[Techinfo] ipsec server linuxon

[Sándor Fehér]

 >ez azt jelenti, hogy a forditas maga nem sikerult, vagy a kapcsolat vele?
Nem, írtam a levélben lejjebb, csak a "%any"  paraméter nem tetszik 
neki. SITE-SITE konfigban ip címekkel működik az újonnan fordított is. 
Nem fordítási hiba van.

 >./configure --prefix=/usr/local/strongswan-5.4.0 
--mandir=/usr/share/man --enable-openssl --enable-sha3 --enable-curl 
--enable-dhcp --enable-libipsec
Ettől is puritánabban csináltam: ./configure --enable-eap-mschap-v2
(eap csak a későbbiek miatt)

 >1) a szerver konfiguralod, tehat hozza fognak csatlakozni
2) tehat beleteszed az %any-t
3) majd utana up-pal fel akarod huzni a kapcsolatot
Pontosan!
NO NE :), akkor egy kérdés:
Tegyük fel, hogy újraindítom a szervert és lecsatlakoznak a kliensek és 
valami oknál fogva ( pl watchdog) újraindulnak a kliensek is. Eredmény:  
egy szerver restart hazavágja a vpn-t
Tök logikus amit írsz, de a való életben igen is lehet olyan eset, hogy 
csak a szerver "él" a kliensek később csatlakoznak.
Az előbbi miatt nem értem, hogy miért így működik a program: elszáll, ha 
fel húzod up-al az rw kapcsolatot.

Amúgy próbáltam rácsatlakozni és nem lehet, ha nem húzom fel "ipsec up 
<vpn-nev>" >>> ez a parancs viszont hibával fut le.
Most site to site ban van és működik a fordított verzióm már a 
mikrotikkel is, de ez nekem így nem ok.

A mikrotik amúgy azért nem működött, mert a csomag repo-s változatában 
nincs benne az openssl támogatás és ezáltal a dh group: modp1024 
modp2048 stb opciók. Ezek kellenek a mikrotiknek.

 >peldaul %any egyutt ikev2 -vel nem megy.
Ez tényleg nem működik??
Probáltam ikev1 -et is és nem vezetett pozitív eredményre.

Lehet bepöccintek egy teszt környezetet kvm virtuális gépekkel és azon 
fogok kísérletezni, de szinte mindent megpróbáltam eddig. Egyedül a 
v.4.x verziókat nem néztem, de nem is akarok visszamenni az őskorba.

2017. 08. 25. 13:10 keltezéssel, ka at mayten.sch.bme.hu írta:
> On 2017-08-25 11:24, Sándor Fehér wrote:
>> Üdv!
>>
>> Nem bírok ezzel strongswannak nevezett sz*rr*l és agyvérzés szélén 
>> állok.
>> Új fordítás - sikertelen
>
> ez azt jelenti, hogy a forditas maga nem sikerult, vagy a kapcsolat vele?
>
> en igyekeztem minimalisan forditani:
>
> $ ./configure --prefix=/usr/local/strongswan-5.4.0 
> --mandir=/usr/share/man --enable-openssl --enable-sha3 --enable-curl 
> --enable-dhcp --enable-libipsec
>
> es csak azokat beletenni amikre szuksegem van.  lenyeges kerdes lehet 
> az openssl verzioja es helye, ha nem csomagbol van, en openssl-1.0.1u 
> -vel forgattam es symlinkelnem kellett a megfelelo helyekre.
>
> A fenti nem ugyanaz a verzio, mint ahonnan a minta konfigot szedtem, 
> de ebben is van any es mukodik.  Probaltad konkretan ezen verziok 
> valamelyikevel?
>
> A masik ket otletembol az elso, hogy az egesz uzenet felrevezeto. Miert?
>
>> unable to resolve %any, initiate aborted
> ez itt a kulcs.
>
> 1) a szerver konfiguralod, tehat hozza fognak csatlakozni
> 2) tehat beleteszed az %any-t
> 3) majd utana up-pal fel akarod huzni a kapcsolatot
>
> na de hova huzza fel a kapcsolatot, ha %any van benne?  Fogalma sincs 
> rola, hogy kihez kene csatlakoznia.  Ez egy logikai bukfenc lehet 
> nalad.  A szervernek valaszolnia kell a beerkezo ipsec keresekre, nem 
> pedig inditani a kapcsolatot - ez lehet oka a hibadnak.  Igy aztan 
> szerintem amikor az up paranccsal inditani akarod akkor valojaban a 
> vpn-t probalod felhuzni de %any-val nem fog menni.
>
> A harmadik otletem, hogy a konfiguracio kulonbozo komponensei egyutt 
> esetleg nem mukodnek - peldaul %any egyutt ikev2 -vel nem megy.
>
> Ha tippelnem kellene, akkor eloszor a kozepso iranyba indulnek el es 
> nem a szerveren akarnam felhuzni a kapcsolatot, hanem a kliensen.  Ha 
> igy sem megy, akkor utana tennek egy probat ikev1 -gyel is.
>
> udv
> adam
>
> _______________________________________________
> Techinfo mailing list
> Techinfo at lista.sulinet.hu
> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
> Illemtan: http://www.szag.hu/illemtan.html
> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/