Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Linux Autres OS BSD ipsec-tools & NetBSD

ipsec-tools & NetBSD

23 réponses
Avatar
Eric Masson
'Lut,

Je suis entrain de monter une configuration NetBSD 3.0 pour faire office
de concentrateur l2tp/ipsec pour des clients windows XP.

Lors de la phase 1, racoon loggue les évènements suivants :
2006-02-23 20:05:07: INFO: respond new phase 1 negotiation: 192.168.1.246[500]<=>192.168.1.105[500]
2006-02-23 20:05:07: INFO: begin Identity Protection mode.
2006-02-23 20:05:07: INFO: received broken Microsoft ID: MS NT5 ISAKMPOAKLEY
2006-02-23 20:05:07: INFO: received Vendor ID: FRAGMENTATION
2006-02-23 20:05:07: INFO: received Vendor ID: draft-ietf-ipsec-nat-t-ike-02

2006-02-23 20:05:07: ERROR: rejected authmethod: DB(prop#1:trns#1):Peer(prop#1:trns#1) = Hybrid RSA server:pre-shared key
2006-02-23 20:05:07: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#1:trns#1) = 1024-bit MODP group:2048-bit MODP group
2006-02-23 20:05:07: ERROR: rejected authmethod: DB(prop#1:trns#2):Peer(prop#1:trns#1) = RSA signatures:pre-shared key
2006-02-23 20:05:07: ERROR: rejected hashtype: DB(prop#1:trns#2):Peer(prop#1:trns#1) = MD5:SHA
2006-02-23 20:05:07: ERROR: rejected dh_group: DB(prop#1:trns#2):Peer(prop#1:trns#1) = 1024-bit MODP group:2048-bit MODP group
2006-02-23 20:05:07: ERROR: rejected authmethod: DB(prop#1:trns#1):Peer(prop#1:trns#2) = Hybrid RSA server:pre-shared key
2006-02-23 20:05:07: ERROR: rejected authmethod: DB(prop#1:trns#2):Peer(prop#1:trns#2) = RSA signatures:pre-shared key
2006-02-23 20:05:07: ERROR: rejected hashtype: DB(prop#1:trns#2):Peer(prop#1:trns#2) = MD5:SHA
2006-02-23 20:05:07: ERROR: rejected authmethod: DB(prop#1:trns#1):Peer(prop#1:trns#3) = Hybrid RSA server:pre-shared key
2006-02-23 20:05:07: ERROR: rejected hashtype: DB(prop#1:trns#1):Peer(prop#1:trns#3) = SHA:MD5
2006-02-23 20:05:07: ERROR: rejected authmethod: DB(prop#1:trns#2):Peer(prop#1:trns#3) = RSA signatures:pre-shared key
2006-02-23 20:05:07: ERROR: rejected enctype: DB(prop#1:trns#1):Peer(prop#1:trns#4) = 3DES-CBC:DES-CBC
2006-02-23 20:05:07: ERROR: rejected authmethod: DB(prop#1:trns#1):Peer(prop#1:trns#4) = Hybrid RSA server:pre-shared key
2006-02-23 20:05:07: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#1:trns#4) = 1024-bit MODP group:768-bit MODP group
2006-02-23 20:05:07: ERROR: rejected enctype: DB(prop#1:trns#2):Peer(prop#1:trns#4) = 3DES-CBC:DES-CBC
2006-02-23 20:05:07: ERROR: rejected authmethod: DB(prop#1:trns#2):Peer(prop#1:trns#4) = RSA signatures:pre-shared key
2006-02-23 20:05:07: ERROR: rejected hashtype: DB(prop#1:trns#2):Peer(prop#1:trns#4) = MD5:SHA
2006-02-23 20:05:07: ERROR: rejected dh_group: DB(prop#1:trns#2):Peer(prop#1:trns#4) = 1024-bit MODP group:768-bit MODP group
2006-02-23 20:05:07: ERROR: rejected enctype: DB(prop#1:trns#1):Peer(prop#1:trns#5) = 3DES-CBC:DES-CBC
2006-02-23 20:05:07: ERROR: rejected authmethod: DB(prop#1:trns#1):Peer(prop#1:trns#5) = Hybrid RSA server:pre-shared key
2006-02-23 20:05:07: ERROR: rejected hashtype: DB(prop#1:trns#1):Peer(prop#1:trns#5) = SHA:MD5
2006-02-23 20:05:07: ERROR: rejected dh_group: DB(prop#1:trns#1):Peer(prop#1:trns#5) = 1024-bit MODP group:768-bit MODP group
2006-02-23 20:05:07: ERROR: rejected enctype: DB(prop#1:trns#2):Peer(prop#1:trns#5) = 3DES-CBC:DES-CBC
2006-02-23 20:05:07: ERROR: rejected authmethod: DB(prop#1:trns#2):Peer(prop#1:trns#5) = RSA signatures:pre-shared key
2006-02-23 20:05:07: ERROR: rejected dh_group: DB(prop#1:trns#2):Peer(prop#1:trns#5) = 1024-bit MODP group:768-bit MODP group
2006-02-23 20:05:07: ERROR: no suitable proposal found.
2006-02-23 20:05:07: ERROR: failed to get valid proposal.
2006-02-23 20:05:07: ERROR: failed to process packet.
2006-02-23 20:05:07: ERROR: execve("/etc/racoon/phase1_down.sh") failed: No such file or directory
2006-02-23 20:05:09: ERROR: unknown Informational exchange received.

Ça semble être un problème de PSK, le problème est que je ne sais pas
quel identifiant est utilisé par XP, j'ai essayé le hostname, le
fqdn, l'adresse ip de la machine xp, mais ça ne veut rien savoir...

Pour info, la conf racoon est la suivante :

log debug;
path pre_shared_key "/etc/racoon/psk.txt";

listen {
isakmp 192.168.1.246 [500];
}

padding
{
maximum_length 20; # maximum padding length.
randomize off; # enable randomize length.
strict_check off; # enable strict check.
exclusive_tail off; # extract last one octet.
}

remote anonymous {
exchange_mode aggressive,main;
doi ipsec_doi;
situation identity_only;
generate_policy on;
proposal_check obey;

proposal {
encryption_algorithm 3des;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group modp1024;
}
}

sainfo anonymous {
lifetime time 28800 sec;
encryption_algorithm 3des ;
authentication_algorithm hmac_md5;
compression_algorithm deflate ;
}

Une idée ?

Merci d'avance

Éric Masson

--
SP> L'enfer est pavé de foie gras...
BE> Comment on y va ?
Ben en marchant dessus, c'te question.
-+- BQL in <http://www.le-gnu.net> + Femme de peu de foie gras -+-
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2 3
Avatar
manu
Eric Masson wrote:

Ça semble être un problème de PSK, le problème est que je ne sais pas
quel identifiant est utilisé par XP, j'ai essayé le hostname, le
fqdn, l'adresse ip de la machine xp, mais ça ne veut rien savoir...


Moi ce que je comprends de ta trace, c'est que le client ne te propose
pas d'authentification en pre-shared key. Il te propose par clé RSA ou
en hybrid auth. Tu es sur d'avoir un client L2TP/IPsec de l'autre coté?

--
Emmanuel Dreyfus
http://hcpnet.free.fr/pubz


Avatar
Eric Masson
(Emmanuel Dreyfus) writes:

Moi ce que je comprends de ta trace, c'est que le client ne te propose
pas d'authentification en pre-shared key. Il te propose par clé RSA ou
en hybrid auth. Tu es sur d'avoir un client L2TP/IPsec de l'autre coté?


C'est un XP sp2 et la configuration du client vpn est bien en psk
(enfin, c'est ce que prétendent les écrans de configuration, tout au
moins)

Éric

--
ca me fais penser aux ptits cons sur scooter qui t'emmerdent
sur la route et t'insulte dès que tu les doubles. ps : les neuneus
t'emmerdent, espece de sale petit bourgeois capitaliste...
-+- GD in GNU : La révolte gronde au sein des masses -+-

Avatar
Eric Masson
(Xavier) writes:

Il y a une Technote Microsoft pour l'utilisation de PSK. J'avais réussi
à la trouver, tu devrais y arriver aussi :-)


Je vais voir.

Et devine quoi : faut bidouiller le Registre :-D


Qui a dit, comme d'habitude...

Enfin, je viens de monter une mini CA avec OpenSSL, je pense faire un
test dans cette configuration avant de m'emmerder avec des jeux bizarres
dans la bdr.

Éric

--
Le neuneu est un con qui débute. C'est une espèce rare mais qui fait
beaucoup de bruit.
-+- JCD in : <http://www.le-gnu.net> - Bien configurer son neuneu.-+-

Avatar
manu
Eric Masson wrote:

Moi ce que je comprends de ta trace, c'est que le client ne te propose
pas d'authentification en pre-shared key. Il te propose par clé RSA ou
en hybrid auth. Tu es sur d'avoir un client L2TP/IPsec de l'autre coté?


C'est un XP sp2 et la configuration du client vpn est bien en psk
(enfin, c'est ce que prétendent les écrans de configuration, tout au
moins)


Euh je crois que j'ai lu un peu rapidement. C'est bien du PSK qui est
proposé par l'autre coté.

--
Emmanuel Dreyfus
Le cahier de l'admin BSD 2eme ed. est dans toutes les bonnes librairies
http://www.eyrolles.com/Informatique/Livre/9782212114638/livre-bsd.php



Avatar
Eric Masson
Eric Masson writes:

Re,

C'est un XP sp2 et la configuration du client vpn est bien en psk
(enfin, c'est ce que prétendent les écrans de configuration, tout au
moins)


Bon, j'ai laché les psk pour les certificats et modulo un petit souci
résolu via google (racoon ne savait pas comment vérifier le certificat
du client Windows malgré la présence du celui de l'autorité de
certification), ça semble vouloir fonctionner.

Il me reste quelques détails de finition :
- Lors de la déconnexion du client xp, la SA phase 1 n'est pas flushée,
c'est probablement lié à l'absence du script phase1-down dans la
configuration de racoon, y a-t-il un exemple de script généraliste
sous Net ou alors faut-il adapter un de ceux de l'archive ipsec-tools

192.168.1.246 192.168.1.105
esp mode=transport spi986426293(0xed9c09b5) reqid=0(0x00000000)
E: 3des-cbc b8072e09 7bf467a1 3d38577d 0ddc1ac2 0e81a97f 44ee2b7b
A: hmac-md5 eacc1b9d c1b1a8ec cac62276 2b6d080c
seq=0x00000016 replay=4 flags=0x00000000 state=mature
created: Feb 24 00:17:04 2006 current: Feb 24 00:27:20 2006
diff: 616(s) hard: 3600(s) soft: 2880(s)
last: Feb 24 00:17:16 2006 hard: 0(s) soft: 0(s)
current: 2160(bytes) hard: 0(bytes) soft: 0(bytes)
allocated: 22 hard: 0 soft: 0
sadb_seq=0 pid"6 refcnt=2

- Quelques messages de gravité erreur apparaissent dans les logs malgré
le fonctionnement correct du tunnel et j'aimerais donc avoir un avis
sur la question (il y a des développeurs ipsec-tools ici, autant en
profiter ;))

2006-02-24 00:16:39: INFO: @(#)ipsec-tools 0.6.3-20051204 (http://ipsec-tools.sourceforge.net)
2006-02-24 00:16:39: INFO: @(#)This product linked OpenSSL 0.9.7d 17 Mar 2004 (http://www.openssl.org/)
2006-02-24 00:16:39: INFO: 192.168.1.246[500] used as isakmp port (fd=7)
2006-02-24 00:16:39: INFO: 192.168.1.246[500] used for NAT-T
2006-02-24 00:17:04: INFO: respond new phase 1 negotiation: 192.168.1.246[500]<=>192.168.1.105[500]
2006-02-24 00:17:04: INFO: begin Identity Protection mode.
2006-02-24 00:17:04: INFO: received broken Microsoft ID: MS NT5 ISAKMPOAKLEY
2006-02-24 00:17:04: INFO: received Vendor ID: FRAGMENTATION
2006-02-24 00:17:04: INFO: received Vendor ID: draft-ietf-ipsec-nat-t-ike-02

2006-02-24 00:17:04: WARNING: unable to get certificate CRL(3) at depth:0 SubjectName:/O=Ipsec/OU=IT/CN=i41wxpems
2006-02-24 00:17:04: WARNING: unable to get certificate CRL(3) at depth:1 SubjectName:/O=Ipsec/OU=IT/CN=IT Manager/emailAddress=
2006-02-24 00:17:04: INFO: ISAKMP-SA established 192.168.1.246[500]-192.168.1.105[500] spi:9d89427cbde1f8c6:4edf8297cf55e008
2006-02-24 00:17:04: INFO: respond new phase 2 negotiation: 192.168.1.246[500]<=>192.168.1.105[500]
2006-02-24 00:17:04: INFO: no policy found, try to generate the policy : 192.168.1.105/32[1701] 192.168.1.246/32[1701] proto=udp dir=in
2006-02-24 00:17:04: INFO: IPsec-SA established: ESP/Transport 192.168.1.105[0]->192.168.1.246[0] spi!9007139(0xd0dc8a3)
2006-02-24 00:17:04: INFO: IPsec-SA established: ESP/Transport 192.168.1.246[0]->192.168.1.105[0] spi986426293(0xed9c09b5)
2006-02-24 00:17:04: ERROR: such policy does not already exist: "192.168.1.105/32[1701] 192.168.1.246/32[1701] proto=udp dir=in"
2006-02-24 00:17:04: ERROR: such policy does not already exist: "192.168.1.246/32[1701] 192.168.1.105/32[1701] proto=udp dir=out"
2006-02-24 00:17:16: INFO: purging ISAKMP-SA spi89427cbde1f8c6:4edf8297cf55e008.
2006-02-24 00:17:16: INFO: generated policy, deleting it.
2006-02-24 00:17:16: INFO: purged IPsec-SA spi!9007139.
2006-02-24 00:17:16: INFO: purged ISAKMP-SA spi89427cbde1f8c6:4edf8297cf55e008.
2006-02-24 00:17:17: INFO: ISAKMP-SA deleted 192.168.1.246[500]-192.168.1.105[500] spi:9d89427cbde1f8c6:4edf8297cf55e008

- Dernier petit point, j'ai compilé l2tpd en utilisant des patchs
trouvés ça et là sur le net (ce genre de config n'était quasiment
documenté que pour linux), comment faire pour soumettre une entrée
dans le pkgsrc sans que cela pose de problèmes de droits ?

Je devrais me fendre d'une doc sur le sujet dès que le tout sera bordé.

Éric

--
Subject: hors-sujet
Etudiant1 de Formatique> c'est quoi ce message!!c'est
Etudiant1 de Formatique>i ncompréhensible............plus clair!!!!!!!
-+- in: GNU - Le méta-neuneu fou a (est) encore frappé -+-

Avatar
Pascal Cabaud
Eric Masson wrote:

Enfin, je viens de monter une mini CA avec OpenSSL, je pense faire un
test dans cette configuration


Tsss... security/CSP roulaize !

--
Pascal Cabaud

Avatar
Pascal Cabaud
Eric Masson wrote:

- Dernier petit point, j'ai compilé l2tpd en utilisant des patchs
trouvés ça et là sur le net (ce genre de config n'était quasiment
documenté que pour linux), comment faire pour soumettre une entrée
dans le pkgsrc sans que cela pose de problèmes de droits ?


<http://pkgsrc-wip.sf.net/>

--
Pascal Cabaud

Avatar
Eric Masson
Pascal Cabaud writes:

'Soir,

Tsss... security/CSP roulaize !


Je vais y jeter un oeil, merci.

Pour le moment le but du jeu est d'obtenir une maquette fonctionnelle
avant de déployer et de rendre le tout administrable simplement.

éric

--
bio> Qui peut encore croire que le bio est reserve aux gens
bio> financierement aises?
Tous les gens qui ne sont pas financierement aises.
-+- DC in <http://www.le-gnu.net> : À l'aise blaise -+-

Avatar
Bruno Bonfils
Pascal Cabaud writes:

Eric Masson wrote:

Enfin, je viens de monter une mini CA avec OpenSSL, je pense faire un
test dans cette configuration


Tsss... security/CSP roulaize !


security/CSP, tu parles de http://ca.csp.it/ ? ou
http://gridengine.sunsource.net/nonav/source/browse/~checkout~/gridengine/source/security/sec/csp.html
ou encore d'un autre outil ?

--
http://asyd.net/home/


Avatar
F. Senault

- Quelques messages de gravité erreur apparaissent dans les logs malgré
le fonctionnement correct du tunnel et j'aimerais donc avoir un avis
sur la question (il y a des développeurs ipsec-tools ici, autant en
profiter ;))

2006-02-24 00:17:04: ERROR: such policy does not already exist: "192.168.1.105/32[1701] 192.168.1.246/32[1701] proto=udp dir=in"
2006-02-24 00:17:04: ERROR: such policy does not already exist: "192.168.1.246/32[1701] 192.168.1.105/32[1701] proto=udp dir=out"


C'est parfaitement normal - à part l'anglais foireux, s'entend.

Fred
Dévelotruc.
--
A professor is one who talks in someone else's sleep.
(Stolen from Eric The Read in the SDM)

1 2 3