IPSec соединение автоматически разрывается через 24 минуты, почему?

Question

[Koby]

Накатил IPSec c StrongSwan на докер. Подключаюсь через мобильное устройство но VPN обрывается каждые 24 минуты. Что то может не так с конфигами?

Answer 1

[Кот Абсолютный]

Надо лог смотреть, какие времена принимаются. Может быть клиент требует меньшее время первой фазы, а по умолчанию принимается меньшее.

И кстати почему времена несколько странные? ikelifetime=90m, а keylife=20m? Сессия началась, первые 20 мин, рекей по второй фазе, еще 20 мин, еще рекей, еще 20 мин, еще рекей, еще 20 мин, еще рекей, еще 10 мин - закончилась первая фаза, полный рекей. Поставь или 80 или 100 мин, что ли.

Comments

[Koby]

Не подскажешь как логи посмотреть?

[Кот Абсолютный]

Koby, /etc/strongswan.d/charon-logging.conf

Я обычно вот так настраиваю:

charon {
    filelog {
        /var/log/ipsec {
            append = yes
            default = 1
            job = 0
            
            # For debugging purpose
            # asn = 1
            # enc = 1
            # ike = 4
            # net = 4
            # cfg = 3

            flush_line = yes
            ike_name = no
            time_format =  %b %e %T

        }

    }
}

Там пример файла должен быть, его берешь и правишь, для подробного лога раскомментарить закомменченные строчки. Можно и более полный лог, но обычно этого хватает.

[Koby]

CityCat4,
selecting proposal:
Feb 24 18:29:45 15[CFG] no acceptable DIFFIE_HELLMAN_GROUP found
Feb 24 18:29:45 15[CFG] selecting proposal:
Feb 24 18:29:45 15[CFG] no acceptable INTEGRITY_ALGORITHM found
Feb 24 18:29:45 15[CFG] received proposals: ESP:AES_CBC_256/HMAC_SHA2_256_128/NO_EXT_SEQ
Feb 24 18:29:45 15[CFG] configured proposals: ESP:AES_CBC_256/HMAC_SHA2_256_128/MODP_2048/NO_EXT_SEQ, ESP:AES_CB$
Feb 24 18:29:45 15[IKE] no acceptable proposal found
Feb 24 18:29:45 15[IKE] failed to establish CHILD_SA, keeping IKE_SA
Feb 24 18:29:45 15[IKE] reinitiating already active tasks
Feb 24 18:29:45 15[IKE] CHILD_REKEY task

я думаю тут ошибка

[Кот Абсолютный]

Koby, Тут даже не одна ошибка :) Грубо говоря, устройства не смогли согласовать как им шифровать канал. Уберите строку esp из секции rw и добавьте в секцию default вот такие строки:

ike=aes256-sha256-modp2048,aes192-sha256-modp2048,aes128-sha256-modp2048,aes256-sha256-ecp256,aes192-sha256-ecp256,aes128-sha256-ecp256!
        esp=aes256gcm128-modp2048,aes256gcm96-modp2048,aes256gcm64-modp2048,aes256-sha256-modp2048,aes192-sha256-modp2048,aes128-sha256-modp2048!

Если и после этого не будет находить общего набора, будем дальше смотреть.