Kerio Control 8 IpSec CISCO

[brazd]

Добрый день!

Помогите разобраться с настройкой IPSEC между Kerio Control 8.0.1 и Cisco.

Использовал для первичной настройки инфу с сайта: [Для просмотра данной ссылки нужно зарегистрироваться].

Имеется два хоста между которыми должен работать ipsec тунель. За хостом с Керио находится FTP сервер в пассивном режиме.


Один хост с Kerio
Внутренний 192.168.0.1
внешний 222.222.222.222

Комп с FTP 192.168.0.2

Второй хост CISCO
Внутренний 192.168.1.1 (с него должны ходить по тоннелю на 192.168.0.2)
Внешний 178.178.178.178


Настраиваю тоннель на Керио:

1. Создаю один тоннель
с предопределенным ключом,
пассивное подключение (поднятие тоннеля инициирует хост с циской)
локальный ID - Control
удаленный ID - 178.178.178.178
В закладке маршрутизация прописываю айпи хоста за CISCO внутренний удаленный адрес 192.168.1.1 с маской 255.255.255.255

2. В правилах Керио прописал:

Источник: 192.168.1.1 назначение: 192.168.0.2 протокол: FTP разрешить

3. Конфигурация на CISCO доподлинно неизвестна, однако при ее настройке использовались следующие параметры:
фаза 1 - aes128-sh1-dhg5
фаза 2 - aes128-sha1
NAT-T не используется


При попытке подключения:

В случае если выставлять значения параметра тоннеля в "Активное подключение", то в в состоянии интерфейса (тоннеля) выдает сообщение "Ни один из предложенных криптографических пакетов не подходит" и "Несовпадение ИД".

В дебаге керио вот такой диалог:

16/Apr/2013 20:56:29] {charon} charon: 09[NET] received packet: from 178.178.178.178[500] to 222.222.222.222[500]
[16/Apr/2013 20:56:29] {charon} charon: 09[ENC] parsed ID_PROT request 0 [ SA V V V ]
[16/Apr/2013 20:56:29] {charon} charon: 09[IKE] received draft-ietf-ipsec-nat-t-ike-02\n vendor ID
[16/Apr/2013 20:56:29] {charon} charon: 09[IKE] received draft-ietf-ipsec-nat-t-ike-03 vendor ID
[16/Apr/2013 20:56:29] {charon} charon: 09[ENC] received unknown vendor ID: 40:48:b7:d5:6e:bc:e8:85:25:e7:de:7f:00:d6:c2:d3:c0 :00:00:00
[16/Apr/2013 20:56:29] {charon} charon: 09[IKE] 178.178.178.178is initiating a Main Mode IKE_SA
[16/Apr/2013 20:56:29] {charon} charon: 09[IKE] 178.178.178.178is initiating a Main Mode IKE_SA
[16/Apr/2013 20:56:29] {charon} charon: 09[ENC] generating ID_PROT response 0 [ SA V V V ]
[16/Apr/2013 20:56:29] {charon} charon: 09[NET] sending packet: from 222.222.222.222[500] to 178.178.178.178[500]
[16/Apr/2013 20:56:29] {charon} charon: 15[NET] received packet: from 178.178.178.178[500] to 222.222.222.222[500]
[16/Apr/2013 20:56:29] {charon} charon: 15[ENC] parsed ID_PROT request 0 [ KE No V V V V (130) (130) ]
[16/Apr/2013 20:56:29] {charon} charon: 15[IKE] trying shared key for '%any'[(null)] - '(null)'[(null)]
[16/Apr/2013 20:56:29] {charon} charon: 15[ENC] generating ID_PROT response 0 [ KE No ]
[16/Apr/2013 20:56:29] {charon} charon: 15[NET] sending packet: from 222.222.222.222[500] to 178.178.178.178[500]
[16/Apr/2013 20:56:29] {charon} charon: 14[NET] received packet: from 178.178.178.178[500] to 222.222.222.222[500]
[16/Apr/2013 20:56:29] {charon} charon: 14[ENC] parsed ID_PROT request 0 [ ID HASH V ]
[16/Apr/2013 20:56:29] {charon} charon: 14[CFG] looking for pre-shared key peer configs matching 222.222.222.222...178.178.178.178[178.178.178.178]
[16/Apr/2013 20:56:29] {charon} charon: 14[CFG] Including peer config "tunnel_1_1_1"
[16/Apr/2013 20:56:29] {charon} charon: 14[CFG] Including peer config "vpnserver_1"
[16/Apr/2013 20:56:29] {charon} charon: 14[CFG] selected peer config "tunnel_1_1_1"
[16/Apr/2013 20:56:29] {charon} charon: 14[IKE] IKE_SA tunnel_1_1_1[4231] established between 222.222.222.222[Control]...178.178.178.178[178.178.178.178]
[16/Apr/2013 20:56:29] {charon} charon: 14[IKE] IKE_SA tunnel_1_1_1[4231] established between 222.222.222.222[Control]...178.178.178.178[178.178.178.178]
[16/Apr/2013 20:56:29] {charon} charon: 14[IKE] scheduling reauthentication in 10129s
[16/Apr/2013 20:56:29] {charon} charon: 14[IKE] maximum IKE_SA lifetime 10669s
[16/Apr/2013 20:56:29] {charon} charon: 14[IKE] DPD not supported by peer, disabled
[16/Apr/2013 20:56:29] {charon} charon: 14[ENC] generating ID_PROT response 0 [ ID HASH ]
[16/Apr/2013 20:56:29] {charon} charon: 14[NET] sending packet: from 222.222.222.222[500] to 178.178.178.178[500]
[16/Apr/2013 20:56:29] {charon} charon: 12[NET] received packet: from 178.178.178.178[500] to 222.222.222.222[500]
[16/Apr/2013 20:56:29] {charon} charon: 12[ENC] parsed QUICK_MODE request 1033637017 [ HASH SA No KE ID ID N(INITIAL_CONTACT) ]
[16/Apr/2013 20:56:29] {charon} charon: 12[CFG] received proposals: ESP:AES_CBC_128/HMAC_SHA1_96/MODP_1024/NO_EXT_SEQ
[16/Apr/2013 20:56:29] {charon} charon: 12[CFG] configured proposals: ESP:AES_CBC_128/HMAC_SHA1_96/NO_EXT_SEQ,
ESP:3DES_CBC/HMAC_SHA1_96/NO_EXT_SEQ, ESP:AES_CBC_128/AES_CBC_192/AES_CBC_256/3DES_CBC/BLOWFISH_CBC_256/HMAC_SHA1_96/AES_XCBC_96/HMAC_MD5_96/NO_EXT_SEQ
[16/Apr/2013 20:56:29] {charon} charon: 12[IKE] received 28800s lifetime, configured 3600s
[16/Apr/2013 20:56:29] {charon} charon: 12[IKE] received 4608000000 lifebytes, configured 0
[16/Apr/2013 20:56:29] {charon} charon: 12[IKE] no matching proposal found, sending NO_PROPOSAL_CHOSEN
[16/Apr/2013 20:56:29] {charon} charon: 12[ENC] generating INFORMATIONAL_V1 request 1908340972 [ HASH N(NO_PROP) ]
[16/Apr/2013 20:56:29] {charon} charon: 12[NET] sending packet: from 222.222.222.222[500] to 178.178.178.178[500]
[16/Apr/2013 20:56:37] {charon} charon: 01[NET] received packet: from 178.178.178.178[500] to 222.222.222.222[500]
[16/Apr/2013 20:56:37] {charon} charon: 01[IKE] received retransmit of request with ID 1033637017, but no response to retransmit
[16/Apr/2013 20:56:38] {IPsec} TunnelsList|thread: Going to sleep for 60s.
[16/Apr/2013 20:56:45] {charon} charon: 13[NET] received packet: from 178.178.178.178[500] to 222.222.222.222[500]
[16/Apr/2013 20:56:45] {charon} charon: 13[IKE] received retransmit of request with ID 1033637017, but no response to retransmit
[16/Apr/2013 20:56:53] {charon} charon: 11[NET] received packet: from 178.178.178.178[500] to 222.222.222.222[500]
[16/Apr/2013 20:56:53] {charon} charon: 11[IKE] received retransmit of request with ID 1033637017, but no response to retransmit
[16/Apr/2013 20:57:01] {charon} charon: 15[NET] received packet: from 178.178.178.178[500] to 222.222.222.222[500]
[16/Apr/2013 20:57:01] {charon} charon: 15[ENC] parsed INFORMATIONAL_V1 request 3537359098 [ HASH D ]
[16/Apr/2013 20:57:01] {charon} charon: 15[IKE] received DELETE for IKE_SA tunnel_1_1_1[4231]


Вопросы:
1. В настройках тоннеля что нужно указывать в графе "локальный ИД"? Я ставил Control, как стоит по-умолчанию в дополнительных настройках.
2. Если брать конфигурацию Керио по умолчанию, какие параметры для настройки IPSEC нужно использовать на CISCO? В том числе нужно ли при конфигурировании использовать NAT-T?

3. Где в керио выставляются параметры для фаз?

[Valery12]

а на cisco какие настройки?

[brazd]

Это сторонняя организация, я могу только попросить их выставить НУЖНЫЕ значения. Только вот вопрос какие?

Нашел вот тут список поддерживаемых крипто схем, но как их использовать?
[Для просмотра данной ссылки нужно зарегистрироваться]

[Babah22]

brazd, у Вас левое колено не болит?

[brazd]

Babah22, голова уже точно болит.

При установке тоннеля в активный режим. Керио выводит сообщение "Ни один из предложенных криптографических пакетов не подходит".

Из чего следует закономерный вопрос. Какие параметры необходимо выставить на CISCO чтобы удовлетворить подхватить криптографических пакеты Керио?

[Babah22]

brazd, вы правила читали? как Вы воопче зарегистриловались? Удивительно, а мне нада на зелёный, я на красный не могу , а фиолетовый мое подруге нравитцо. Ужас, блять!!!!

[brazd]

Valery12,Babah22, я дополнил исходные данные и конкретизировал вопросы. Все еще надеюсь на ваши профессиональные советы.

[Valery12]

Цитата

Сообщение от brazd

Нашел вот тут список поддерживаемых крипто схем, но как их использовать?
[Для просмотра данной ссылки нужно зарегистрироваться]

список большой, но циска в отличие от керио схемы особо не перебирает (точнее обычно настраивают одну конкретную схему)
Что там за девайс? маршрутизатор или ASA, K8 или K9 (если K8 то только DES, а его керио не поддерживает)
Короче или пусть раскрывают настройки или отдайте им этот кериевский документ - пусть сами думают

[brazd]

Valery12, спасибо за помощь.

В итоге оказалось что в конфиге на стороне Cisco на второй фазе присутствовала Diffie Hellman Groups (которую керио не воспринимает).

Тему можно закрывать. Не, рано еще. Вылезли новые грабли.

Добавлено через 20 часов 16 минут
IPsec тоннель проработал где-то минут 50 после чего благополучно отвалился и больше не поднимался.

В керио в статусе интерфеса вновь замоячила ошибка "Ни один из предложенных криптографических пакетов не подходит".

Причем в разделе активные подключения хоста, видно что есть подключения к портам на которых работает IKE и IpSec. В логах присутствует ошибка с фразой "NO_PROPOSAL_CHOSEN", но сообщений о согласовании 1 фазы и методов шифрования нет (сами логи выложу чуть позже).

[mvitalya84]

Помогите пожалуйста подружить керио с 800 циской. Где какие настройки вбивать? Что то вообще не могу разобраться. Доступ к циске есть через SDM и по SSH.