LINUX.ORG.RU
Форум — Security  

Через некоторое время отваливается IPSEC-PSK


0

0

Настроил IPSEC с фиксированными ключами между 2 хостами:

#!/usr/sbin/setkey -f

# Flush the SAD and SPD
flush;
spdflush;

# AH
add <IP1> <IP2> ah 0x200 -A hmac-sha1 <KEY1>;
add <IP2> <IP1> ah 0x300 -A hmac-sha1 <KEY2>;

# ESP
add <IP1> <IP2> esp 0x201 -E rijndael-cbc <KEY3>;
add <IP2> <IP1> esp 0x301 -E rijndael-cbc <KEY4>;

spdadd <IP1> <IP2> any -P out ipsec
esp/transport//use
ah/transport//use;

spdadd <IP2> <IP1> any -P in ipsec
esp/transport//use
ah/transport//use;

Всё работает отлично, пингаю один хост с другого, по tcpdump-у вижу AH/ESP пакеты.
Но через некоторе время (час-два) пакеты между хостами ходить перестают вообще...
Лечится перезанесением правил (setkey) и так опять до след. раза.
Что за напасть?


а что, у вас racoon не используется раз вы не привели его конфигурацию? :-D

проверьте что в racoon.conf у вас lifetime для туннеля одинаковы на обоих концах. Ну и не мешало бы все-таки увидеть ваш racoon.conf чтобы что-то более определенное сказать. Если не хотите показывать, то запускайте racoon с -d (debug) и просматривайте логи, когда у вас трафик перестает ходить.

mator ★★★★★
()
Ответ на: комментарий от mator

Вообще у меня racoon.conf пустой, потому и не привел.
Я вообще считал что демон ракуна нужен для динамических ключей, Х.509 и прочих пирогов. В такой же простой конфигурации я думал он не нужен.
Делал по http://gentoo-wiki.com/HOWTO_IPSEC#Statically_Securing_Host-to-Host_Communica...
Там ничего в конфиге не делается (да и зачем)

KB
() автор топика

похоже тонель просто отваливается по таймауту. попробуйте скриптик написать который бы пинговал раз в час к примеру удаленный хост.

kid79
()

У меня подобная конфигурация (правда, только с аутентификацией и только в одну сторону - мне большего не нужно было) прекрасно работает без отвалов. Никаких racoon здесь не нужно. Я, правда, использовал режим tunnel (честно говоря, сейчас уже подзабыл чем он от transport отличается - давно настраивал). А правила после отвала остаются или обнуляются? Посмотри, что выдаёт

echo 'dump; spddump;' | setkey -c

slav ★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Security