web-dev-qa-db-ja.com

AzureGatewayへのOpenSwanIPsecトンネルは確立されていますが、接続できません

現在、オンプレミスセンターとAzureのVPNの間にIPsecトンネルを設定しようとしています。 UbuntuLucidボックスにOpenSwan2.6.23をセットアップしていますが、ボックスはNATの背後にあります。

ipsec.conf

config setup
    nat_traversal=yes
    protostack=netkey
    interfaces=%defaultroute
    klipsdebug=none
    plutodebug=none

conn to-Azure
    authby=secret
    auto=start
    type=tunnel

    left=10.0.210.22
    leftid=<my-public-ip>
    leftnexthop=%defaultroute
    leftsubnet=10.0.210.0/24

    right=<Azure-gateway-public-ip>
    rightsubnet=10.13.0.0/16
    rightnexthop=%defaultroute

    ike=aes256-sha1-modp1024
    ikev2=insist
    phase2=esp
    phase2alg=aes256-sha1
    pfs=no

ipsec.secrets

<my-public-ip> <Azure-gateway-public-ip>: PSK "supersecurepassword"

これは私がipsecを開始したときに受け取るものであり、私が理解していることから、トンネルが確立されていることが示されていることがわかります。

000 "to-Azure": 10.0.210.0/24===10.0.210.22<10.0.210.22>[<my-public-ip>,+S=C]---10.0.210.3...10.0.210.3---<Azure-gateway-public-ip><<Azure-gateway-public-ip>>[+S=C]===10.13.0.0/16; erouted; eroute owner: #2
000 "to-Azure":     myip=unset; hisip=unset;
000 "to-Azure":   ike_life: 3600s; ipsec_life: 28800s; rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0
000 "to-Azure":   policy: PSK+ENCRYPT+TUNNEL+UP+!IKEv1+IKEv2ALLOW+IKEv2Init+lKOD+rKOD; prio: 24,16; interface: eth0;
000 "to-Azure":   newest ISAKMP SA: #1; newest IPsec SA: #2;
000 "to-Azure":   IKE algorithms wanted: AES_CBC(7)_256-SHA1(2)-MODP1024(2); flags=-strict
000 "to-Azure":   IKE algorithms found:  AES_CBC(7)_256-SHA1(2)_160-2,
000 "to-Azure":   IKE algorithm newest: _256-SHA1-MODP1024
000 "to-Azure":   ESP algorithms wanted: AES(12)_256-SHA1(2); flags=-strict
000 "to-Azure":   ESP algorithms loaded: AES(12)_256-SHA1(2)_160
000 "to-Azure":   ESP algorithm newest: AES_256-HMAC_SHA1; pfsgroup=<N/A>
000
000 #2: "to-Azure":500 STATE_PARENT_I3 (PARENT SA established); EVENT_SA_REPLACE in 27760s; newest IPSEC; eroute owner; nodpd; idle; import:admin initiate
000 #1: "to-Azure":500 STATE_PARENT_I3 (PARENT SA established); EVENT_SA_REPLACE in 3484s; newest ISAKMP; nodpd; idle; import:admin initiate
000

ただし、auth.logsを確認すると、次のように表示されます。

added connection description "to-Azure"
listening for IKE messages
NAT-Traversal: Trying new style NAT-T
NAT-Traversal: ESPINUDP(1) setup failed for new style NAT-T family IPv4 (errno=19)
NAT-Traversal: Trying old style NAT-T
adding interface eth0/eth0 10.0.210.22:500
adding interface eth0/eth0 10.0.210.22:4500
adding interface lo/lo 127.0.0.1:500
adding interface lo/lo 127.0.0.1:4500
adding interface lo/lo ::1:500
loading secrets from "/etc/ipsec.secrets"
"to-Azure" #1: initiating v2 parent SA
"to-Azure" #1: transition from state STATE_IKEv2_START to state STATE_PARENT_I1
"to-Azure" #1: STATE_PARENT_I1: sent v2I1, expected v2R1
"to-Azure" #2: transition from state STATE_PARENT_I1 to state STATE_PARENT_I2
"to-Azure" #2: STATE_PARENT_I2: sent v2I2, expected v2R2 {auth=IKEv2 cipher=aes_256 integ=sha1 prf=oakley_sha group=modp1024}
packet from <Azure-gateway-public-ip>: IKEv2 mode peer ID is ID_IPV4_ADDR: '<Azure-gateway-public-ip>'
"to-Azure" #2: transition from state STATE_PARENT_I2 to state STATE_PARENT_I3
"to-Azure" #2: negotiated tunnel [10.0.210.0,10.0.210.255] -> [10.13.0.0,10.13.255.255]
"to-Azure" #2: STATE_PARENT_I3: PARENT SA established tunnel mode {ESP=>0xeebf6740 <0x4d67c332 xfrm=AES_256-HMAC_SHA1 NATOA=none NATD=none DPD=none}
| releasing whack for #2 (sock=-1)
| releasing whack for #1 (sock=-1)
packet from <Azure-gateway-public-ip>: received packet that was neither (I)nitiator or (R)esponder, msgid=0

ipsec verifyは、OEが無効になっている状態で、すべてが正常であることを示します。 Azureインスタンスからパケットを受信できないのはなぜですか？

linuxazureipsecopenswan
2
leeeennyy

CentOSでIPsec.confファイルを試しました。わたしにはできる。私のボックスにインストールされているlibreswanのバージョンは3.15です。

この問題のトラブルシューティングを行うには、以下の手順に従ってください。

VPN接続が正しく確立されているかどうかを確認します。 Azure VPNGatewayからログを取得してみてください。ここに良いガイドがあります： ステップバイステップ：Azure Resource Manager（ARM）VNETゲートウェイ診断ログのキャプチャ

接続が正しく確立されている場合は、Linuxボックスでルーティング機能が有効になっていて、適切なルートエントリがローカルネットワークにアドバタイズされていることを確認してください。

1
Steven Lee - MSFT