[Techinfo] ipsec server linuxon

2017. Aug. 25., P, 13:48:08 CEST

Van még az Asterisk amit az Openwrt is támogat:

https://wiki.openwrt.org/doc/howto/voip.asterisk

2017.08.25. 13:41 keltezéssel, Sándor Fehér írta:
> Szia Péter!
>
> Nekem egy debian distrom van freepbx-el . Emiatt nem jó az openwrt. 
> Gondoltam amúgy arra is.
> Köszi!
>
> 2017. 08. 25. 13:27 keltezéssel, Horváth Péter írta:
>> Openwrt szerintem a legjobb linux distro.
>>
>> https://wiki.openwrt.org/inbox/openswanxl2tpvpn
>>
>> Szerintem ebben van minden, amit linuxra kitaláltak, és nincs 
>> elbonyolítva.
>>
>>
>> 2017.08.25. 12:24 keltezéssel, Sándor Fehér írta:
>>> Üdv!
>>>
>>> Nem bírok ezzel strongswannak nevezett sz*rr*l és agyvérzés szélén 
>>> állok.
>>> Új fordítás - sikertelen
>>> Másik disztró - sikertelen ( ubuntu szerver 1604LTS)
>>> Másik disztró saját fordítással - sikertelen
>>> Korábbi verzió 5.1 saját fordítással - sikertelen
>>>
>>> hiba minden esetben:
>>> unable to resolve %any, initiate aborted
>>> tried to checkin and delete nonexisting IKE_SA
>>> establishing connection 'nat-t' failed
>>>
>>> SEHOGY nem eszi meg a right=%any
>>> FELADOM ezt a bughalmazt el is felejtem örökre.
>>> A gyári oldalon lévő rw konfigok sem működnek (%any miatt) és nem 
>>> linkel mikrotikkel sem.
>>> Ezeréves verziókkal meg nem szórakozok.
>>>
>>> Keresek alternatívát, több időt nem szánok erre.
>>> Ha valami javaslatod volna meghallgatom.
>>> Köszönöm az eddigi segítséged!
>>>
>>>
>>>
>>>
>>> 2017. 08. 23. 23:10 keltezéssel, ka at mayten.sch.bme.hu írta:
>>>>
>>>>
>>>> On 08/23/2017 20:42, Sándor Fehér wrote:
>>>>> /ipsec up ikev2-vpn/
>>>>> unable to resolve %any, initiate aborted
>>>>> tried to check-in and delete nonexisting IKE_SA
>>>>> establishing connection 'ikev2-vpn' failed
>>>>>
>>>>
>>>> en forrasbol raktam, igy nem tudok nyilatkozni a debian repoban 
>>>> levorol.  eppen azert raktam fel forrasbol, mert nekem rendkivul 
>>>> ellenszenves, ahogy peldaul a konfigokat kezelik, szemben a 
>>>> standard csomagbol forditottal.  ha bugos a repoban levo, arra 
>>>> tehat nem en fogok rajonni, en is csak elhinnem amit az internet 
>>>> ir.  oreg vagyok en mar ahhoz, hogy egy szimpla apache konfigot is 
>>>> symlinkelgessek szanaszet es 20 file-ban kelljen turkalni - en a 
>>>> forrasbol forditott dolgokban hiszek.
>>>>
>>>> a hibauzenet annyibol erdekes, hogy nem derul ki melyik oldalrol 
>>>> szarmazik.  a szerverrol, onnan ahonnan a konfigot is masoltad? 
>>>> akkor nem trivialis, hogy a left vagy right oldalra panaszkodott. 
>>>> Nyilvan a leftnek nem kotelezo any-nek lennie, azt kicserelhetned 
>>>> az ismert cimre, akkor legalabb egyertelmu lenne, melyik oldallal 
>>>> van baja.
>>>>
>>>> de egyetertek abban, hogy az uzenet nem normalis, mivel 
>>>> nevfeloldasi hibanak tunik, noha ezt a specialis nevet eppen, hogy 
>>>> nem kellene nevfeloldania.
>>>>
>>>>> Nem ismeri a konfigban a %any pedig ez kell az RW-hez.
>>>>
>>>> ertem en, hogy valtozik a cimed ahonnan a kapcsolatot teszteled, de 
>>>> csak a proba kedveert megcsinalnam a konfigot az aktualis ip cimre 
>>>> es megneznem, hogy amugy egyebkent mukodne-e, vagy az any-n kivul 
>>>> van-e meg mas baja is.
>>>>
>>>> vegigneztem a konfigot amit bemasoltal, par gondolat:
>>>>
>>>> latom, aes256-ot hasznalsz.  ezt olvastad?
>>>> https://www.schneier.com/blog/archives/2009/07/another_new_aes.html
>>>>
>>>> nem tudom milyen vegpontokra szamitasz, de ha esetleg mobil 
>>>> eszkozokkel hasznalod, en megfontolnam az aes128-at, sot, akar a 
>>>> 3des -t is - kevesse cpu intenziv, jot tesz az aksinak.
>>>>
>>>> ezzel parhuzamosan valoszinuleg az 1024-es kulcshosszt megemelnem 
>>>> 1536-ra - mivel ez csak phase 1-ben kerul hasznalatra, ritkabban 
>>>> terheli a cpu-t, de ugy tudom az 1024 bites kulcsok ma mar nem 
>>>> szamitanak kulonosebben biztonsagosnak.
>>>>
>>>> nalam auto=start van, azaz indulaskor betolti a konfigot es el is 
>>>> inditja, nalad csak betolti, de lehet, hogy van valami okod, hogy 
>>>> szandekosan kezzel akarod inditani - de ez csak kozmetikai kulonbseg.
>>>>
>>>> nem teljesen ertem, hogy a rekey miert no.  rejtelyes hibak forrasa 
>>>> lehet, ami ilyen konfig mellett a tuloldaltol fugg, hogy elojon-e 
>>>> vagy sem.  ha a tuloldalon is no van, akkor a lejaro kapcsolat 
>>>> parameterei nem lesznek ujraegyeztetve.  de megint csak: nem tudok 
>>>> a hattersztorirol, lehet valami okod van ezt hasznalni.
>>>>
>>>> az sem teljesen vilagos, mi ertelme van left any-t allitani, majd 
>>>> leftid -t megadni, elegendo lenne left=ip cim is szerintem.
>>>>
>>>> mivel a rightid alapertelmezetten a right erteket veszi fel, ezt 
>>>> sem ertem miert duplaztad, es mivel pont az %any-rol szol a 
>>>> hibauzeneted, ezt a konfigban atirnam, mielott nekiesek forditani 
>>>> egyet forrasbol.
>>>>
>>>> egy minta tolem, ami mukodik egy cisco 877 routerrel, ami csak 
>>>> kvazi-roadwarrior, mivel a maga mogotti halozatot is lathatova teszi:
>>>>
>>>> conn %default
>>>>         ikelifetime = 1d
>>>>         keylife = 8h
>>>>         keyingtries = 20
>>>>         keyexchange = ikev1
>>>>         authby = secret
>>>>         ike = aes128-sha1-modp2048!
>>>>         esp = aes128-sha256!
>>>>         type = tunnel
>>>>
>>>> conn mjv-mira_to_core
>>>>         left = a.b.c.d
>>>>         leftfirewall = no
>>>>         leftsubnet = e.f.g.h/26
>>>>         right = %any
>>>>         rightsubnet = i.j.k.l/26
>>>>         ike = aes128-sha1-modp1536!
>>>>         esp = aes128-sha!
>>>>         auto = start
>>>>
>>>> mivel az elejen onnan indult a sztori, ha jol emlekszem, hogy a 
>>>> voip rtp nem megy, gondolom ahhoz reszeled a vpn-t, en egy fenti 
>>>> konfiggal probalkoznek, ahol left nyilvan az ipsec szervered 
>>>> publikus ip-je, leftsubnet az a privat (akar loopback) interfesz 
>>>> amit el kell erni a vpn-en at, rightsubnet pedig az akinek a 
>>>> forgalma titkositasra kerul, azaz a halozat ahol a voip kliensek 
>>>> vannak.
>>>>
>>>> mint latod en kisebb kulcsszammal csinaltam aes-t, elsosorban 
>>>> azert, mert a 877-es router egy eleg csoffadt darab, nem kell, hogy 
>>>> a cpu futse a szobat amiben van. valamint en csak ikev1-et 
>>>> hasznalok.  igy a relevans reszeket modositva (pl. ikev2) a sajat 
>>>> esetedre egy mindenkepp jo konfigot kell kapj.
>>>>
>>>> azaz, ha
>>>>
>>>> - az any-kat ideiglenesen kiveve mukodik, akkor csak kozmetikai 
>>>> hibak vannak a konfigodban, ne foglalkozz a levelemmel
>>>> - az any-kat ideiglenesen kiveve sem mukodik akkor egyertelmu 
>>>> hibauzenet lesz, mi a gond, javitsd
>>>> - miutan elerted a mukodest, ha _egy_ any -val sem mukodik, akkor 
>>>> johet a forrasbol forditas, mert akkor a bugba futottal
>>>>
>>>
>>> _______________________________________________
>>> Techinfo mailing list
>>> Techinfo at lista.sulinet.hu
>>> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
>>> Illemtan: http://www.szag.hu/illemtan.html
>>> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
>>>
>>>
>>
>> _______________________________________________
>> Techinfo mailing list
>> Techinfo at lista.sulinet.hu
>> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
>> Illemtan: http://www.szag.hu/illemtan.html
>> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
>
>
> _______________________________________________
> Techinfo mailing list
> Techinfo at lista.sulinet.hu
> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
> Illemtan: http://www.szag.hu/illemtan.html
> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
>
>