nuzhinm Posted September 16, 2022 Share Posted September 16, 2022 (edited) У меня клиент IKEv2 на keenetic hopper перестал подключаться к серверу StrongSwan IKEv2. Я предполагаю что после обновления ос роутера до версии 3.8.5 Другие клиенты (android, windows, ios) продолжают работать без проблем. Конфигурацию сервера не менял, конфигурацию клиента тоже. Помогите разобраться в чем причина. Edited September 16, 2022 by nuzhinm Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted September 16, 2022 Author Share Posted September 16, 2022 Помогает сброс настроек и создание соединения заново. Если восстановить настройки, то перестает работать даже если удалить и создать подключение заново. Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted September 17, 2022 Author Share Posted September 17, 2022 После сброса соединение проработало меньше суток и снова перестало устанавливаться. Получается что в роутере накапливается какая-то информация которая в дальнейшем мешает установить соединение? Поддержка настаивает чтобы я подгрузил в кинетик сертификат CA, но у меня нет сертификатов. Сервер развернут с помощью скрипта jawj IKEv2. Он идентифицирует себя с помощью сертификата Let's Encrypt, поэтому клиентам не нужно устанавливать частные сертификаты — они могут просто аутентифицироваться с помощью имени пользователя и надежного пароля (EAP-MSCHAPv2) И ведь все замечательно работало с апреля, а сейчас начались проблемы. Помогайте разобраться, я в тупик зашёл. Во вложении лог с keenetic log.txt Quote Link to comment Share on other sites More sharing options...
Goga777 Posted September 17, 2022 Share Posted September 17, 2022 СА сертификат по идее ваш скрипт должен скачать или сгенерировать Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted September 18, 2022 Author Share Posted September 18, 2022 При выполнении скрипта который разворачивает сервер strongSwan я вводил доменное имя сервера это нужно Let's Encrypt для создания SSL сертификата сервера. И в логах, насколько я смог разобраться, видно что роутер его получает от сервера. Я сомневаюсь что здесь дело в сертификате. Полгода роутер стабильно держал связь с сервером, а сейчас пересал. Другие клиенты на android, windows, ios продолжают стабильно работать. [I] Sep 17 21:24:42 ipsec: 12[IKE] received end entity cert "CN=**.**.**.**.sslip.io" [I] Sep 17 21:24:42 ipsec: 12[CFG] using certificate "CN=**.**.**.**.sslip.io" [I] Sep 17 21:24:42 ipsec: 12[CFG] using trusted intermediate ca certificate "C=US, O=Let's Encrypt, CN=R3" [I] Sep 17 21:24:42 ipsec: 12[CFG] system time out of sync, skipping certificate lifetime check [I] Sep 17 21:24:42 ipsec: 12[CFG] using trusted intermediate ca certificate "C=US, O=Internet Security Research Group, CN=ISRG Root X1" [I] Sep 17 21:24:42 ipsec: 12[CFG] system time out of sync, skipping certificate lifetime check [I] Sep 17 21:24:42 ipsec: 12[CFG] system time out of sync, skipping certificate lifetime check [I] Sep 17 21:24:42 ipsec: 12[CFG] no issuer certificate found for "C=US, O=Internet Security Research Group, CN=ISRG Root X1" [I] Sep 17 21:24:42 ipsec: 12[CFG] issuer is "O=Digital Signature Trust Co., CN=DST Root CA X3" [I] Sep 17 21:24:42 ipsec: 09[CFG] rereading ca certificates from '/tmp/ipsec/ipsec.d/cacerts' [I] Sep 17 21:24:42 ipsec: 12[IKE] no trusted RSA public key found for '**.**.**.**.sslip.io' [E] Sep 17 21:24:42 ndm: IpSec::Configurator: unable to authenticate remote peer for crypto map "IKE0". Если я все правильно понимаю, то по логу видно, что клиент не доверяет полученному от сервера сертификату. Почему это вдруг начинает происходить через некоторое время работы туннеля и как это исправить я не понимаю. Вот статья как настроить VPN-сервер IKEv2 на Keenetic, вот статья как настроить VPN-клиента IKEv2 на Keenetic. При этом клиент доверяет серверу потому что для его домена keenetic.pro выпущен ssl сертификат, а сервер не требует от клиента никаких сертификатов. Моя связка сервер-клиент работает также. Quote Link to comment Share on other sites More sharing options...
Goga777 Posted September 18, 2022 Share Posted September 18, 2022 Не хотите обновиться на 3.9 альфа9, у меня там ikev2 работает на гига 3 без са сертификата, с ним не работает. Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted September 18, 2022 Author Share Posted September 18, 2022 Как вариант, буду пробовать. Но сначала попытаюсь разобраться в чем проблема. Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted September 18, 2022 Author Share Posted September 18, 2022 Скачал сертификаты CA и самого сервера, добавлял по очереди в настройках соединения. Соединение не заработало. 2 часа назад, Goga777 сказал: обновиться на 3.9 альфа9 Обновился, соединение установилось без подгрузки сертификатов. Буду наблюдать как оно будет работать. Quote Link to comment Share on other sites More sharing options...
Goga777 Posted September 18, 2022 Share Posted September 18, 2022 я читал что на каких-то версиях были проблемы с ikev2 - может и на 3.8.5 а с CA сертификатом на альфе есть коннект ? Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted September 19, 2022 Author Share Posted September 19, 2022 Не проверял, соединение устанавливалось без подгрузки сертификата. На 3.9 альфа9 к кинетику перестал подключаться встроенный клиент на win7 по все тому же IKEv2 EAP. Сейчас вернулся на 3.8.5. Поддержка запросила логи с сервера и селфтест роутера. Может что хорошее выйдет из этого. Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted September 19, 2022 Author Share Posted September 19, 2022 Вот прям сейчас откатил на 3.8.5. И тут же keenetic перестал подключаться к серверу strongSwan, зато встроенный клиент на win7 сходу соединился с kenetic. Либо одно работает, либо другое ) Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted September 21, 2022 Author Share Posted September 21, 2022 Поддержка подсказала как легко реанимировать соединение. Нужно выполнить команды: (config)> no service ipsec (config)> service ipsec Просят несколько раз подряд выполнить эти команды, хотя и после первого введения соединение моментально поднимается. Правда работает ~7 часов и опять пропадает. Рекомендовали пока использовать другой протокол. Quote Link to comment Share on other sites More sharing options...
Dr_DelProg Posted December 1, 2022 Share Posted December 1, 2022 Вот только нету в android 12 и strongswan других протоколов.. Разве что, пробовать перебирать сторонние приложения останется, если проблеме на решится, но судя по звёздочкам, качество там сильно хуже, чем у strongswan. Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted December 1, 2022 Author Share Posted December 1, 2022 Я обращался в поддержку, они подтвердили проблему. В описании к KeeneticOS 3.9 Beta 2 от 07/11/2022 есть : "Исправлена причина периодических отключений VPN-туннеля IKEv2. [NDM-2413]" Видио исправили, жду обновления до 3.9 Quote Link to comment Share on other sites More sharing options...
Alexey Lyahkov Posted December 13, 2022 Share Posted December 13, 2022 >Правда работает ~7 часов и опять пропадает. Ровно 8 часов. Иногда идет ругань о том что такой же SA уже есть в ядре. По ощущениям ошибку притащили в 3.8.5 а пару релизов до этого - все работало как часы. Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted December 13, 2022 Author Share Posted December 13, 2022 в свежих релизах поправили Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted December 14, 2022 Author Share Posted December 14, 2022 Встроенный клиент на windows 7 теперь не может подключиться Quote Link to comment Share on other sites More sharing options...
Alexey Lyahkov Posted December 15, 2022 Share Posted December 15, 2022 Судя по всему обновление на 3.9.1 - не решает проблему с периодическими отвалами ipsec. Обновил одну из точек на 3.9.1 - стало стабильнее - но 8 часов лимита у l2tp+ipsec никуда не пропали. Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted December 15, 2022 Author Share Posted December 15, 2022 Я хочу откатиться на 3.8 но при установке дополнительных пакетов роутер обновляет прошивку до актуальной. Quote Link to comment Share on other sites More sharing options...
Alexey Lyahkov Posted December 19, 2022 Share Posted December 19, 2022 есть не нулевое подозрение что отвалы ipsec связаны с dhcp lease time и renew 😕 Quote Link to comment Share on other sites More sharing options...
nuzhinm Posted December 19, 2022 Author Share Posted December 19, 2022 @Alexey Lyahkov т.е. в момент когда заканчивается время аренды адреса? Quote Link to comment Share on other sites More sharing options...
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.
Note: Your post will require moderator approval before it will be visible.