Blocos de túnel IPsec após algum tempo sem erro. Onde encontrar detalhes?

Question

Existe um túnel IPsec criado com o OpenSwan que funciona perfeitamente com pacotes que passam por respostas recebidas, etc. até que, em algum momento, o tráfego pára.

Eu posso regenerar o túnel fazendo

ipsec auto --down tunnelName
ipsec auto --up tunnelName

Mas, eventualmente, ele entrará em colapso novamente, às vezes depois de horas, às vezes depois de dias. Não consigo encontrar nenhuma mensagem de erro, por exemplo, no pluto.log que indique que o túnel entrou em colapso, as últimas linhas encontradas são aquelas que relatam a entrada Quick_Mode.

Nosso lado: Ubuntu 14.04.4 LTS, Linux Openswan U2.6.38 / K3.13.0-91-genérico (netkey)

Outro lado: SAP Router e firewall desconhecido

Eu toquei isso usando o tcpdump enquanto o túnel não estava fazendo seu trabalho:

10:30:53.357186 IP us.isakmp > them.isakmp: isakmp: phase 1 I ident
10:30:53.384168 IP them.isakmp > us.isakmp: isakmp: phase 1 R ident
10:30:53.384880 IP us.isakmp > them.isakmp: isakmp: phase 1 I ident
10:30:53.425034 IP them.isakmp > us.isakmp: isakmp: phase 1 R ident
10:30:53.425770 IP us.isakmp > them.isakmp: isakmp: phase 1 I ident[E]
10:30:53.451727 IP them.isakmp > us.isakmp: isakmp: phase 1 R ident[E]

10:32:01.089957 IP us > them: ESP(spi=0x6e51327d,seq=0x14b), length 100
10:32:02.089097 IP us > them: ESP(spi=0x6e51327d,seq=0x14c), length 100

A primeira parte parece ser um sucesso no túnel rekey negociação segunda parte dois pedidos de falha, ou não?

O Netstat diz que as solicitações enviadas para o túnel não atingem nada além de SYN_SENT e, em seguida, atingem o tempo limite.

Existe algum outro registro que eu possa pesquisar, já que não posso depurar a outra extremidade do túnel?

    

Answer 1

Dê uma olhada em /var/log/syslog , geralmente há um tesouro de logs a ser encontrado em relação ao ipsec.

Costumava haver um bug (muito) antigo falando com o Windows do outro lado devido à inatividade ... um simples ping no fundo corrigia isso, ou um patch; Não me lembro os detalhes embora.

No entanto, a maioria dos firewalls tem uma regra de tempo limite padrão em que, se a conexão estiver inativa por mais de um certo tempo, a conexão será interrompida. No entanto, ele deve ser negociado novamente, exceto se algum parâmetro estiver desativado ou devido a algum problema de compatibilidade estranho.