Newsgroup: it.comp.os.linux.sys
Titolo: Problema con Racoon (un po' lungo...)

Ciao a tutti!
Sto trafficando un po' con le VPN e ho dei seri problemi...
Dopo aver fatto dei tests (perfettamente funzionanti!) usando solo setkey
e preshared keys, ho provato a usare racoon per lo scambio delle chiavi
(anche in questo caso con PSK).
Il maledetto, pero', non vuole saperne di funzionare...
Questa e' la configurazione:
Server:
SETKEY:
#!/usr/sbin/setkey -f
flush;
spdflush;
spdadd 213.174.51.XXX 213.174.32.YYY any -P out ipsec
        esp/tunnel/213.174.51.XXX-213.174.56.YYY/require;
spdadd 213.174.32.YYY 213.174.51.XXX any -P in ipsec
        esp/tunnel/213.174.56.YYY-213.174.51.XXX/require;
spdadd 213.174.51.XXX 213.174.32.YYY any -P fwd ipsec
        esp/tunnel/213.174.51.YYY-213.174.56.XXX/require;
RACOON:
path pre_shared_key "/etc/racoon/psk.txt";
remote 213.174.51.XXX
{
        exchange_mode main;
        proposal
        {
                encryption_algorithm 3des;
                hash_algorithm md5;
                authentication_method pre_shared_key;
                dh_group modp1024;
        }
}
sainfo address 213.174.51.XXX any address 213.174.32.YYY any
{
        pfs_group modp768;
        encryption_algorithm 3des;
        authentication_algorithm hmac_md5;
        compression_algorithm deflate;
}
Client:
SETKEY:
#!/usr/sbin/setkey -f
flush;
spdflush;
spdadd 213.174.32.XXX 213.174.51.YYY any -P in ipsec
        esp/tunnel/213.174.56.XXX-213.174.51.YYY/require;
spdadd 213.174.51.XXX 213.174.32.YYY any -P out ipsec
        esp/tunnel/213.174.51.YYY-213.174.56.XXX/require;
spdadd 213.174.32.XXX 213.174.51.YYY any -P fwd ipsec
        esp/tunnel/213.174.56.YYY-213.174.51.XXX/require;
RACOON:
path pre_shared_key "/etc/racoon/psk.txt";
remote 213.174.56.XXX
{
        exchange_mode main;
        proposal
        {
                encryption_algorithm 3des;
                hash_algorithm md5;
                authentication_method pre_shared_key;
                dh_group modp1024;
        }
}
sainfo address 213.174.51.XXX any address 213.174.32.YYY any
{
        pfs_group modp768;
        encryption_algorithm 3des;
        authentication_algorithm hmac_md5;
        compression_algorithm deflate;
}
Lancio setkey -f setkey.conf e racoon -F -f racoon.conf su entrambe le
macchine e, dal client, provo a pingare 213.174.32.YYY.
Il Log di Racoon sul client dice:
Foreground mode.
2005-03-03 10:23:18: INFO: @(#)ipsec-tools 0.3.3
(
http://ipsec-tools.sourceforge.net
)
2005-03-03 10:23:18: INFO: @(#)This product linked OpenSSL 0.9.7d 17 Mar
2004 (
http://www.openssl.org/
)
2005-03-03 10:23:18: INFO: 213.174.51.XXX[500] used as isakmp port (fd=6)
2005-03-03 10:23:18: INFO: 127.0.0.1[500] used as isakmp port (fd=7)
2005-03-03 10:23:22: INFO: IPsec-SA request for 213.174.56.YYY queued due
to no phase1 found.
2005-03-03 10:23:22: INFO: initiate new phase 1 negotiation:
213.174.51.XXX[500]<=>213.174.56.YYY[500]
2005-03-03 10:23:22: INFO: begin Identity Protection mode.
2005-03-03 10:23:32: NOTIFY: the packet is retransmitted by
213.174.56.XXX[500].
2005-03-03 10:23:42: NOTIFY: the packet is retransmitted by
213.174.56.XXX[500].
2005-03-03 10:23:52: NOTIFY: the packet is retransmitted by
213.174.56.XXX[500].
2005-03-03 10:23:53: ERROR: phase2 negotiation failed due to time up
waiting for phase1. ESP 213.174.56.XXX->213.174.51.YYY
2005-03-03 10:23:53: INFO: delete phase 2 handler.
2005-03-03 10:24:02: NOTIFY: the packet is retransmitted by
213.174.56.XXX[500].
2005-03-03 10:24:12: NOTIFY: the packet is retransmitted by
213.174.56.XXX[500].
2005-03-03 10:24:22: ERROR: phase1 negotiation failed due to time up.
Il Server invece mi dice:
Foreground mode.
2005-03-03 10:23:37: INFO: @(#)ipsec-tools 0.3.3
(
http://ipsec-tools.sourceforge.net
)
2005-03-03 10:23:37: INFO: @(#)This product linked OpenSSL 0.9.7e 25 Oct
2004 (
http://www.openssl.org/
)
2005-03-03 10:23:37: INFO: 213.174.56.XXX[500] used as isakmp port (fd=6)
2005-03-03 10:23:37: INFO: 127.0.0.1[500] used as isakmp port (fd=7)
2005-03-03 10:23:48: INFO: respond new phase 1 negotiation:
213.174.56.XXX[500]<=>213.174.51.YYY[500]
2005-03-03 10:23:48: INFO: begin Identity Protection mode.
2005-03-03 10:24:48: ERROR: phase1 negotiation failed due to time up.
Ovviamente il ping dal Client non torna indietro niente...
Sinceramente non so piu' dove battere la testa... Qualcuno sa dirmi DOVE
sbaglio?
Grazie a tutti!
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

         exchange_mode main;
Prova ad aggiungere:
          my_identifier address;
		  situation identity_only;
		  lifetime time 6 hours;
In particolare ricordo parecchie bestemmie prima di definire il
my_identifier, anche se non ricordo esattamente il motivo.
Provalo.
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 Provalo.
my_identifier puo' essere usato solo con le chiavi X.509, mentre io uso
adesso le PSK...
In ogni caso, ho provato...
Con my_identifier mi da' errore (visto che uso le PSK), senza funziona
esattamente come prima... cioe' NON funziona...
Altre idee? Sigh!
Ciao


 Provalo.
Ho trovato la cazzata...
Avevo differenti PSK sui due PC...
Il problema ora e' un altro...
Questo e' quanto dice il Server:
Foreground mode.
2005-03-03 11:29:14: INFO: @(#)ipsec-tools 0.3.3
(
http://ipsec-tools.sourceforge.net
)
2005-03-03 11:29:14: INFO: @(#)This product linked OpenSSL 0.9.7e 25 Oct
2004 (
http://www.openssl.org/
)
2005-03-03 11:29:14: INFO: 213.174.56.9[500] used as isakmp port (fd=6)
2005-03-03 11:29:14: INFO: 127.0.0.1[500] used as isakmp port (fd=7)
2005-03-03 11:29:41: INFO: respond new phase 1 negotiation:
213.174.56.9[500]<=>213.174.51.16[500]
2005-03-03 11:29:41: INFO: begin Identity Protection mode.
2005-03-03 11:29:41: INFO: ISAKMP-SA established
213.174.56.9[500]-213.174.51.16[500] spi:e4409cdcd4fff823:85e0600410654581
2005-03-03 11:29:42: INFO: respond new phase 2 negotiation:
213.174.56.9[0]<=>213.174.51.16[0]
2005-03-03 11:29:42: ERROR: failed to get sainfo.
2005-03-03 11:29:42: ERROR: failed to get sainfo.
2005-03-03 11:29:42: ERROR: failed to pre-process packet.
Perche' non riesce ad usare la sainfo?
Maledizione... 'Ste VPN sono tragiche... =:(((
Ciao


 Maledizione... 'Ste VPN sono tragiche... =:(((
Sono una tra le maggiori fonti di bestemmie che io conosca in ambito
informatico ;-)
Da quando ho avuto a che fare con le VPN, sono stato iniziato a diverse
discipline dell'eresia e della blasfemia che prima ignoravo ;-)
