Jump to content

Перестал подключаться к VPN-серверу IKEv2 StrongSwan


Recommended Posts

У меня клиент IKEv2 на keenetic hopper перестал подключаться к серверу StrongSwan IKEv2. Я предполагаю что после обновления ос роутера до версии 3.8.5
Другие клиенты (android, windows, ios) продолжают работать без проблем. Конфигурацию сервера не менял, конфигурацию клиента тоже.
Помогите разобраться в чем причина.

 

 

Edited by nuzhinm
Link to comment
Share on other sites

Помогает сброс настроек и создание соединения заново. Если восстановить настройки, то перестает работать даже если удалить и создать подключение заново.

Link to comment
Share on other sites

После сброса соединение проработало меньше суток и снова перестало устанавливаться.
Получается что в роутере накапливается какая-то информация которая в дальнейшем мешает установить соединение?

Поддержка настаивает чтобы я подгрузил в кинетик сертификат CA, но у меня нет сертификатов.

Сервер развернут с помощью скрипта jawj IKEv2. Он идентифицирует себя с помощью сертификата Let's Encrypt, поэтому клиентам не нужно устанавливать частные сертификаты — они могут просто аутентифицироваться с помощью имени пользователя и надежного пароля (EAP-MSCHAPv2)

И ведь все замечательно работало с апреля, а сейчас начались проблемы.

Помогайте разобраться, я в тупик зашёл. 

Во вложении лог с keenetic

log.txt

Link to comment
Share on other sites

При выполнении скрипта который разворачивает сервер strongSwan я вводил доменное имя сервера это нужно Let's Encrypt для создания SSL сертификата сервера.
И в логах, насколько я смог разобраться, видно что роутер его получает от сервера.
Я сомневаюсь что здесь дело в сертификате. Полгода роутер стабильно держал связь с сервером, а сейчас пересал. Другие клиенты на android, windows, ios продолжают стабильно работать.

[I] Sep 17 21:24:42 ipsec: 12[IKE] received end entity cert "CN=**.**.**.**.sslip.io" 
[I] Sep 17 21:24:42 ipsec: 12[CFG]   using certificate "CN=**.**.**.**.sslip.io" 
[I] Sep 17 21:24:42 ipsec: 12[CFG]   using trusted intermediate ca certificate "C=US, O=Let's Encrypt, CN=R3" 
[I] Sep 17 21:24:42 ipsec: 12[CFG] system time out of sync, skipping certificate lifetime check 
[I] Sep 17 21:24:42 ipsec: 12[CFG]   using trusted intermediate ca certificate "C=US, O=Internet Security Research Group, CN=ISRG Root X1" 
[I] Sep 17 21:24:42 ipsec: 12[CFG] system time out of sync, skipping certificate lifetime check 
[I] Sep 17 21:24:42 ipsec: 12[CFG] system time out of sync, skipping certificate lifetime check 
[I] Sep 17 21:24:42 ipsec: 12[CFG] no issuer certificate found for "C=US, O=Internet Security Research Group, CN=ISRG Root X1" 
[I] Sep 17 21:24:42 ipsec: 12[CFG]   issuer is "O=Digital Signature Trust Co., CN=DST Root CA X3" 
[I] Sep 17 21:24:42 ipsec: 09[CFG] rereading ca certificates from '/tmp/ipsec/ipsec.d/cacerts' 
[I] Sep 17 21:24:42 ipsec: 12[IKE] no trusted RSA public key found for '**.**.**.**.sslip.io' 
[E] Sep 17 21:24:42 ndm: IpSec::Configurator: unable to authenticate remote peer for crypto map "IKE0". 

Если я все правильно понимаю, то по логу видно, что клиент не доверяет полученному от сервера сертификату. Почему это вдруг начинает  происходить через некоторое время работы туннеля и как это исправить я не понимаю.

Вот статья как настроить VPN-сервер IKEv2 на Keenetic, вот статья как настроить VPN-клиента IKEv2 на Keenetic. При этом клиент доверяет серверу потому что для его домена keenetic.pro выпущен ssl сертификат, а сервер не требует от клиента никаких сертификатов.
Моя связка сервер-клиент работает также.

 

Link to comment
Share on other sites

Не хотите обновиться на 3.9 альфа9, у меня там ikev2 работает на гига 3 без са сертификата, с ним не работает.

Link to comment
Share on other sites

Скачал сертификаты CA и самого сервера, добавлял по очереди в настройках соединения. Соединение не заработало.

2 часа назад, Goga777 сказал:

обновиться на 3.9 альфа9

Обновился, соединение установилось без подгрузки сертификатов. Буду наблюдать как оно будет работать.

Link to comment
Share on other sites

я читал что на каких-то версиях были проблемы с ikev2 - может и на 3.8.5 

а с CA сертификатом на альфе есть коннект ? 

Link to comment
Share on other sites

Не проверял, соединение устанавливалось без подгрузки сертификата.
На 3.9 альфа9 к кинетику перестал подключаться встроенный клиент на win7 по все тому же IKEv2 EAP.
Сейчас вернулся на 3.8.5. Поддержка запросила логи с сервера и селфтест роутера. Может что хорошее выйдет из этого.

Link to comment
Share on other sites

Вот прям сейчас откатил на 3.8.5. И тут же keenetic перестал подключаться к серверу strongSwan, зато встроенный клиент на win7 сходу соединился с kenetic.
Либо одно работает, либо другое )

Link to comment
Share on other sites

Поддержка подсказала как легко реанимировать соединение. Нужно выполнить команды:

(config)> no service ipsec
(config)> service ipsec

Просят несколько раз подряд выполнить эти команды, хотя и после первого введения соединение моментально поднимается.
Правда работает ~7 часов и опять пропадает.
Рекомендовали пока использовать другой протокол.

Link to comment
Share on other sites

  • 2 months later...

Вот только нету в android 12 и strongswan других протоколов.. Разве что, пробовать перебирать сторонние приложения останется, если проблеме на решится, но судя по звёздочкам, качество там сильно хуже, чем у strongswan.

Link to comment
Share on other sites

Я обращался в поддержку, они подтвердили проблему. 

В описании к KeeneticOS 3.9 Beta 2 от 07/11/2022 есть : "Исправлена причина периодических отключений VPN-туннеля IKEv2. [NDM-2413]" 
Видио исправили, жду обновления до 3.9

Link to comment
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

 Share

  • Recently Browsing   0 members

    • No registered users viewing this page.
×
×
  • Create New...