{"id":91646,"date":"2020-08-16T07:42:09","date_gmt":"2020-08-16T05:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-trablshutit-otechestvennyj-ipsec-vpn-chast-1"},"modified":"2020-08-16T07:42:09","modified_gmt":"2020-08-16T05:42:09","slug":"kak-trablshutit-otechestvennyj-ipsec-vpn-chast-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/kak-trablshutit-otechestvennyj-ipsec-vpn-chast-1","title":{"rendered":"Hoe een binnenlandse IPsec VPN te troubleshooten. Deel 1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Hoe
\n<\/p>\n

Situatie<\/h3>\n

\nWeekend. Ik drink koffie. De student heeft een VPN-verbinding tussen twee punten opgezet en is verdwenen. Ik controleer: de tunnel is er daadwerkelijk, maar er is geen verkeer in de tunnel. De student reageert niet op telefoontjes.<\/p>\n

Ik zet de waterkoker aan en duik in de troubleshooting van de C-Terra Gateway. Ik deel mijn ervaringen en methodologie.
\n<\/a><\/noindex><\/p>\n

Brongegevens<\/h3>\n

\nTwee geografisch gescheiden locaties zijn verbonden via een GRE-tunnel. GRE moet versleuteld worden:<\/p>\n

\"Hoe
\n
\nIk controleer de werking van de GRE-tunnel. Hiervoor stuur ik een ping vanaf apparaat R1 naar de GRE-interface van apparaat R2. Dit is het doelverkeer voor versleuteling. Er is geen antwoord:<\/p>\n

root@R1:~# ping 1.1.1.2 -c 4\nPING 1.1.1.2 (1.1.1.2) 56(84) bytes aan gegevens.\n\n--- 1.1.1.2 pingstatistieken ---\n4 pakketten verzonden, 0 ontvangen, 100% pakketverlies, tijd 3057ms<\/code><\/pre>\n
\nIk bekijk de logs op Gate1 en Gate2. De log meldt vrolijk dat de IPsec-tunnel succesvol is opgezet, geen problemen:<\/p>\n
root@Gate1:~# cat \/var\/log\/cspvpngate.log\n5 aug 16:14:23 localhost vpnsvc: 00100119  IPSec verbinding 5 tot stand gebracht, traffic selector 172.17.0.1->172.16.0.1, proto 47, peer 10.10.10.251, id \"10.10.10.251\", Filter\nIPsec:Protect:CMAP:1:LIST, IPsecAction IPsecAction:CMAP:1, IKERule IKERule:CMAP:1<\/code><\/pre>\n
\nIn de statistieken van de IPsec-tunnel op Gate1 zie ik dat de tunnel er inderdaad is, maar de Rcvd-teller is gereset:<\/p>\n
root@Gate1:~# sa_mgr show\nISAKMP-sessies: 0 ge\u00efnitieerd, 0 gereageerd\n\nISAKMP-verbindingen:\nNum Conn-id (Lokale Addr,Port)-(Afstands Addr,Port) Staat Verzonden Ontvangen\n1 3 (10.10.10.251,500)-(10.10.10.252,500) actief 1070 1014\n\nIPsec-verbindingen:\nNum Conn-id (Lokale Addr,Port)-(Afstands Addr,Port) Protocol Actie Type Verzonden Ontvangen\n1 3 (172.16.0.1,*)-(172.17.0.1,*) 47 ESP tunn 480 0<\/code><\/pre>\n
\nIk ben bezig met troubleshooting van de C-Terra: ik zoek waar de doelpakketten verloren gaan op de route van R1 naar R2. In het proces (spoiler) zal ik de fout vinden.<\/p>\n
Probleemoplossing<\/h3>\n
\nStap 1. Wat ontvangt Gate1 van R1<\/b><\/p>\n
Ik gebruik de ingebouwde pakket-sniffer \u2013 tcpdump. Ik start de sniffer op de interne (Gi0\/1 in Cisco-achtige notatie of eth1 in Debian OS-notatie) interface:<\/p>\n
root@Gate1:~# tcpdump -i eth1\n\ntcpdump: gedetailleerde output onderdrukt, gebruik -v of -vv voor volledige protocoldcode\nluisterend op eth1, link-type EN10MB (Ethernet), capture-grootte 262144 bytes\n14:53:38.879525 IP 172.16.0.1 > 172.17.0.1: GREv0, key=0x1, lengte 92: IP 1.1.1.1 > 1.1.1.2: ICMP echo request, id 2083, seq 1, lengte 64\n14:53:39.896869 IP 172.16.0.1 > 172.17.0.1: GREv0, key=0x1, lengte 92: IP 1.1.1.1 > 1.1.1.2: ICMP echo request, id 2083, seq 2, lengte 64\n14:53:40.921121 IP 172.16.0.1 > 172.17.0.1: GREv0, key=0x1, lengte 92: IP 1.1.1.1 > 1.1.1.2: ICMP echo request, id 2083, seq 3, lengte 64\n14:53:41.944958 IP 172.16.0.1 > 172.17.0.1: GREv0, key=0x1, lengte 92: IP 1.1.1.1 > 1.1.1.2: ICMP echo request, id 2083, seq 4, lengte 64<\/code><\/pre>\n
\nIk zie dat Gate1 GRE-pakketten ontvangt van R1. Ik ga verder.<\/p>\n
Stap 2. Wat doet Gate1 met de GRE-pakketten<\/b><\/p>\n
Met de klogview-tool bekijk ik wat er gebeurt met de GRE-pakketten binnen VPN<\/a> de C-Terra-driver:<\/p>\n
root@Gate1:~# klogview -f 0xffffffff\n\nfiltratie resultaat voor uitgaand pakket 172.16.0.1->172.17.0.1, proto 47, len 112, if eth0: keten 4 \"IPsecPolicy:CMAP\", filter 8, event id IPsec:Protect:CMAP:1:LIST, status PASS\nverpakken met SA 31: 172.16.0.1->172.17.0.1, proto 47, len 112, if eth0\nuitgaand pakket doorgegeven 10.10.10.251->10.10.10.252, proto 50, len 160, if eth0: verpakt\n<\/code><\/pre>\n
\nIk zie dat het doel-GRE verkeer (proto 47) 172.16.0.1 -> 172.17.0.1 is onderworpen (PASS) aan de encryptieregel LIST in het cryptografische kaart CMAP en is gecodeerd (ingekapseld). Vervolgens is het pakket gerouteerd (verzonden). Er is geen terugverkeer te zien in de uitvoer van klogview.<\/p>\n
Ik controleer de toegangslijsten op het apparaat Gate1. Ik zie \u00e9\u00e9n toegangslijst LIST die het doelverkeer voor encryptie bepaalt, dus er zijn geen M\u042d-regels ingesteld:<\/p>\n
Gate1#show access-lists\nUitgebreide IP-toegangslijst LIST\n    10 staat gre toe host 172.16.0.1 host 172.17.0.1<\/code><\/pre>\n
\nConclusie: het probleem ligt niet op het apparaat Gate1.<\/p>\n
Meer over klogview<\/b><\/p>\n
De VPN-driver verwerkt al het netwerkverkeer, niet alleen het verkeer dat gecodeerd moet worden. Dit soort berichten zijn zichtbaar in klogview als de VPN-driver netwerkverkeer heeft verwerkt en ongecodeerd heeft verzonden:<\/p>\n
root@R1:~# ping 172.17.0.1 -c 4<\/code><\/pre>\n
<\/p>\n
root@Gate1:~# klogview -f 0xffffffff\n\nfiltratie resultaat voor uitgaand pakket 172.16.0.1->172.17.0.1, proto 1, len 84, if eth0: keten 4 \"IPsecPolicy:CMAP\": geen overeenkomst\nuitgaand pakket doorgegeven 172.16.0.1->172.17.0.1, proto 1, len 84, if eth0: gefilterd<\/code><\/pre>\n
\nIk zie dat het ICMP verkeer (proto 1) 172.16.0.1->172.17.0.1 niet overeenkomt (geen overeenkomst) met de encryptieregels van het cryptografische kaart CMAP. Het pakket is gerouteerd (verzonden) in ongecodeerde vorm.<\/p>\n
Stap 3. Wat ontvangt Gate2 van Gate1<\/b><\/p>\n
Ik start een sniffer op de WAN (eth0) interface van Gate2:<\/p>\n
root@Gate2:~# tcpdump -i eth0\ntcpdump: gedetailleerde uitvoer onderdrukt, gebruik -v of -vv voor volledige protocol-decoding\nluistert op eth0, link-type EN10MB (Ethernet), vastleggrootte 262144 bytes\n16:05:45.104195 IP 10.10.10.251 > 10.10.10.252: ESP(spi=0x30088112,seq=0x1), lengte 140\n16:05:46.093918 IP 10.10.10.251 > 10.10.10.252: ESP(spi=0x30088112,seq=0x2), lengte 140\n16:05:47.117078 IP 10.10.10.251 > 10.10.10.252: ESP(spi=0x30088112,seq=0x3), lengte 140\n16:05:48.141785 IP 10.10.10.251 > 10.10.10.252: ESP(spi=0x30088112,seq=0x4), lengte 140<\/code><\/pre>\n
\nIk zie dat Gate2 ESP-pakketten ontvangt van Gate1.<\/p>\n
Stap 4. Wat doet Gate2 met de ESP-pakketten<\/b><\/p>\n
Ik start de tool klogview op Gate2:<\/p>\n
root@Gate2:~# klogview -f 0xffffffff\nfiltratie resultaat voor inkomend pakket 10.10.10.251->10.10.10.252, proto 50, len 160, if eth0: keten 17 \"FilterChain:L3VPN\", filter 21, status DROP\ngedropt inkomend pakket 10.10.10.251->10.10.10.252, proto 50, len 160, if eth0: firewall\n<\/code><\/pre>\n
\nIk zie dat de ESP-pakketten (proto 50) zijn gedropt (DROP) door de regel (L3VPN) van de firewall. Ik bevestig dat de toegangslijst L3VPN daadwerkelijk aan Gi0\/0 is gekoppeld:<\/p>\n
Gate2#show ip interface gi0\/0\nGigabitEthernet0\/0 is up, lijnprotocol is up\n  Internetadres is 10.10.10.252\/24\n  MTU is 1500 bytes\n  Uitgaande toegangslijst is niet ingesteld\n  Inkomende toegangslijst is L3VPN<\/code><\/pre>\n
\nHet probleem is ontdekt.<\/p>\n
Stap 5. Wat is er mis met de toegangslijst
\n<\/b>
\nIk kijk naar wat de toegangslijst L3VPN inhoudt:<\/p>\n
Gate2#show access-list L3VPN\nExtended IP access list L3VPN\n    10 permit udp host 10.10.10.251 any eq isakmp\n    20 permit udp host 10.10.10.251 any eq non500-isakmp\n    30 permit icmp host 10.10.10.251 any<\/code><\/pre>\n
\nIk zie dat ISAKMP-pakketten zijn toegestaan, dus de IPsec-tunnel wordt ingesteld. Maar er is geen regel die ESP toestaat. Waarschijnlijk heeft de student icmp en esp verwisseld.<\/p>\n
Ik pas de toegangs lijst aan:<\/p>\n
Gate2(config)#\nip access-list extended L3VPN\nno 30\n30 permit esp host 10.10.10.251 any<\/code><\/pre>\n
\nStap 6. Ik controleer de werking<\/b><\/p>\n
Als eerste zorg ik ervoor dat de toegangs lijst L3VPN correct is:<\/p>\n
Gate2#show access-list L3VPN\nExtended IP access list L3VPN\n    10 permit udp host 10.10.10.251 any eq isakmp\n    20 permit udp host 10.10.10.251 any eq non500-isakmp\n    30 permit esp host 10.10.10.251 any<\/code><\/pre>\n
\nNu start ik doelverkeer vanaf apparaat R1:<\/p>\n
root@R1:~# ping 1.1.1.2 -c 4\nPING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.\n64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 tijd=35.3 ms\n64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 tijd=3.01 ms\n64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 tijd=2.65 ms\n64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 tijd=2.87 ms\n\n--- 1.1.1.2 ping statistieken ---\n4 pakketten verzonden, 4 ontvangen, 0% pakketverlies, tijd 3006ms\nrtt min\/avg\/max\/mdev = 2.650\/10.970\/35.338\/14.069 ms<\/code><\/pre>\n
\nOverwinning. De GRE-tunnel is opgezet. De teller voor inkomend verkeer in de IPsec-statistieken is niet nul:<\/p>\n
root@Gate1:~# sa_mgr show\nISAKMP-sessies: 0 ge\u00efnitieerd, 0 gereageerd\n\nISAKMP-verbindingen:\nNum Conn-id (Lokale Addr,Port)-(Externe Addr,Port) Staat Verzonden On ontvangen\n1 3 (10.10.10.251,500)-(10.10.10.252,500) actief 1474 1350\n\nIPsec-verbindingen:\nNum Conn-id (Lokale Addr,Port)-(Externe Addr,Port) Protocol Actie Type Verzonden Ontvangen\n1 4 (172.16.0.1,*)-(172.17.0.1,*) 47 ESP tunn 1920 480<\/code><\/pre>\n
\nOp de gateway Gate2 zijn in de uitvoer van klogview berichten verschenen dat het doelverkeer 172.16.0.1->172.17.0.1 succesvol (PASS) is ontsleuteld (decapsulated) door regel LIST in het cryptokaart CMAP:<\/p>\n
root@Gate2:~# klogview -f 0xffffffff\nfiltratie resultaat voor inkomend pakket 172.16.0.1->172.17.0.1, proto 47, len 112, if eth0: keten 18 \"IPsecPolicy:CMAP\", filter 25, event id IPsec:Protect:CMAP:1:LIST, status PASS\ningekomen pakket 172.16.0.1->172.17.0.1, proto 47, len 112, if eth0: gedecapsuleerd<\/code><\/pre>\n
\nConclusies<\/b><\/p>\n
De student heeft de uitvoer verknald. 
\nVoorzichtig zijn met de ME-regels.<\/p>\n
Anonieme ingenieur
\nt.me\/anonimous_engineer<\/i>
\n
Bron: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0421\u0438\u0442\u0443\u0430\u0446\u0438\u044f \u0412\u044b\u0445\u043e\u0434\u043d\u043e\u0439. \u041f\u044c\u044e \u043a\u043e\u0444\u0435. \u0421\u0442\u0443\u0434\u0435\u043d\u0442 \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u043b VPN \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u043c\u0435\u0436\u0434\u0443 \u0434\u0432\u0443\u043c\u044f \u0442\u043e\u0447\u043a\u0430\u043c\u0438 \u0438 \u0438\u0441\u0447\u0435\u0437. \u041f\u0440\u043e\u0432\u0435\u0440\u044f\u044e: \u0442\u0443\u043d\u043d\u0435\u043b\u044c \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0435\u0441\u0442\u044c, \u043d\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0432 \u0442\u0443\u043d\u043d\u0435\u043b\u0435 \u043d\u0435\u0442. \u041d\u0430 \u0437\u0432\u043e\u043d\u043a\u0438 \u0441\u0442\u0443\u0434\u0435\u043d\u0442 \u043d\u0435 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442. \u0421\u0442\u0430\u0432\u043b\u044e \u0447\u0430\u0439\u043d\u0438\u043a \u0438 \u043f\u043e\u0433\u0440\u0443\u0436\u0430\u044e\u0441\u044c \u0432 \u0442\u0440\u0430\u0431\u043b\u0448\u0443\u0442\u0438\u043d\u0433 \u0421-\u0422\u0435\u0440\u0440\u0430 \u0428\u043b\u044e\u0437. \u0414\u0435\u043b\u044e\u0441\u044c \u0441\u0432\u043e\u0438\u043c \u043e\u043f\u044b\u0442\u043e\u043c \u0438 \u043c\u0435\u0442\u043e\u0434\u043e\u043b\u043e\u0433\u0438\u0435\u0439. \u0418\u0441\u0445\u043e\u0434\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0414\u0432\u0435 \u0442\u0435\u0440\u0440\u0438\u0442\u043e\u0440\u0438\u0430\u043b\u044c\u043d\u043e \u0440\u0430\u0437\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0435 \u043f\u043b\u043e\u0449\u0430\u0434\u043a\u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u044b GRE \u0442\u0443\u043d\u043d\u0435\u043b\u0435\u043c. GRE \u043d\u0443\u0436\u043d\u043e \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u0442\u044c: \u041f\u0440\u043e\u0432\u0435\u0440\u044f\u044e \u0440\u0430\u0431\u043e\u0442\u043e\u0441\u043f\u043e\u0441\u043e\u0431\u043d\u043e\u0441\u0442\u044c GRE […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":91647,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-91646","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Hoe troubleshooten van binnenlandse IPsec VPN. Deel 1 | ProHoster","description":"Situatie Uitvoer.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/kak-trablshutit-otechestvennyj-ipsec-vpn-chast-1","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0442\u0440\u0430\u0431\u043b\u0448\u0443\u0442\u0438\u0442\u044c \u043e\u0442\u0435\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 IPsec VPN. \u0427\u0430\u0441\u0442\u044c 1 | ProHoster","og:description":"\u0421\u0438\u0442\u0443\u0430\u0446\u0438\u044f \u0412\u044b\u0445\u043e\u0434\u043d\u043e\u0439.","og:url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/kak-trablshutit-otechestvennyj-ipsec-vpn-chast-1","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-08-16T05:42:09+00:00","article:modified_time":"2020-08-16T05:42:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"91646","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:23:24","updated":"2026-02-04 14:42:05","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/91646","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=91646"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/91646\/revisions"}],"predecessor-version":[{"id":156750,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/91646\/revisions\/156750"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media\/91647"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=91646"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=91646"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=91646"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}