testweise das Zertifikat vom OpenSWAN als Gerätezertifikat in den Lancom. Der dann per vpn show cert angezeigte DN muss dann genau umgedreht in die entfernte Identität des Lancoms eingegeben werden.
Hallo Andreas,
1. Die Proposalliste des Lancoms darf nur Einträge mit einem Verschlüsselungsalgorithmus (der natürlich im OpenSwan ebenfalls konfiguriert ist) enthalten, also z.B. nur AES-MD5 und AES-SHA. Deshalb muss man sich eine neue Proposalliste anlegen.
2. Die Gültigkeitsdauer dieser IKE-Proposals darf maximal 86400s betragen.
So hat das mit mehreren OpenSwans als Gegenstelle geklappt.
Gruß
Mario
ich hab von OpenSwan zwar keine Ahnung - aber folgendes musste auf dem Lancom immer abweichend konfiguriert werden.Hast Du schon eine Verbindung mit PSKs geschafft? Bei mir hapert es da noch...
1. Die Proposalliste des Lancoms darf nur Einträge mit einem Verschlüsselungsalgorithmus (der natürlich im OpenSwan ebenfalls konfiguriert ist) enthalten, also z.B. nur AES-MD5 und AES-SHA. Deshalb muss man sich eine neue Proposalliste anlegen.
2. Die Gültigkeitsdauer dieser IKE-Proposals darf maximal 86400s betragen.
So hat das mit mehreren OpenSwans als Gegenstelle geklappt.
Gruß
Mario
Hallo Andreas,
Gruß
Mario
wie schon gesagt - die OpenSwan Seite ist nicht mein Bier. Ich habe nur die Lancom Konfiguration in Absprache mit den OpenSwan Admins gemacht. Und genau diese Sachen mussten immer geändert werden.Könntest Du mir evtl. die Parameter einer funktionierenden Verbindung schicken (ipsec.conf auf Openswan Seite und "show vpn long" auf Lancom Seite)?
Gruß
Mario