Anzeige:
Ergebnis 1 bis 12 von 12

Thema: Ipsec und funzt nisch

  1. #1
    Registrierter Benutzer
    Registriert seit
    Jun 2003
    Beiträge
    131

    Question Ipsec und ISAKMP SA; Was soll das?

    s-csm-04:/usr/share/ssl/misc # tail -f /var/log/warn
    Jul 21 12:00:38 s-csm-04 pluto[6281]: Changing to directory '/etc/ipsec.d/cacerts'
    Jul 21 12:00:38 s-csm-04 pluto[6281]: loaded cacert file 'RootCA.der' (1017 bytes)
    Jul 21 12:00:38 s-csm-04 pluto[6281]: Changing to directory '/etc/ipsec.d/crls'
    Jul 21 12:00:38 s-csm-04 pluto[6281]: loaded crl file 'crl.pem' (625 bytes)
    Jul 21 12:00:38 s-csm-04 pluto[6281]: loaded my default X.509 cert file '/etc/x509cert.der' (1064 bytes)
    Jul 21 12:00:39 s-csm-04 pluto[6281]: added connection description "client-int"
    Jul 21 12:00:39 s-csm-04 pluto[6281]: added connection description "client-ext"
    Jul 21 12:00:39 s-csm-04 pluto[6281]: listening for IKE messages
    Jul 21 12:00:39 s-csm-04 pluto[6281]: adding interface ipsec0/eth1 192.168.0.97
    Jul 21 12:00:39 s-csm-04 pluto[6281]: loading secrets from "/etc/ipsec.secrets"
    Jul 21 12:01:53 s-csm-04 pluto[6281]: packet from 192.168.0.14:500: ignoring Vendor ID payload
    Jul 21 12:01:53 s-csm-04 pluto[6281]: "client-int"[1] 192.168.0.14 #1: responding to Main Mode from unknown peer 192.168.0.14
    Jul 21 12:01:53 s-csm-04 pluto[6281]: "client-int"[1] 192.168.0.14 #1: encrypted Informational Exchange message is invalid because it is for incomplete ISAKMP SA
    Jul 21 12:03:03 s-csm-04 pluto[6281]: "client-int"[1] 192.168.0.14 #1: max number of retransmissions (2) reached STATE_MAIN_R2
    Jul 21 12:03:03 s-csm-04 pluto[6281]: "client-int"[1] 192.168.0.14: deleting connection "client-int" instance with peer 192.168.0.14
    Jul 21 12:03:23 s-csm-04 pluto[6281]: packet from 192.168.0.14:500: Informational Exchange is for an unknown (expired?) SA

    Was könnt ihr mir dazu sagen? Woran kann mein fehler liegen?
    Geändert von Coffi (21.07.03 um 12:41 Uhr)
    mfg
    meiner einer

  2. #2
    Registrierter Benutzer
    Registriert seit
    Jun 2003
    Beiträge
    131
    Hat irgendjehmand ein funzendes VPN?
    mfg
    meiner einer

  3. #3
    Registrierter Benutzer
    Registriert seit
    Jan 2001
    Beiträge
    15
    Wichtig: Benutze immer die Managementkonsole um die Zertifikate zu importieren.
    Ein einfaches Doppelklicken auf die Zertifikate funktioniert nicht richtig!!!!!

    Nachdem Du die Zertifikate importiert hast, erhältst Du das DSN (Name /C=_ /ST=_ /O=_ .) in der Managementkonsole
    für die ROOT CA. Diese Identifikation benötigst Du für Deine W2k ipsec.conf, sie ist anders als bei Linux bei der Erstellung angezeigt wird.
    |CµbE|
    iCQ #1586824

  4. #4
    Registrierter Benutzer
    Registriert seit
    Jun 2003
    Beiträge
    131
    Woran liegt den jetzt genau der fehler?
    Sind es jetzt die Zertifikate, die das mit inkompleate ISAKMP SA machen?
    Was genau besagt den meine fehlermeldung?
    mfg
    meiner einer

  5. #5
    Registrierter Benutzer
    Registriert seit
    Jan 2001
    Beiträge
    15
    ja, soweit ich es weiss sind das die Zertifikate.
    Überprüfe mal was bei dir in der .conf unter rightca=
    und ob das gleiche bei dem ROOT CA in der Managementkonsole steht.
    |CµbE|
    iCQ #1586824

  6. #6
    Registrierter Benutzer
    Registriert seit
    Jun 2003
    Beiträge
    131
    Kannst du denn jetzt direkt aus dem LAN das VPN-Gateway anpingen?
    mfg
    meiner einer

  7. #7
    Registrierter Benutzer
    Registriert seit
    Jul 2003
    Ort
    Südlich v. Frankfurt
    Beiträge
    102
    Hi

    Für mich sieht das nicht wie ein Certificate Problem aus, in solchen Fällen lauten die Fehlermeldungen gewöhnlich anders. Sieht mehr wie ein Problem in der ersten Verhandlungsphase für ISAKMP aus. Deutet evtl. auf eine Diskrepanz in den von Client und Server benutzten Protokoll-Parametern hin. Diagnose schwierig...

    Gruß
    D. O.

  8. #8
    Registrierter Benutzer
    Registriert seit
    Jun 2003
    Beiträge
    131
    aber was ist denn jetzt dieses ISAKMP genau?
    Mit google finde ich nichts passendes, als das ich damit arbeiten könnte um meinen fehler zu identifizieren.
    mfg
    meiner einer

  9. #9
    Registrierter Benutzer
    Registriert seit
    Jun 2003
    Beiträge
    131
    und was hate es genau mit dieser meldung auf sich? Wenn man die in google eingibt findet man viele fragen doch keine antworten:

    ignoring Vendor ID payload

    Irgend eine Idee?
    mfg
    meiner einer

  10. #10
    Registrierter Benutzer
    Registriert seit
    Jul 2003
    Ort
    Südlich v. Frankfurt
    Beiträge
    102
    Oje, ich kann Dir jetzt nicht die ganzen Abläufe der Protokollverhandlungen erläutern, aber guck doch mal hier:

    http://www.freeswan.org/freeswan_tre...l#ipsec.detail

    Bei Deinem Problem helfen wird das erstmal nicht, nur den Horizont erweitern ;-)
    Ansonsten könntest Du einen alternativen VPN-Client wie SSH-Sentinel ausprobieren.

  11. #11
    Registrierter Benutzer
    Registriert seit
    Jun 2003
    Beiträge
    131
    Horizont erweitern,
    Das ist ja auch nicht schlecht!
    Aber vieleicht kann mir ja in der zeit einer doch etwas zum Problem sagen?
    mfg
    meiner einer

  12. #12
    Registrierter Benutzer
    Registriert seit
    Jun 2003
    Beiträge
    131
    Ist doch mit bei meinem Problem:

    Phase one IKE (main mode exchange)
    sets up a keying channel (ISAKMP SA) between the two gateways


    Ich habe gar keine zwei gateways, wenn der Client mit dem Marcus Müller- tool nicht auch als ein solcher bezeichnet wird.

    Mein aufbau soll ja so aussehen:

    XP-Client------Internet------VPN-Gateway=>LAN

    oder werden die MMClients auch als gateway bezeichnet?
    mfg
    meiner einer

Lesezeichen

Berechtigungen

  • Neue Themen erstellen: Nein
  • Themen beantworten: Nein
  • Anhänge hochladen: Nein
  • Beiträge bearbeiten: Nein
  •