Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 1 subscriber
  • Views 7959 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IPSEC Passtrought --- HELP

neo2048
Hi all,

Can someone help me out? I'm using ASL 3.09 (latest release) and I'm connecting to a corporate network from behind the ASL with Nortel Contivity IPSEC Client.

It does connect fine and I can work with it BUT it drop the connection in a random manner...  it can take between 5 and 60 min then the connection drop.

I have IPSEC anabled on the ASL BOX for incomming connections.... and I see in the IPSEC Logs the following records:

Oct  7 17:57:04 host Pluto[1574]: packet from 63.94.54.2:500: Quick Mode message is for a non-existent (expired?) ISAKMP SA
Oct  7 17:57:20 host Pluto[1574]: packet from 63.94.54.2:500: Informational Exchange is for an unknown (expired?) SA
Oct  7 17:57:20 host Pluto[1574]: packet from 63.94.54.2:500: Informational Exchange is for an unknown (expired?) SA
Oct  7 18:07:47 host Pluto[1574]: packet from 63.94.54.2:500: Quick Mode message is for a non-existent (expired?) ISAKMP SA
Oct  7 18:08:35 host Pluto[1574]: packet from 63.94.54.2:500: Quick Mode message is for a non-existent (expired?) ISAKMP SA
Oct  7 18:08:51 host Pluto[1574]: packet from 63.94.54.2:500: Informational Exchange is for an unknown (expired?) SA
Oct  7 18:08:51 host Pluto[1574]: packet from 63.94.54.2:500: Informational Exchange is for an unknown (expired?) SA
Oct  7 18:42:17 host Pluto[1574]: packet from 63.94.54.2:500: Quick Mode message is for a non-existent (expired?) ISAKMP SA
Oct  7 18:43:05 host Pluto[1574]: packet from 63.94.54.2:500: Quick Mode message is for a non-existent (expired?) ISAKMP SA
Oct  7 18:43:21 host Pluto[1574]: packet from 63.94.54.2:500: Informational Exchange is for an unknown (expired?) SA
Oct  7 18:43:21 host Pluto[1574]: packet from 63.94.54.2:500: Informational Exchange is for an unknown (expired?) SA

The time those error occur correspond AXACTLY with the time the contivity client drop the connection.

Any idea???

I'll try to turn of the ASL IPSEC to see if it does make a difference.

Martin Desormeaux, CCSI
Noxam Technologies Inc.
Astaro Partner


This thread was automatically locked due to age.
Parents Reply
  • 0 in reply to Andy_01
    Ok, 

    -I have disabled IPSEC (FreeSwan from WebAdmin)
    -I have added inbound rule for accpting UDP500+AH+ESP
    -I have done the DNA/SNAT rules for UDP500+AH+ESP

    and it still drop the connection after some time...  but drop seem less frequent.

    Martin
Children
  • 0 in reply to neo2048
    Does Someone can help me out!

    I need to get that IPSEC passtrough work! Even with apropriate DNAT/SNAT the connection is still dropping. The IPSEC Vpn from Astaro is disabled and still having the same issue! it seem the the connection just stop working after some time! I have a continius ping going trough as a keep alive and at some point the VPN just stop wporking...  I have to re-autenticate with the VPN Client each 5 to 60 min.... 

    I'm desesperate... please HELP ME!!!!

    Martin
  • 0 in reply to neo2048
    Hi Martin

    I will try.
    First: 
    - disable IPSec on Astaro: sure a good thing to debug but should not be necessary.
    - Try with an "any" outgoing rule to test
    - Don't do DNAT!!!!!
    Second:
    What kind of ISP do you have? In Switzerland most ADSL providers have a MTU of less than 1500!
    So WAN MTU on the ethernet interface needs to be set below 1500 and even more to count in the IPSec overhead.... see: http://www.astaro.org/ubb/ultimatebb.php?ubb=get_topic;f=7;t=000410#000002

    Hope that helps
    Cheers
    herp
  • 0 in reply to herp
    My ISP Is Plain DHCP Over cable modem. So Standar MTU of 1500.

    IPsec is already Disable in the astaro box.

    Rules are simple. ANY, ANY, ANY, ACCEPT.

    NAT RULES : Masquerade everything behind the External Interface.

    I'm sure that my workstation ant remote server setup are fine cause if I replace the Astaro box by a Small Netgear RT314 (simple internet sharing router doing simple masquerade NAT and port Fowarding) it work just fine...

    Thanks for helping me out!

    Martin
Unfiltered HTML