Auch wenn es keinen interessiert 
, hier mal ein Stand von heute. Leicht erweiterte "GUI", momentan ganz speziell für meine Tests erweitert:
- PSP-File zusätzlich
- Angabe eines "DynDNS"-Namens und lokaler/entfernter VPN-IPs erzeugt beim Aufruf einen setkey-Eintrag dazu (für den "roadwarrior"). Dabei wir momentan die IP zum Default-GW ebenfalls von Skript ermittelt, das sollte/wollte ich wohl noch ändern, denn im conf-file habe ich ja den Listen Eintrag sowieso und wenn die Einträge differieren, geht nix ..
- setkey.conf wird geladen
- Pfad für control socket /var/run/racoon/racoon.sok
.....
Bei mir funktionierte ein Test mit einer "Server-Eumex" am DSL mit auf sich selbst (0.0.0.0) "geforwardeten" esp und UDP[500] und UDP[4500] (mehles Vermutung mit dem Problemen durch den dsld waren nicht unberechtigt, die Kiste muss auf dieser AVM-Pseudo-DSL-IP 169.254.2.1 lauschen...) . Die Client-Eumex steht hinter einem anderen Router im LAN als IP-Client. ESP-Forwarding wäre vermutlich nicht nötig, da die Konstellation hier NATT nutzt.
Hier mal die genutzen Dateien des Servers:
Code:
#racoon.conf:
path pre_shared_key "/mod/etc/racoon/certs/psk.txt";
path certificate "/mod/etc/racoon/certs";
log notify ; # error warning notify debug debug2
listen {
adminsock "/var/run/racoon/racoon.sock" "root" "operator" 0660;
isakmp 169.254.2.1 [500];
isakmp_natt 169.254.2.1 [4500];
}
remote anonymous {
exchange_mode aggressive;
my_identifier user_fqdn "office";
nat_traversal on;
ike_frag on;
passive on;
generate_policy on;
nonce_size 16;
proposal {
encryption_algorithm aes;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group 2;
lifetime time 1 hour;
}
}
sainfo anonymous {
pfs_group 2;
lifetime time 1 hour;
compression_algorithm deflate;
encryption_algorithm aes;
authentication_algorithm hmac_sha1, non_auth;
}
Code:
#setkey.conf
flush;
spdflush;
spdadd 10.100.1.0/24 10.100.1.2/32 any -P out ipsec esp/tunnel/169.254.2.1-0.0.0.0/require;
spdadd 10.100.1.2/32 10.100.1.0/24 any -P in ipsec esp/tunnel/0.0.0.0-169.254.2.1/require;
Code:
# PSK file
office geheim
home geheim
Beim "Client"
Code:
path pre_shared_key "/mod/etc/racoon/certs/psk.txt";
path certificate "/mod/etc/racoon/certs";
log debug; # error warning notify debug debug2
listen {
adminsock disabled;
isakmp 192.168.178.123 [500];
isakmp_natt 192.168.178.123 [4500];
}
remote anonymous {
exchange_mode aggressive;
my_identifier user_fqdn "home";
nat_traversal on;
ike_frag on;
generate_policy on;
proposal {
encryption_algorithm aes;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group 2;
lifetime time 1 hour;
}
}
sainfo anonymous {
pfs_group 2;
lifetime time 1 hour;
compression_algorithm deflate;
encryption_algorithm aes;
authentication_algorithm hmac_sha1, non_auth;
}
Die setkey-Einträge macht das Start-Skript, daher hier nur die flush-Befehle. In der GUI sind DynDNS-Name sowie local_vpn (10.100.1.2/32) und remote_vpn(10.100.1.0/24) eingetragen
Code:
# setkey.conf
flush;
spdflush;
Code:
# PSK file
office geheim
home geheim
Jörg
EDIT: Gerade noch Fehler in Patches gefunden, unten gibt es einen korrigierten Anhang.
Zitieren
