Newsgroup: it.comp.os.linux.sys
Titolo: IKE Longhorn - Linux one way.

Ho un trust IPSec fra due server, un Linux Debian con kernel 2.6.18-6 ed un
Windows Server 2008; soltanto AH, con certificati x.509. Prima funzionava
bene, ad un certo punto e senza una ragione (per me) evidente, se la
comunicazione inizia dal server Linux quando non c'è ancora una
connessione, la costruzione della Quick Mode SA (phase 2) fallisce, mentre
se la comunicazione è iniziata dal server Windows funziona e da quel
momento, ovviamente, funziona anche nel senso opposto.
Nel syslog si legge, tra l'altro:
racoon: ERROR: mismatched ID was returned.
racoon: ERROR: failed to pre-process packet.
racoon: ERROR: phase2 negotiation failed.
Nel registro eventi del server Windows si trova un evento come il seguente
per ogni negoziazione Main Mode (phase 1):
Event ID:      4976
Task Category: IPsec Main Mode
Level:         Information
Keywords:      Audit Failure
Description:
During Main Mode negotiation, IPsec received an invalid negotiation packet.
If this problem persists, it could indicate a network issue or an attempt
to modify or replay this negotiation.
Che sarà?
-- 
Lorenzo Vaina, 
MCSA Windows Server 2003,
MCTS SQL Server 2005.
messaggi privati: 
http://www.vaina.it/posta.html

 racoon: ERROR: phase2 negotiation failed.
Io darei un'occhiata nel racoon.conf alla sezione "remote" se i valori 
degli identificatori trasmessi corrispondono esattamente a quelli 
impostati sulla macchina W2008, sembra che a quest'ultima non piacciano 
quelli che gli manda la macchina Linux (ma non il contrario).
-- 
Bye
Gianfranco Bartolini

Gianfranco Bartolini scripsit:

A me era sembrato che fosse la macchina Linux a lamentarsi di un
identificativo sbagliato ricevuto dalla macchina Windows. In tutti i casi
non ho capito ancora perché gli identificativi vengono convalidati se la
comunicazione è iniziata dalla parte opposta. 
Provo a controllare e cambiare di conseguenza la clausola my_identifier
della sezione remote. Saprò riferire.
Grazie molte per l'interessamento.


 racoon: ERROR: phase2 negotiation failed.
Confermo che il problema sussiste soltanto con Windows Server 2008, mentre
con la vecchia famiglia di sistemi operativi Microsoft tutto funziona come
previsto.


 momento, ovviamente, funziona anche nel senso opposto.
Ho capito dove stava il problema e l'ho messo a posto, per quanto si poteva
fare. Siccome la faccenda è appena un po' lunga, se a qualcuno interessasse
lo invito a leggere questo:
http://www.vaina.it/Interoperabilita
 di IPSec.html
Grazie a tutti per l'interesse.


 comunicazione è iniziata dalla parte opposta. 
In generale i log delle transazioni IPsec spesso non sono d'immediata 
comprensione, devi sempre tenere presente che la macchina locale puo' 
informarti sia di cio' che non piace a lei che di cio' che non piace al 
peer, questo perche' non sempre quando si configurano tunnel IPsec si 
puo' avere accesso ai log del peer remoto.
Nel tuo caso la linea riportante "racoon: ERROR: mismatched ID was 
returned" e' esplicativa del fatto che e' il peer Windows a non 
rispondere correttamente.
-- 
Bye
Gianfranco Bartolini

 
http://www.vaina.it/Interoperabilita
 di IPSec.html
Ottimo, grazie per il feedback.
-- 
Bye
Gianfranco Bartolini

 identificativo sbagliato ricevuto dalla macchina Windows. In tutti i casi
Certo, ho sbagliato a scrivere invertendo le parti :)
-- 
Bye
Gianfranco Bartolini

 Ottimo, grazie per il feedback.
Ho disturbato il mondo intero quando non ne uscivo fuori, mi sembrava il
minimo.
