Страница 1 из 1
ipsec проблема
Добавлено: 2007-07-30 9:42:53
Dolphin_BSD
Добрый день !
У меня 14 серверов ФРИ весят на тунеле ....
В пятницу вдруг один из туннелей просто погас.
ЛОГ:
Код: Выделить всё
bopota# tail -f /var/log/racoon.log
2007-07-30 08:32:32: INFO: delete phase 2 handler.
2007-07-30 08:33:28: INFO: request for establishing IPsec-SA was queued due to no phase1 found.
2007-07-30 08:33:59: ERROR: phase2 negotiation failed due to time up waiting for phase1. ESP 83.218.238.150[0]->83.170.246.54[0]
2007-07-30 08:33:59: INFO: delete phase 2 handler.
2007-07-30 08:34:01: ERROR: phase1 negotiation failed due to time up. aec2d1e3c205d4ae:0000000000000000
2007-07-30 08:34:15: INFO: IPsec-SA request for 83.218.238.150 queued due to no phase1 found.
2007-07-30 08:34:15: INFO: initiate new phase 1 negotiation: 83.170.246.54[500]<=>83.218.238.150[500]
2007-07-30 08:34:15: INFO: begin Identity Protection mode.
2007-07-30 08:34:46: ERROR: phase2 negotiation failed due to time up waiting for phase1. ESP 83.218.238.150[0]->83.170.246.54[0]
2007-07-30 08:34:46: INFO: delete phase 2 handler.
На главном тоже самое пишет ..
Код: Выделить всё
bopota# setkey -D
No SAD entries.
bopota# setkey -f /etc/ipsec.conf
bopota# setkey -D
No SAD entries.
bopota#
Как видно ничего не дает ...
Куда копать ? В чем может быть лажа !
Re: ipsec проблема
Добавлено: 2007-07-30 9:48:21
Dolphin_BSD
Добавлю лог главного сервера
Код: Выделить всё
bopota# tail -f /var/log/racoon.log
2007-07-30 09:46:35: INFO: begin Identity Protection mode.
2007-07-30 09:46:35: INFO: received Vendor ID: DPD
2007-07-30 09:46:54: ERROR: phase2 negotiation failed due to time up waiting for phase1. ESP 83.170.246.54[0]->83.218.238.150[0]
2007-07-30 09:46:54: INFO: delete phase 2 handler.
2007-07-30 09:46:54: ERROR: phase2 negotiation failed due to time up waiting for phase1. ESP 83.170.192.238[0]->83.218.238.150[0]
2007-07-30 09:46:54: INFO: delete phase 2 handler.
2007-07-30 09:46:55: NOTIFY: the packet is retransmitted by 83.170.246.54[500].
2007-07-30 09:47:05: INFO: request for establishing IPsec-SA was queued due to no phase1 found.
2007-07-30 09:47:14: NOTIFY: the packet is retransmitted by 83.170.246.54[500].
2007-07-30 09:47:27: INFO: request for establishing IPsec-SA was queued due to no phase1 found.
2007-07-30 09:47:34: NOTIFY: the packet is retransmitted by 83.170.246.54[500].
2007-07-30 09:47:36: ERROR: phase2 negotiation failed due to time up waiting for phase1. ESP 83.170.246.54[0]->83.218.238.150[0]
2007-07-30 09:47:36: INFO: delete phase 2 handler.
2007-07-30 09:47:38: INFO: request for establishing IPsec-SA was queued due to no phase1 found.
Re: ipsec проблема
Добавлено: 2007-07-30 10:18:14
Alex Keda
файрволл?
===========
юзай кнопочку code
Re: ipsec проблема
Добавлено: 2007-07-30 11:13:31
Dolphin_BSD
Код: Выделить всё
#######################################################################################################################
$cmd 400 allow ip from $spv to $sf, $dnepr, $podol, $frank, $kix, $lviv, $ulf, $spvlviv, $odessa, $palladina
$cmd 401 allow ip from $sf, $dnepr, $podol, $frank, $kix, $lviv, $ulf, $spvlviv, $odessa, $palladina to $spv
$cmd 500 allow ip from any to any via gif0, gif1, gif2, gif3, gif4, gif5, gif6, gif7, gif8, gif9, gif10
#######################################################################################################################
################################################################################################################################
$cmd 510 allow esp from $sf, $dnepr, $podol, $frank, $kix, $lviv, $ulf, $spvlviv, $odessa to me in via $eif
$cmd 520 allow esp from me to $sf, $dnepr, $podol, $frank, $kix, $lviv, $ulf, $spvlviv, $odessa out via $eif
################################################################################################################################
$cmd 6030 allow udp from $sf, $dnepr, $podol, $frank, $kix, $lviv, $ulf, $spvlviv, $odessa, $palladina to me dst-port 500 in via $eif keep-state
По аналогии сделано и на клиенте !
Re: ipsec проблема
Добавлено: 2007-07-30 11:39:43
Alex Keda
мне это ни о чём не сказало...
на обоих и смотри - заработает или нет.
Если да - то файрволл.
==============
юзай конопочку code
Re: ipsec проблема
Добавлено: 2007-07-30 12:26:01
Dolphin_BSD
Не пашет ...
Фаер я не трогал , на остальных 13 серверах все пашет на ура !
У меня впечатление что между сервером клиента и главным нет связи на уровне потере пакетов провайдерами ...
Позвонил поругался ....
Уверен на 90 % что они ничего не сделают ..
Могу ли я как то проверить и устранить ...
Может есть у кого то еще варианты проблемы !
Очень нужна помощь ! !
Re: ipsec проблема
Добавлено: 2007-07-30 12:30:09
Alex Keda
tcpdump в зубы - и смотреть происходящее
Re: ipsec проблема
Добавлено: 2007-07-30 12:46:24
Dolphin_BSD
