FreeS/Wan --> ...because no connection is known for...

[fkey]

Ipsec-Verbindung von Dyn nach Dyn!

Hallo Leute

hab die Seite http://dynipsec.tripod.com/dyndeu.txt aufmerksam durchgelesen (einzige Seite in Deutsch) und habe diesbezüglich ein Problem mit Freeswan 1.91
(Server Suse7.3).
Wenn ich mit PGPNet7.03 eine Verbindung aufmachen möchte bekomme ich nur diese einzige Fehlermeldung:

cannot respond to IPsec SA request because no connection is known for 80.131.46.18[0x000000]...212.144.132.251[0x000000]

Hab mich da auch mal schlau gemacht und bin zu der Erkenntnis gekommen, dass es am Routing liegen kann (könnte). Leider habe ich kein Plan was der von mir wirklich wissen will statische routen usw. Probier jetzt schon eine ganze weile mit Routing-Tabellen und komm einfach nicht zu meiner Connection ich weiß jetzt einfach nicht mehr weiter ich schicke einfach mal meine ipsec.conf vielleicht könnt ihr mir da weiterhelfen.

config setup
# THIS SETTING MUST BE CORRECT or almost nothing will work;
# %defaultroute is okay for most simple cases.
interfaces=%defaultroute
#interfaces="ipsec0=eth1"
# Debug-logging controls: "none" for (almost) none, "all" for lots.
klipsdebug=none
plutodebug=none
# Use auto= parameters in conn descriptions to control startup actions.
plutoload=%search
plutostart=%search
# Close down old connection when new one using same ID shows up.
uniqueids=yes



# defaults for subsequent connection descriptions
conn %default
# How persistent to be in (re)keying negotiations (0 means very).
keyingtries=0
keylife=30m
# RSA authentication with keys from DNS.
authby=rsasig
#leftrsasigkey=%dns
#rightrsasigkey=%dns
left=xyz.dyndns.org
leftid=@#xxxxxxxxx
leftrsasigkey=0x000....
leftsubnet=192.168.50.0/16
leftnexthop=217.5.98.98 (Telekom)
#type=tunnel
#auto=add

conn roadwarrior
# Right security gateway, subnet behind it, next hop toward left.
right=%any
#right=0.0.0.0
rightid=@#xxxx
rightrsasigkey=0x0xxxx
#leftsubnet=192.168.50.0/8
rightsubnet=
rightnexthop=
# To authorize this connection, but not actually start it, at startup,
# uncomment this.
#type=tunnel
auto=add
pfs=yes
################################################## ################################################## ##########

Achso nochwas habe noch mal ein detailiertes Logging:

Pluto[21548]: packet from 212.144.134.124:500: ignoring Vendor ID payload

Pluto[21548]: "roadwarrior" #1: responding to Main Mode from unknown peer 212.144.134.124

Pluto[21548]: "roadwarrior" #1: ignoring informational payload, type IPSEC_INITIAL_CONTACT

Pluto[21548]: "roadwarrior" #1: Peer ID is ID_KEY_ID: '0x000000'

Pluto[21548]: "roadwarrior" #1: ignoring CERT_PGP certificate payload

Pluto[21548]: "roadwarrior" #1: STATE_MAIN_R3: sent MR3, ISAKMP SA established

Pluto[21548]: "roadwarrior" #2: cannot respond to IPsec SA request because no connection is known for 80.131.31.142[0x000..]...212.144.134.124[0x0000...]

################################################## ################################################## ###########

Vielleicht hilft euch das noch weiter Ausgabe ipsec auto --status:

000 interface ipsec0/ppp0 80.131.31.142
000
000 "roadwarrior" instance: 192.168.50.0/24===80.131.31.142[0x000..]...
000 "roadwarrior" instance: ...192.168.50.242---212.144.134.124[0x0000...]
000 "roadwarrior" instance: ike_life: 3600s; ipsec_life: 1800s; rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0

000 "roadwarrior" instance: policy: RSASIG+ENCRYPT+TUNNEL+PFS; interface: ppp0; unrouted

000 "roadwarrior" instance: newest ISAKMP SA: #1; newest IPsec SA: #0; eroute owner: #0

000 "roadwarrior": 192.168.50.0/24===80.131.31.142[0x000...]...

000 "roadwarrior": ...192.168.50.242---%any[0x00...]

000 "roadwarrior": ike_life: 3600s; ipsec_life: 1800s; rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0

000 "roadwarrior": policy: RSASIG+ENCRYPT+TUNNEL+PFS; interface: ppp0; unrouted

000 "roadwarrior": newest ISAKMP SA: #0; newest IPsec SA: #0; eroute owner: #0
000

000 #1: "roadwarrior":212.144.134.124 STATE_MAIN_R3 (sent MR3, ISAKMP SA established); EVENT_SA_REPLACE in 2979s; newest ISAKMP


Vielleicht könnt ihr mir da weiterhelfen. Bin am verzweifeln mach seit 3 Wochen rum und komm auf keinen grünen Zweig.

Also im vorraus Vielen Dank

Gruß fkey

[Sonny]

versuche es doch erst mal ohne rsa sondern mit psk

[fkey]

Servus!

also wenn du mir erklären würdest was der Unterschied ist dann probier ich es mal.
Es ist doch die einfachste Konstellation einer Freeswan Konfiguration und ich bekomme es nicht. Also an den Keys liegt es nicht weil er sie austauscht oder liege ich da falsch in der Annahme

Gruß

[fkey]

Schaubild:

<192.168.50.0= interne Netzwerk>-----<Router=Dyndns Eintrag>----Internet-----
<Roadwarrior=dynip>

Ich habe hier ein Auszug von Freeswan HowTo: gebracht hat es mir auch nix:

Pluto: ... no connection is known
This error message occurs when a remote system attempts to negotiate a connection and Pluto does not have a connection description that matches what the remote system has requested. The most common cause is a configuration error on one end or the other.
Parameters involved in this match are left, right , leftsubnet and rightsubnet.

The match must be exact. For example, if your left subnet is a.b.c.0/24 then neither a single machine in that net nor a smaller subnet such as a.b.c.64/26 will be considered a match.

The message can also occur when an appropriate description exists but Pluto has not loaded it. Use an auto=add statement in the connection description, or an ipsec auto --add <conn_name> command, to correct this.

An explanation from the Pluto developer:

| Jul 12 15:00:22 sohar58 Pluto[574]: "corp_road" #2: cannot respond to IPsec
| SA request because no connection is known for
| 216.112.83.112/32===216.112.83.112...216.67.25.118

This is the first message from the Pluto log showing a problem. It
means that PGPnet is trying to negotiate a set of SAs with this
topology:

216.112.83.112/32===216.112.83.112...216.67.25.118
^^^^^^^^^^^^^^^^^ ^^^^^^^^^^^^^^ ^^^^^^^^^^^^^
client on our side our host PGPnet host, no client

None of the conns you showed look like this.

Use
ipsec auto --status
to see a snapshot of what connections are in pluto, what
negotiations are going on, and what SAs are established.

The leftsubnet= (client) in your conn is 216.112.83.64/26. It must
exactly match what pluto is looking for, and it does not.

[Sonny]

mal doch mal dein Netz auf.
ip == ip == inet etc.

[fkey]

Siehst du es nicht ein Posting weiter oben:

______Router____________
Roadwarrior(dynip) ---->|xyz.dyndns.org = ppp0/eth1 |--->eth0= 192.168.50.105
-------------------------------------
und internes Netzwerk Subnet 50