URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 66742
[ Назад ]
Исходное сообщение
"Проблема с racoon при настройке VPN FreeBSD D-Link DI-804HV"
Отправлено deMan , 05-Июн-06 15:38 
Добрый день.
Опять с вопросом о racoon (ipsec-tools-0.6.5_1).
Организовую тунеь между FreeBSD 5.3 D-Link DI-804HV. При запуске racoon получаю в ответ:
Starting racoon.
racoon: failed to parse configuration file.
В тематическом каталоге: Создание VPN во FreeBSD на базе IPSEC ...и здесь http://www.opennet.me/base/net/vpn_ipsec_racoon.txt.html ответа не нашол.
Может что нибуть сталкивался с такой проблемой, подскажите как с этим боротся.
Благодарен.
Содержание
Сообщения в этом обсуждении
"Проблема с racoon при настройке VPN FreeBSD D-Link DI-804HV"
Отправлено deMan , 05-Июн-06 16:04 
Может эта команда баст немного больше информации
pool# racoon -F
Foreground mode.
2006-06-05 15:10:24: INFO: @(#)ipsec-tools 0.6.5 (http://ipsec-tools.sourceforge.net)
2006-06-05 15:10:24: INFO: @(#)This product linked OpenSSL 0.9.7d 17 Mar 2004 (http://www.openssl.org/)
racoon: failed to parse configuration file.
2006-06-05 15:10:24: ERROR: glob found no matches for pathpool#

"Проблема с racoon при настройке VPN FreeBSD D-Link DI-804HV"
Отправлено deMan , 07-Июн-06 11:53 
racoon запустить удалось командой:
При попытках "поднять" VPN в логи пишет следующее:
# /usr/local/sbin/racoon -F -v -f /etc/racoon.conf -l /var/log/racoon.log
Foreground mode.
2006-06-07 09:39:53: INFO: @(#)ipsec-tools 0.6.5 (http://ipsec-tools.sourceforge.net)
2006-06-07 09:39:53: INFO: @(#)This product linked OpenSSL 0.9.7d 17 Mar 2004 (http://www.  openssl.org/)
2006-06-07 09:39:53: WARNING: /etc/racoon.conf:65: "support_mip6" it is obsoleted.  use   "support_proxy".
2006-06-07 09:39:53: INFO: X.X.X.X[500] used as isakmp port (fd=4)
2006-06-07 09:44:25: INFO: respond new phase 1 negotiation: X.X.X.X[500]<=>Y.Y.Y.Y[500]
2006-06-07 09:44:25: INFO: begin Identity Protection mode.
2006-06-07 09:44:25: WARNING: SPI size isn't zero, but IKE proposal.
2006-06-07 09:44:25: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#1:trns#1) = 768-bit   MODP group:1024-bit MODP group
2006-06-07 09:44:25: ERROR: no suitable proposal found.
2006-06-07 09:44:25: ERROR: failed to get valid proposal.
2006-06-07 09:44:25: ERROR: failed to process packet.
2006-06-07 09:44:30: INFO: respond new phase 1 negotiation: X.X.X.X[500]<=>Y.Y.Y.Y[500]
Подскажите что я ищё указал не так?
"Проблема с racoon при настройке VPN FreeBSD D-Link DI-804HV"
Отправлено RK , 07-Июн-06 12:17 
>racoon запустить удалось командой:
>При попытках "поднять" VPN в логи пишет следующее:
># /usr/local/sbin/racoon -F -v -f /etc/racoon.conf -l /var/log/racoon.log
>Foreground mode.
> 2006-06-07 09:39:53: INFO: @(#)ipsec-tools 0.6.5 (http://ipsec-tools.sourceforge.net)
> 2006-06-07 09:39:53: INFO: @(#)This product linked OpenSSL 0.9.7d 17 Mar 2004
>(http://www.  openssl.org/)
> 2006-06-07 09:39:53: WARNING: /etc/racoon.conf:65: "support_mip6" it is obsoleted.  use  
> "support_proxy".
> 2006-06-07 09:39:53: INFO: X.X.X.X[500] used as isakmp port (fd=4)
> 2006-06-07 09:44:25: INFO: respond new phase 1 negotiation: X.X.X.X[500]<=>Y.Y.Y.Y[500]
> 2006-06-07 09:44:25: INFO: begin Identity Protection mode.
> 2006-06-07 09:44:25: WARNING: SPI size isn't zero, but IKE proposal.
> 2006-06-07 09:44:25: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#1:trns#1) = 768-bit   MODP
>group:1024-bit MODP group
> 2006-06-07 09:44:25: ERROR: no suitable proposal found.
> 2006-06-07 09:44:25: ERROR: failed to get valid proposal.
> 2006-06-07 09:44:25: ERROR: failed to process packet.
> 2006-06-07 09:44:30: INFO: respond new phase 1 negotiation: X.X.X.X[500]<=>Y.Y.Y.Y[500]
>Подскажите что я ищё указал не так?

Посмотри, одинаковые ли dh_group указаны в конфиге ракуна и на ДЛинке.
П.С. А чтоб показать что ты указал не так, надо показать что ты указал.

"Проблема с racoon при настройке VPN FreeBSD D-Link DI-804HV"
Отправлено deMan , 07-Июн-06 13:12 
>Посмотри, одинаковые ли dh_group указаны в конфиге ракуна и на ДЛинке.
>П.С. А чтоб показать что ты указал не так, надо показать что ты указал.

Спасибо я нашол ошибку, но нашол другую:
racoon.conf
path include "/usr/local/etc/racoon" ;
path pre_shared_key "/usr/local/etc/racoon/psk.txt" ;
#path certificate "/usr/local/etc/cert" ; (сертификаты я не использую может в этом проблема)
log notify;

padding
{
        maximum_length 20;      # maximum padding length.
        randomize off;          # enable randomize length.
        strict_check off;       # enable strict check.
        exclusive_tail off;     # extract last one octet.
}

listen
{
        #isakmp ::1 [7000];
        isakmp XX.XX.XX.XX [500];
        #admin [7002];          # administrative's port by kmpstat.
        #strict_address;        # required all addresses must be bound.
}

timer
{
        # These value can be changed per remote node.
        counter 5;              # maximum trying count to send.
        interval 20 sec;        # maximum interval to resend.
        persend 1;              # the number of packets per a send.

        # timer for waiting to complete each phase.
        phase1 30 sec;
        phase2 15 sec;
}

remote anonymous
{
        #exchange_mode main,aggressive;
        exchange_mode aggressive,main;
        doi ipsec_doi;
        situation identity_only;

        #my_identifier address;
        my_identifier user_fqdn "user@domain.ru";
        peers_identifier user_fqdn "user@domain.ru";
        #certificate_type x509 "mycert" "mypriv";

        nonce_size 16;
        lifetime time 10800 sec;        # sec,min,hour
        initial_contact on;
        support_mip6 on;
        proposal_check obey;    # obey, strict or claim

        proposal {
                encryption_algorithm 3des;
                hash_algorithm sha1;
                authentication_method pre_shared_key ;
                dh_group 2 ;
        }
}

sainfo anonymous
{
        pfs_group 2;
        lifetime time 10800 sec;
        encryption_algorithm 3des ;
        authentication_algorithm hmac_md5;
        compression_algorithm deflate ;
}

racoon.log:
2006-06-07 11:58:38: INFO: respond new phase 1 negotiation: X.X.X.X [500]<=>Y.Y.Y.Y[500]
2006-06-07 11:58:38: INFO: begin Identity Protection mode.
2006-06-07 11:58:38: WARNING: SPI size isn't zero, but IKE proposal.
2006-06-07 11:58:43: NOTIFY: the packet is retransmitted by Y.Y.Y.Y[500].
2006-06-07 11:58:43: WARNING: No ID match.
2006-06-07 11:58:43: INFO: ISAKMP-SA established X.X.X.X[500]-Y.Y.Y.Y[500] spi:2a07a38bb36e7b02:a742018c1518290e
2006-06-07 11:58:49: NOTIFY: the packet is retransmitted by Y.Y.Y.Y[500].
2006-06-07 11:58:54: NOTIFY: the packet is retransmitted by Y.Y.Y.Y[500].
2006-06-07 11:59:04: NOTIFY: the packet is retransmitted by Y.Y.Y.Y[500].
2006-06-07 11:59:35: ERROR: ignore information because the message is too short

настройки D-Link (DI-804HV):
IKE: ike1 - group2 - 3DES - SHA1 - 10800sec
IPSEC: ipsec1 - group2 - ESP - 3DES - MD5 - 10800sec

D-Link log:
Saturday July 22, 2006 13:20:35 Send IKE M1(INIT) : Y.Y.Y.Y --> X.X.X.X
Saturday July 22, 2006 13:20:35 Receive IKE M2(RESP) : X.X.X.X --> Y.Y.Y.Y
Saturday July 22, 2006 13:20:35 Try to match with ENC:3DES AUTH:PSK HASH:SHA1 Group:Group2
Saturday July 22, 2006 13:20:35 Send IKE M3(KEYINIT) : Y.Y.Y.Y --> X.X.X.X
Saturday July 22, 2006 13:20:35 Receive IKE M4(KEYRESP) : X.X.X.X --> Y.Y.Y.Y
Saturday July 22, 2006 13:20:36 Send IKE M5(IDINIT) : Y.Y.Y.Y --> X.X.X.X
Saturday July 22, 2006 13:20:36 Receive IKE M6(IDRESP) : X.X.X.X --> Y.Y.Y.Y
Saturday July 22, 2006 13:20:41 IKED re-TX : IDINIT
Saturday July 22, 2006 13:20:41 Receive IKE M6(IDRESP) : X.X.X.X --> Y.Y.Y.Y
Saturday July 22, 2006 13:20:46 IKED re-TX : IDINIT
Saturday July 22, 2006 13:20:46 Receive IKE M6(IDRESP) : X.X.X.X --> Y.Y.Y.Y
Saturday July 22, 2006 13:21:27 Send IKE (INFO) : delete Y.Y.Y.Y --> X.X.X.X phase 1
Saturday July 22, 2006 13:21:27 IKE phase1 (ISAKMP SA) remove : Y.Y.Y.Y <-> X.X.X.X

"Проблема с racoon при настройке VPN FreeBSD D-Link DI-804HV"
Отправлено deMan , 14-Июн-06 13:50 
Добрый день. Я уже считал эту тему "снятой", так как настроил тунель, но при переносе схеми с тестового сервера на основной, опять возникли проблемы, но уже немного другие, но похожие.
На серверах одинаковые ОС и версии П.О.
В racoon.log:
2006-06-14 12:35:28: INFO: 213.179.229.241[500] used as isakmp port (fd=4)
2006-06-14 12:35:36: INFO: respond new phase 1 negotiation: Х.Х.Х.Х[500]<=>Y.Y.Y.Y[500]
2006-06-14 12:35:36: INFO: begin Identity Protection mode.
2006-06-14 12:35:36: WARNING: SPI size isn't zero, but IKE proposal.
2006-06-14 12:36:17: ERROR: ignore information because ISAKMP-SA has not been established yet.
2006-06-14 12:36:41: ERROR: none message must be encrypted
2006-06-14 12:37:22: ERROR: none message must be encrypted
2006-06-14 12:37:37: ERROR: phase1 negotiation failed due to time up. c8f84c905f698ecf:1829832c5821bf73

Конфиги:
racoon.conf
path include "/usr/local/etc/racoon" ;
path pre_shared_key "/usr/local/etc/racoon/psk.txt" ;
#path certificate "/usr/local/etc/cert" ; (сертификаты я не использую может в этом проблема)
log notify;

padding
{
maximum_length 20; # maximum padding length.
randomize off; # enable randomize length.
strict_check off; # enable strict check.
exclusive_tail off; # extract last one octet.
}

listen
{
#isakmp ::1 [7000];
isakmp XX.XX.XX.XX [500];
#admin [7002]; # administrative's port by kmpstat.
#strict_address; # required all addresses must be bound.
}

timer
{
# These value can be changed per remote node.
counter 5; # maximum trying count to send.
interval 20 sec; # maximum interval to resend.
persend 1; # the number of packets per a send.

# timer for waiting to complete each phase.
phase1 30 sec;
phase2 15 sec;
}

remote anonymous
{
#exchange_mode main,aggressive;
exchange_mode aggressive,main;
doi ipsec_doi;
situation identity_only;

#my_identifier address;
my_identifier user_fqdn "user@domain.ru";
peers_identifier user_fqdn "user@domain.ru";
#certificate_type x509 "mycert" "mypriv";

nonce_size 16;
lifetime time 10800 sec; # sec,min,hour
initial_contact on;
support_mip6 on;
proposal_check obey; # obey, strict or claim

proposal {
encryption_algorithm 3des;
hash_algorithm sha1;
authentication_method pre_shared_key ;
dh_group 2 ;
}
}

sainfo anonymous
{
pfs_group 2;
lifetime time 10800 sec;
encryption_algorithm 3des ;
authentication_algorithm hmac_md5;
compression_algorithm deflate ;
}

настройки D-Link (DI-804HV):
IKE: ike1 - group2 - 3DES - SHA1 - 10800sec
IPSEC: ipsec1 - group2 - ESP - 3DES - MD5 - 10800sec
Подскажите где грабли?

"Проблема с racoon при настройке VPN FreeBSD D-Link DI-804HV"
Отправлено Vel , 04-Дек-06 16:59 
Всем привет!Помогите, плиз.
Linux Gentoo 2006.1, 2.6.18.2 Все механизмы и шифрование IPSeс включены.

racoon -F -v -f /etc/racoon/racoon.conf -l /var/log/racoon.log
Foreground mode.
2006-12-04 16:51:32: INFO: @(#)ipsec-tools 0.6.3 (http://ipsec-tools.sourceforge.net)
2006-12-04 16:51:32: INFO: @(#)This product linked OpenSSL 0.9.7j 04 May 2006 (http://www.openssl.org/)
2006-12-04 16:51:32: WARNING: /etc/racoon/racoon.conf:44: "support_mip6" it is obsoleted.  use "support_proxy".
2006-12-04 16:51:32: INFO: XXX.XXX.XXX.XXX[500] used as isakmp port (fd=5)
2006-12-04 16:51:32: INFO: XXX.XXX.XXX.XXX[500] used for NAT-T
По 500-ому порту ключики идут? Открыть его надо?

"Проблема с racoon при настройке VPN FreeBSD D-Link DI-804HV"
Отправлено Vel , 04-Дек-06 18:19 
>>Посмотри, одинаковые ли dh_group указаны в конфиге ракуна и на ДЛинке.
>>П.С. А чтоб показать что ты указал не так, надо показать что ты указал.
>
>Спасибо я нашол ошибку, но нашол другую:
>racoon.conf
>path include "/usr/local/etc/racoon" ;
>path pre_shared_key "/usr/local/etc/racoon/psk.txt" ;
>#path certificate "/usr/local/etc/cert" ; (сертификаты я не использую может в этом проблема)
>
>log notify;
>
>padding
>{
>        maximum_length 20;  
>   # maximum padding length.
>        randomize off;  
>       # enable randomize length.
>
>        strict_check off;  
>    # enable strict check.
>        exclusive_tail off;  
>  # extract last one octet.
>}
>
>listen
>{
>        #isakmp ::1 [7000];
>        isakmp XX.XX.XX.XX [500];
>        #admin [7002];  
>       # administrative's port by
>kmpstat.
>        #strict_address;    
>    # required all addresses must be bound.
>
>}
>
>timer
>{
>        # These value can
>be changed per remote node.
>        counter 5;  
>          
># maximum trying count to send.
>        interval 20 sec;  
>      # maximum interval to resend.
>
>        persend 1;  
>          
># the number of packets per a send.
>
>        # timer for waiting
>to complete each phase.
>        phase1 30 sec;
>        phase2 15 sec;
>}
>
>remote anonymous
>{
>        #exchange_mode main,aggressive;
>        exchange_mode aggressive,main;
>        doi ipsec_doi;
>        situation identity_only;
>
>        #my_identifier address;
>        my_identifier user_fqdn "user@domain.ru";
>        peers_identifier user_fqdn "user@domain.ru";
>        #certificate_type x509 "mycert" "mypriv";
>
>
>        nonce_size 16;
>        lifetime time 10800 sec;
>       # sec,min,hour
>        initial_contact on;
>        support_mip6 on;
>        proposal_check obey;  
> # obey, strict or claim
>
>        proposal {
>            
>    encryption_algorithm 3des;
>            
>    hash_algorithm sha1;
>            
>    authentication_method pre_shared_key ;
>            
>    dh_group 2 ;
>        }
>}
>
>sainfo anonymous
>{
>        pfs_group 2;
>        lifetime time 10800 sec;
>
>        encryption_algorithm 3des ;
>        authentication_algorithm hmac_md5;
>        compression_algorithm deflate ;
>}
>
>racoon.log:
>2006-06-07 11:58:38: INFO: respond new phase 1 negotiation: X.X.X.X [500]<=>Y.Y.Y.Y[500]
>2006-06-07 11:58:38: INFO: begin Identity Protection mode.
>2006-06-07 11:58:38: WARNING: SPI size isn't zero, but IKE proposal.
>2006-06-07 11:58:43: NOTIFY: the packet is retransmitted by Y.Y.Y.Y[500].
>2006-06-07 11:58:43: WARNING: No ID match.
>2006-06-07 11:58:43: INFO: ISAKMP-SA established X.X.X.X[500]-Y.Y.Y.Y[500] spi:2a07a38bb36e7b02:a742018c1518290e
>2006-06-07 11:58:49: NOTIFY: the packet is retransmitted by Y.Y.Y.Y[500].
>2006-06-07 11:58:54: NOTIFY: the packet is retransmitted by Y.Y.Y.Y[500].
>2006-06-07 11:59:04: NOTIFY: the packet is retransmitted by Y.Y.Y.Y[500].
>2006-06-07 11:59:35: ERROR: ignore information because the message is too short
>
>настройки D-Link (DI-804HV):
>IKE: ike1 - group2 - 3DES - SHA1 - 10800sec
>IPSEC: ipsec1 - group2 - ESP - 3DES - MD5 - 10800sec
>
>
>D-Link log:
>Saturday July 22, 2006 13:20:35 Send IKE M1(INIT) : Y.Y.Y.Y --> X.X.X.X
>Saturday July 22, 2006 13:20:35 Receive IKE M2(RESP) : X.X.X.X --> Y.Y.Y.Y
>Saturday July 22, 2006 13:20:35 Try to match with ENC:3DES AUTH:PSK HASH:SHA1
>Group:Group2
>Saturday July 22, 2006 13:20:35 Send IKE M3(KEYINIT) : Y.Y.Y.Y --> X.X.X.X
>Saturday July 22, 2006 13:20:35 Receive IKE M4(KEYRESP) : X.X.X.X --> Y.Y.Y.Y
>Saturday July 22, 2006 13:20:36 Send IKE M5(IDINIT) : Y.Y.Y.Y --> X.X.X.X
>Saturday July 22, 2006 13:20:36 Receive IKE M6(IDRESP) : X.X.X.X --> Y.Y.Y.Y
>Saturday July 22, 2006 13:20:41 IKED re-TX : IDINIT
>Saturday July 22, 2006 13:20:41 Receive IKE M6(IDRESP) : X.X.X.X --> Y.Y.Y.Y
>Saturday July 22, 2006 13:20:46 IKED re-TX : IDINIT
>Saturday July 22, 2006 13:20:46 Receive IKE M6(IDRESP) : X.X.X.X --> Y.Y.Y.Y
>Saturday July 22, 2006 13:21:27 Send IKE (INFO) : delete Y.Y.Y.Y --> X.X.X.X phase 1
>Saturday July 22, 2006 13:21:27 IKE phase1 (ISAKMP SA) remove : Y.Y.Y.Y <-> X.X.X.X


Всё точно так же, как ты решил проблему, скажи пожалуйста?!

"Проблема с racoon при настройке VPN FreeBSD D-Link DI-804HV"
Отправлено FatCat71 , 26-Май-09 11:55 
Решилась проблема?
Если да, то ходят ли пакеты из сети в сеть?

Бьюсь с такой же связкой. пинги от машины к машине идут, а от сети в сеть нет.
Как побороть не знаю.

"Проблема с racoon при настройке VPN FreeBSD D-Link DI-804HV"
Отправлено Sergey , 12-Дек-09 01:35 
>Решилась проблема?
>Если да, то ходят ли пакеты из сети в сеть?
>
>Бьюсь с такой же связкой. пинги от машины к машине идут, а
>от сети в сеть нет.
>Как побороть не знаю.

Всем привет, кто поборол эту напасть отпишитесь, решение жизненно необходимо.

Заранее Спасибо.