[Comm] IPSec problems

[Comm] IPSec problems

[Igor Solovyov]

Hi All!

Возникла проблема с использованием ipsec.
Между двумя организациями установлен обычный тунель:

# ifconfig tunl2
tunl2     Link encap:IPIP Tunnel  HWaddr
          inet addr:10.0.13.2  P-t-P:10.0.13.1  Mask:255.255.255.255
          UP POINTOPOINT RUNNING NOARP  MTU:1480  Metric:1

Этот тунельный интерфейс и используется для ipsec:

# cat /etc/ipsec.conf
.......
config setup
        interfaces="ipsec0=tunl2"
.......

# ifconfig ipsec0
ipsec0    Link encap:IPIP Tunnel  HWaddr
          inet addr:10.0.13.2  Mask:255.255.255.255
          UP RUNNING NOARP  MTU:16260  Metric:1
.....

Установлены 5 коннектов:

# ipsec eroute
1018 192.168.10.0/24 -> 192.168.31.0/24 => tun0x100d@10.0.13.1
0    192.168.62.0/24 -> 192.168.31.0/24 => tun0x1004@10.0.13.1
0    192.168.63.0/24 -> 192.168.31.0/24 => tun0x100e@10.0.13.1
14   192.168.64.0/24 -> 192.168.31.0/24 => tun0x1008@10.0.13.1
0    192.168.65.0/24 -> 192.168.31.0/24 => tun0x100a@10.0.13.1

Все работает нормально.
Но время от времени часть соединений просто перестают работать.
Причем именно часть, а не все. Обычно 3 или 4 из 5.
Они не исчезают, их видно с помощью ipsec eroute как приведено
выше, но фактически связи между соответсвующими сетями нет.
В логах ничего криминального по этому поводу я не вижу.
Помогает только service ipsec restart.

Замечено, что перестают работать именно те коннекты, в которых
некоторое время отсутствует активность. Т.е. если через какой-
либо коннект идет работа, то он работать не перестает. 
Если же работы никакой нет, то через некоторое время этот коннект
перестает работать совсем.

Кто-нибудь боролся с таким? Помогите плиз.

-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] IPSec problems

[Dmitriy Gnidchenko]

On Fri, 8 Aug 2003, Igor Solovyov wrote:

> Hi All!
>
> Возникла проблема с использованием ipsec.
> Между двумя организациями установлен обычный тунель:
>
> # ifconfig tunl2
> tunl2     Link encap:IPIP Tunnel  HWaddr
>           inet addr:10.0.13.2  P-t-P:10.0.13.1
> Mask:255.255.255.255
>           UP POINTOPOINT RUNNING NOARP  MTU:1480  Metric:1
>
> Этот тунельный интерфейс и используется для ipsec:
>
> # cat /etc/ipsec.conf
> .......
> config setup
>         interfaces="ipsec0=tunl2"
> .......
>
> # ifconfig ipsec0
> ipsec0    Link encap:IPIP Tunnel  HWaddr
>           inet addr:10.0.13.2  Mask:255.255.255.255
>           UP RUNNING NOARP  MTU:16260  Metric:1
> .....
>
> Установлены 5 коннектов:
>
> # ipsec eroute
> 1018 192.168.10.0/24 -> 192.168.31.0/24 => tun0x100d@10.0.13.1
> 0    192.168.62.0/24 -> 192.168.31.0/24 => tun0x1004@10.0.13.1
> 0    192.168.63.0/24 -> 192.168.31.0/24 => tun0x100e@10.0.13.1
> 14   192.168.64.0/24 -> 192.168.31.0/24 => tun0x1008@10.0.13.1
> 0    192.168.65.0/24 -> 192.168.31.0/24 => tun0x100a@10.0.13.1
>
> Все работает нормально.
> Но время от времени часть соединений просто перестают
> работать.
> Причем именно часть, а не все. Обычно 3 или 4 из 5.
> Они не исчезают, их видно с помощью ipsec eroute как приведено
> выше, но фактически связи между соответсвующими сетями нет.
> В логах ничего криминального по этому поводу я не вижу.
> Помогает только service ipsec restart.
>
> Замечено, что перестают работать именно те коннекты, в которых
> некоторое время отсутствует активность. Т.е. если через какой-
> либо коннект идет работа, то он работать не перестает.
> Если же работы никакой нет, то через некоторое время этот
> коннект
> перестает работать совсем.
>
> Кто-нибудь боролся с таким? Помогите плиз.
У меня тоже нечто подобное случалось.
Линух связан был c IPSec Cisco

Сейчас привести статистику не могу.

Но канал действительно отваливался,
debug на циске ругался по поводу ключа.
Оживал канал только перезагрузкой FreeSWan

Re: [Comm] IPSec problems

[Igor Solovyov]

Hi!
On Fri, 8 Aug 2003 14:29:42 +0400 (MSD)
Dmitriy Gnidchenko <savithur@avatar.spb.ru> wrote:

> У меня тоже нечто подобное случалось.
> Линух связан был c IPSec Cisco

Так и у меня на той стороне циска. :-(

> Сейчас привести статистику не могу.
> 
> Но канал действительно отваливался,
> debug на циске ругался по поводу ключа.

Они со своей стороны вроде тоже ничего криминального не видят.

> Оживал канал только перезагрузкой FreeSWan

и у меня. :-(((

-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] IPSec problems

[Igor Solovyov]

Hi!
On Fri, 8 Aug 2003 18:32:27 +0600
Igor Solovyov <gosha@zkb.ru> wrote:

> > Но канал действительно отваливался,
> > debug на циске ругался по поводу ключа.
> 
> Они со своей стороны вроде тоже ничего криминального не видят.

А я теперь что-то вижу. Вот что обнаружил в логах:


Pluto[2789]: "ZKB-SNB65" #6: ignoring informational payload,
type IPSEC_RESPONDER_LIFETIME
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
Интересно, что это такое? Кто-нибудь знает?


-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] IPSec problems

[artem]

[-- Attachment #1: Type: text/plain, Size: 675 bytes --]

> Hi!
> On Fri, 8 Aug 2003 14:29:42 +0400 (MSD)
> Dmitriy Gnidchenko <savithur@avatar.spb.ru> wrote:
> 
> > У меня тоже нечто подобное случалось.
> > Линух связан был c IPSec Cisco
> 
> Так и у меня на той стороне циска. :-(
> 
> > Сейчас привести статистику не могу.
> > 
> > Но канал действительно отваливался,
> > debug на циске ругался по поводу ключа.
> 
> Они со своей стороны вроде тоже ничего криминального не видят.
> 
> > Оживал канал только перезагрузкой FreeSWan
> 
> и у меня. :-(((

С обоих сторон линух, канал оживает, если с
обоих сторон пустить пакеты (пинг например). стартует также. 

-- 
 С уважением, Артем (art@fpm.kubsu.ru)
 

[-- Attachment #2: Type: application/pgp-signature, Size: 307 bytes --]

Re: [Comm] IPSec problems

[Igor Solovyov]

Hi!

> # ifconfig tunl2 ..... MTU:1480....
> # ifconfig ipsec0 .... MTU:16260 ....

Вот тут возникла мысля - а не свзязано ли это с MTU?
Уж больно большой mtu у ipsec-а, аж целых 16260.
Вот сейчас попробовал поствить ему overridemtu=1410.
Интересно, к чему это приведет? Пока все работает.

-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] IPSec problems

[Dmitriy Gnidchenko]

On Fri, 8 Aug 2003, Igor Solovyov wrote:

> Hi!
>
> > # ifconfig tunl2 ..... MTU:1480....
> > # ifconfig ipsec0 .... MTU:16260 ....
>
> Вот тут возникла мысля - а не свзязано ли это с MTU?
> Уж больно большой mtu у ipsec-а, аж целых 16260.
> Вот сейчас попробовал поствить ему overridemtu=1410.
> Интересно, к чему это приведет? Пока все работает.
Если со временем отвалится, то пусть на стороне циски debug по
ipsec включат и смотрят что там летит.

Я им давно не пользуюсь, поэтому не смогу воспроизвести данную
ситуацию.

Но выяснить хотелось бы из-за чего происходит збой