ipsec-tools: racoon als client für Netgear VPN-Router

[ospf]

Hallo !

ich hab ein hartnäckiges racoon-Problem:

Ich versuche mit einem Linux-Client einen VPN-Tunnel zu unserem VPN-Router in der Firma (Netgear FVS338) auf zu bauen, doch das schlägt mit der Meldung "sendfromto failed" und "failed to begin ipsec sa negotication" fehl.

Ich habe einen Windows-XP Rechner mit dem Netgear-VPN-Client installiert, von dem aus die Verbindung ohne Probleme klappt.
Aus verschiedenen Gründen kann ich aber als Client kein Windows gebrauchen und veruche nun, ob die Verbindung auch mit linux klappt.

So soll die Verbindung aussehen:

Clientrechner-----Mein Router----Internet--------VPN-Router Firma-----------Zielrechner
IP-Lokal: DHCP                                  123.123.123.123           102.168.5.100
IP-Virtuell für VPN: 
192.168.10.11

So hab ich Racoon eingerichtet:

/etc/racoon/racoon.conf

path pre_shared_key "/etc/racoon/psk.txt";

remote 123.123.123.123 {
  exchange_mode aggressive;
  my_identifier user_fqdn "name@domain.de";
  proposal {
    encryption_algorithm 3des;
    hash_algorithm sha1;
    authentication_method pre_shared_key;
    dh_group 2;
  }
}

sainfo address 192.168.10.11
any address 192.168.5.0/24 any {
  encryption_algorithm 3des;
  authentication_algorithm hmac_sha1;
  pfs_group 2;
  compression_algorithm deflate;
}

Ich hab auch die Optionen

  generate_policy on;
  support_proxy on;
  proposal_check obey;

ausprobiert - keine Änderung.


meine psk.txt:

123.123.123.123 meinpsk
name@domain.de  meinpsk

meine setkey.conf:

#!/usr/sbin/setkey -f

flush;
spdflush;
spdadd 192.168.10.11 192.168.5.0/24 any -P out ipsec esp/tunnel/192.168.10.11-123.123.123.123/require;
spdadd 192.168.5.0/24 192.168.10.11 any -P in ipsec esp/tunnel/123.123.123.123-192.168.10.11/require;

die Ausgabe von racoon:

oib:/etc/racoon # setkey -f /etc/racoon/setkey.conf
oib:/etc/racoon # racoon -F
Foreground mode.
2007-05-17 14:18:29: INFO: @(#)ipsec-tools 0.6.5 (http://ipsec-tools.sourceforge.net)
2007-05-17 14:18:29: INFO: @(#)This product linked OpenSSL 0.9.8a 11 Oct 2005 (http://www.openssl.org/)
2007-05-17 14:18:29: INFO: 127.0.0.1[500] used as isakmp port (fd=6)
2007-05-17 14:18:29: INFO: 127.0.0.1[500] used for NAT-T
2007-05-17 14:18:29: INFO: 192.168.62.141[500] used as isakmp port (fd=7)
2007-05-17 14:18:29: INFO: 192.168.62.141[500] used for NAT-T
2007-05-17 14:18:29: INFO: ::1[500] used as isakmp port (fd=8)
2007-05-17 14:18:29: INFO: fe80::240:63ff:fee5:14c4%eth0[500] used as isakmp port (fd=9)
2007-05-17 14:23:49: INFO: 127.0.0.1[500] used as isakmp port (fd=6)
2007-05-17 14:23:49: INFO: 127.0.0.1[500] used for NAT-T
2007-05-17 14:23:49: INFO: 192.168.62.141[500] used as isakmp port (fd=7)
2007-05-17 14:23:49: INFO: 192.168.62.141[500] used for NAT-T
2007-05-17 14:23:49: INFO: 192.168.10.11[500] used as isakmp port (fd=8)
2007-05-17 14:23:49: INFO: 192.168.10.11[500] used for NAT-T
2007-05-17 14:23:49: INFO: ::1[500] used as isakmp port (fd=9)
2007-05-17 14:23:49: INFO: fe80::240:63ff:fee5:14c4%eth0[500] used as isakmp port (fd=10)
2007-05-17 14:24:54: INFO: IPsec-SA request for 123.123.123.123 queued due to no phase1 found.
2007-05-17 14:24:54: INFO: initiate new phase 1 negotiation: 192.168.10.11[500]<=>123.123.123.123[500]
2007-05-17 14:24:54: INFO: begin Aggressive mode.
2007-05-17 14:24:54: ERROR: sendfromto failed
2007-05-17 14:24:54: ERROR: failed to begin ipsec sa negotication.

Wobei der Part ab "IPsec-SA request for 123.123.123.123 queued ..." erst erschint,
sobald ich versuche die Adresse 192.168.5.100 zu Pingen:

oib:/etc/racoon # ping 192.168.5.100
connect: Resource temporarily unavailable

die "Virtuelle IP" habe ich mit

ifconfig eth0:1 192.168.10.11 up

hinzu gefügt. (Ich hoffe das ist die richtige Vorgehensweise)

Das device eth0:1 wird von ifconfig auch normal engezeigt und ist von außen pingbar.

Um das 192.168.5.0/24-Netz anzusprechen:

route add -net 192.168.5.0 netmask 255.255.255.0 eth0:1

So .... jetzt hoffe ich nur noch dass sich einer von Euch gut genug damit auskennt um mir einen Hinweis zu geben kann wie ich weiter machen könnte. Ich weiß nämlich echt mittlerweile nicht mehr weiter.

Das Buch "VPN mit Linux" hab ich gekauft, aber es kann mir in diesem speziellen Fall leider auch nicht helfen. (Oder ich hab den Part überlesen, das kann natürlich auch sein)

Any suggestions?

 

[stka]

so sieht meine racoon.conf aus:

path pre_shared_key "/etc/racoon/psk.txt";

padding
{
}

remote anonymous {
exchange_mode aggressive;
generate_policy on;
support_proxy on;
proposal_check obey;
my_identifier user_fqdn "stka";
lifetime time 3600 sec;

proposal {
encryption_algorithm 3des;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group 2;
lifetime time 28800 sec;

}
}

sainfo anonymous {
pfs_group 2;
encryption_algorithm aes;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
lifetime time 3600 sec;
}

sainfo address 192.168.0.0/24 any address 172.16.0.0/24 any
{
pfs_group 2;
lifetime time 3600 sec;
encryption_algorithm aes;
#authentication_algorithm hmac_md5,hmac_sha1;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
}

und meine setkey.conf

#!/usr/sbin/setkey -f
flush;
spdflush;

spdadd 192.168.0.0/24 172.16.0.0/24 any -P out ipsec
esp/tunnel/192.168.0.4-63.1.11.94/require;

spdadd 172.16.0.0/24 192.168.0.0/24 any -P in ipsec
esp/tunnel/63.1.11.94-192.168.0.4/require;