IP-Sicherheit wird verhandelt

[Dodge]

Servus! Ich muss einen VPN-Tunnel zwischen einer Slackware Kiste mit fester IP offizieller IP und zu Anfang mal einem Roadwarrior erstellen. Ich hab FreeSwan 1.98b + x509 Patch am Laufen und die Certifikate erstellt. Der Roadwarrior ist Win2000, dort hab ich auch sämtliche Patches eingespielt. Wenn ich den IPSEC Link auf der M$ Maschine starte dann kommt das übliche Fenster welches nach ein paar Sekunden ohne Fehlermeldung verschwindet. Wenn ich jetzt die Linux Kiste anpinge kommt
"IP-Sicherheit wird verhandelt" - aber leider für immer. Mit dem Tool ipsecmon komme ich auch nicht weiter, es zeigt nix an. Ich schliesse daraus, das gar kein Tunnel aufgebaut wird. Hat jemand einen Tipp???

Mir ist grad nochwas eingefallen. Zum Testen ist der Win2000 Client in einem Windows Netz hinter einer Firewall. Wenn die Firewall ein masquerading macht (was ich nicht weiss) dann stimmt die Source Adresse nicht mehr oder? Kann das sein? Bitte hilfe

[bom]

ähh, soweit ich weiss, unterstützt FreeSwan keine Zertificate für die Auth. oder hat sich das in der aktuellen Version geändert?

[Dodge]

Das macht es schon -> mit x509 Patch. Da gibts ganz wundertolle Anleitungen die ich auch !so! befolgt hab. Aber trotzdem will es nicht.
Hat denn das noch niemand hier gemacht?

[Harry]

Hallo Dodge,

also FreeSWAN und Authentifizierung über X.509v3 läuft eigentlich ganz ordentlich - ich hab's nur noch nie mit Win2000 versucht.

Zu Deinem Problem:

1. Wenn Du zwischen den beiden VPN-Endpunkten tatsächlich ein Masquerading hast, dann hast Du ein Problem (wie Du ja schon erkannt hast). Die Identität eines der beiden Teilnehmer ist dann evtl. fraglich. Aber dazu gibt's wohl auch Lösungsmöglichkeiten, zumindestens ist das in der FreeSWAN-Doku beschrieben.

2. (nachdem Du 1. gelöst hast ;)) wenn anschließend immer noch die gleichen Symptome auftreten, dann schau halt einfach mal auf der Linux-Box in der /var/log/messages nach ipsec-Meldungen. FreeSWAN spricht gerade beim Verbindungsaufbau und bei der Authentifizierung ganz gerne mit dem Administrator über diese Logdatei :D

Harry

[Dodge]

Ich habs mit dem Tool von Markus Müller aufgegeben. Also eines muss ich jetzt schon mal loswerden: Das Konfigurieren von FreeSwan mit x509 ist schon ein bischen arg bescheiden. Aber naja. Ich probiers jetzt mit PGPnet. Mal schauen ob ich damit mehr Erfolg habe.