https://kb.pocnet.net/index.php?action=history&feed=atom&title=IPSEC-VPN_Openswan_zu_IOS-Router
IPSEC-VPN Openswan zu IOS-Router - Versionsgeschichte
2026-05-16T07:55:58Z
Versionsgeschichte dieser Seite in Knowledgebase
MediaWiki 1.43.8
https://kb.pocnet.net/index.php?title=IPSEC-VPN_Openswan_zu_IOS-Router&diff=678&oldid=prev
PoC: PSK
2010-09-07T18:29:17Z
<p>PSK</p>
<p><b>Neue Seite</b></p><div>Dies ist eine Musterkonfiguration für ein Site2Site-VPN zwischen '''IOS-Router''' und '''Openswan''' (2.4.12) unter Linux mit Pre-Shared-Key.<br />
<br />
== Cisco IOS 12.4 ==<br />
crypto keyring mypsks<br />
pre-shared-key address 217.28.96.242 key oogaimu8iesh9haeShah5ahkaeyuphah<br />
!<br />
crypto isakmp policy 1<br />
encr 3des<br />
hash md5<br />
authentication pre-share<br />
group 2<br />
!<br />
crypto isakmp profile vgr-tunnels<br />
keyring mypsks<br />
match identity address 217.28.96.242 255.255.255.255<br />
!<br />
crypto ipsec transform-set 3des esp-3des esp-md5-hmac<br />
!<br />
crypto map vgr-ci 1 ipsec-isakmp<br />
set peer 217.28.96.242<br />
set transform-set 3des<br />
set isakmp-profile vgr-tunnels<br />
match address VGR-CI<br />
!<br />
interface Dialer1<br />
[…]<br />
crypto map vgr-ci<br />
!<br />
ip access-list extended NAT<br />
remark IPSEC-Tunnels muessen vom NAT ausgenommen werden<br />
deny ip 192.168.30.0 0.0.0.255 192.168.31.0 0.0.0.255<br />
permit ip 192.168.30.0 0.0.0.255 any<br />
!<br />
ip access-list extended VGR-CI<br />
permit ip 192.168.30.0 0.0.0.255 192.168.31.0 0.0.0.255<br />
<br />
== Cisco IOS 12.3 ==<br />
Bei IOS 12.3 muss zwingend der PFS-Parameter in der Cryptomap übergeben werden, bei 12.4 nicht.<br />
<br />
crypto map vpn 1 ipsec-isakmp <br />
[…]<br />
set pfs group2<br />
<br />
== Linux-Seite ==<br />
Beispiel anhand Openswan. Die Lifetimes sind auf die Defaults der Cisco-Seite angepasst.<br />
<br />
* ''/etc/ipsec.secrets'' (relevanter Ausschnitt):<br />
217.28.96.242 87.139.87.89 : PSK "oogaimu8iesh9haeShah5ahkaeyuphah"<br />
<br />
* ''/etc/ipsec.conf'' (relevanter Ausschnitt):<br />
conn ciscorouter<br />
right=%defaultroute<br />
rightsubnet=192.168.31.0/24<br />
left=87.139.87.89<br />
leftsubnet=192.168.30.0/24<br />
type=tunnel<br />
ike=3des-md5<br />
ikelifetime=24h<br />
esp=3des-md5<br />
keylife=1h<br />
compress=no<br />
authby=secret<br />
auto=start<br />
dpdaction=restart<br />
<br />
Danach muß die Konfiguration neu eingelesen und die Connection gestartet werden:<br />
ipsec auto --rereadall<br />
ipsec auto --up ciscorouter<br />
<br />
=== Debugging ===<br />
Auf Ciscoseite muß die Connection nach dem uppen angezeigt werden:<br />
ciscorouter#show crypto isakmp sa<br />
dst src state conn-id slot status<br />
87.139.88.81 217.28.99.242 QM_IDLE 20 0 ACTIVE<br />
<br />
Auf Leitrixseite taucht die Connection ebenfalls auf (Auszug aus ''ipsec auto --status''):<br />
000 "ci-vgr": ike_life: 86400s; ipsec_life: 3600s; rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0<br />
000 "ci-vgr": policy: PSK+ENCRYPT+TUNNEL+PFS+UP; prio: 24,32; interface: eth0; encap: esp;<br />
000 "ci-vgr": newest ISAKMP SA: #3; newest IPsec SA: #6; <br />
000 "ci-vgr": IKE algorithms wanted: 3DES_CBC(5)_000-MD5(1)-MODP1536(5), 3DES_CBC(5)_000-MD5(1)-MODP1024(2); flags=strict<br />
000 "ci-vgr": IKE algorithms found: 3DES_CBC(5)_192-MD5(1)_128-MODP1536(5), 3DES_CBC(5)_192-MD5(1)_128-MODP1024(2)<br />
000 "ci-vgr": IKE algorithm newest: 3DES_CBC_192-MD5-MODP1024<br />
000 "ci-vgr": ESP algorithms wanted: 3DES(3)_000-MD5(1); flags=strict<br />
000 "ci-vgr": ESP algorithms loaded: 3DES(3)_000-MD5(1); flags=strict<br />
000 "ci-vgr": ESP algorithm newest: 3DES_0-HMAC_MD5; pfsgroup=<Phase1><br />
000 #6: "ci-vgr":500 STATE_QUICK_I2 (sent QI2, IPsec SA established); EVENT_SA_REPLACE in 225s; newest IPSEC; eroute owner<br />
000 #6: "ci-vgr" esp.4c926aae@87.139.87.89 esp.fbd61652@217.28.96.242 tun.0@87.139.87.89 tun.0@217.28.96.242<br />
000 #3: "ci-vgr":500 STATE_MAIN_I4 (ISAKMP SA established); EVENT_SA_REPLACE in 83220s; newest ISAKMP; lastdpd=-1s(seq in:0 out:0)<br />
<br />
[[Kategorie:Cisco]]<br />
[[Kategorie:Linux]]<br />
[[Kategorie:Crypto]]<br />
[[Kategorie:Netzwerk]]<br />
[[Kategorie:Internet]]</div>
PoC