<HTML dir=ltr><HEAD><TITLE>RE: [Openswan Users] Getting there....</TITLE>
<META http-equiv=Content-Type content="text/html; charset=unicode">
<META content="MSHTML 6.00.6000.16608" name=GENERATOR></HEAD>
<BODY>
<DIV id=idOWAReplyText46315 dir=ltr>
<DIV dir=ltr><FONT color=#000000><FONT face=Arial size=2>I don't want to sound like a completely clueless noob, but I've only ever installed/updated stuff in Linux with apt.&nbsp; It appears that I am running OpenSwan 1:2.4.6+dfsg.2-1.1build2 but when I attempt to update/upgrade, I am told that there is nothing to update.&nbsp; I have the universe and multiverse repositories enabled but I'm guessing they don't contain the most up to date version of OpenSwan.&nbsp; Does anyone know a repository I could add to get it to work, or an alternative way to update my OpenSwan install?</FONT></FONT></DIV>
<DIV dir=ltr><FONT face=Arial size=2></FONT>&nbsp;</DIV>
<DIV dir=ltr><FONT face=Arial size=2>Thanks</FONT></DIV>
<DIV dir=ltr><FONT face=Arial size=2>-Chris</FONT></DIV></DIV>
<DIV dir=ltr><BR>
<HR tabIndex=-1>
<FONT face=Tahoma size=2><B>From:</B> Peter McGill [mailto:petermcgill@goco.net]<BR><B>Sent:</B> Fri 3/14/2008 5:00 PM<BR><B>To:</B> Chris Thomas; users@openswan.org<BR><B>Subject:</B> RE: [Openswan Users] Getting there....<BR></FONT><BR></DIV>
<DIV>
<P><FONT size=2>It seems like your packets never get from Ubuntu back to<BR>linksys. Try upgrading to the latest stable version,<BR>2.4.11 I believe at <A href="http://openswan.org/code/">http://openswan.org/code/</A><BR><BR>And since it didn't help, I suggest removing the leftnexthop line.<BR><BR>Peter McGill<BR><BR><BR>&gt; -----Original Message-----<BR>&gt; From: Chris Thomas [<A href="mailto:cthomas@harkinsbuilders.com">mailto:cthomas@harkinsbuilders.com</A>]<BR>&gt; Sent: March 14, 2008 4:28 PM<BR>&gt; To: petermcgill@goco.net; users@openswan.org<BR>&gt; Subject: RE: [Openswan Users] Getting there....<BR>&gt;<BR>&gt; Dang.&nbsp; I made the change, restarted the server and tried to<BR>&gt; establish the tunnel from the Linksys device again.&nbsp; I got<BR>&gt; this in my logs, which appears to be the same as before:<BR>&gt;<BR>&gt; Mar 14 16:19:13 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: ignoring unknown Vendor ID payload<BR>&gt; [4f4540454371496d7a684644]<BR>&gt; Mar 14 16:19:13 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: received Vendor ID payload [Dead Peer Detection]<BR>&gt; Mar 14 16:19:13 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: received Vendor ID payload [RFC 3947]<BR>&gt; meth=110, but port floating is off<BR>&gt; Mar 14 16:19:13 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: received Vendor ID payload<BR>&gt; [draft-ietf-ipsec-nat-t-ike-03] meth=108, but port floating is off<BR>&gt; Mar 14 16:19:13 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: received Vendor ID payload<BR>&gt; [draft-ietf-ipsec-nat-t-ike-02] meth=107, but port floating is off<BR>&gt; Mar 14 16:19:13 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: ignoring Vendor ID payload<BR>&gt; [draft-ietf-ipsec-nat-t-ike-00]<BR>&gt; Mar 14 16:19:13 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x #1: responding to Main Mode from unknown peer 66.225.x.x<BR>&gt; Mar 14 16:19:13 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x #1: transition from state STATE_MAIN_R0 to state<BR>&gt; STATE_MAIN_R1<BR>&gt; Mar 14 16:19:13 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x #1: STATE_MAIN_R1: sent MR1, expecting MI2<BR>&gt; Mar 14 16:19:23 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: ignoring unknown Vendor ID payload<BR>&gt; [4f4540454371496d7a684644]<BR>&gt; Mar 14 16:19:23 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: received Vendor ID payload [Dead Peer Detection]<BR>&gt; Mar 14 16:19:23 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: received Vendor ID payload [RFC 3947]<BR>&gt; meth=110, but port floating is off<BR>&gt; Mar 14 16:19:23 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: received Vendor ID payload<BR>&gt; [draft-ietf-ipsec-nat-t-ike-03] meth=108, but port floating is off<BR>&gt; Mar 14 16:19:23 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: received Vendor ID payload<BR>&gt; [draft-ietf-ipsec-nat-t-ike-02] meth=107, but port floating is off<BR>&gt; Mar 14 16:19:23 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: ignoring Vendor ID payload<BR>&gt; [draft-ietf-ipsec-nat-t-ike-00]<BR>&gt; Mar 14 16:19:23 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x #2: responding to Main Mode from unknown peer 66.225.x.x<BR>&gt; Mar 14 16:19:23 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x #2: transition from state STATE_MAIN_R0 to state<BR>&gt; STATE_MAIN_R1<BR>&gt; Mar 14 16:19:23 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x #2: STATE_MAIN_R1: sent MR1, expecting MI2<BR>&gt; Mar 14 16:19:43 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: ignoring unknown Vendor ID payload<BR>&gt; [4f4540454371496d7a684644]<BR>&gt; Mar 14 16:19:43 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: received Vendor ID payload [Dead Peer Detection]<BR>&gt; Mar 14 16:19:43 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: received Vendor ID payload [RFC 3947]<BR>&gt; meth=110, but port floating is off<BR>&gt; Mar 14 16:19:43 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: received Vendor ID payload<BR>&gt; [draft-ietf-ipsec-nat-t-ike-03] meth=108, but port floating is off<BR>&gt; Mar 14 16:19:43 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: received Vendor ID payload<BR>&gt; [draft-ietf-ipsec-nat-t-ike-02] meth=107, but port floating is off<BR>&gt; Mar 14 16:19:43 gatekeeper pluto[4146]: packet from<BR>&gt; 66.225.x.x:500: ignoring Vendor ID payload<BR>&gt; [draft-ietf-ipsec-nat-t-ike-00]<BR>&gt; Mar 14 16:19:43 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x #3: responding to Main Mode from unknown peer 66.225.x.x<BR>&gt; Mar 14 16:19:43 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x #3: transition from state STATE_MAIN_R0 to state<BR>&gt; STATE_MAIN_R1<BR>&gt; Mar 14 16:19:43 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x #3: STATE_MAIN_R1: sent MR1, expecting MI2<BR>&gt; Mar 14 16:20:23 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x #1: max number of retransmissions (2) reached STATE_MAIN_R1<BR>&gt; Mar 14 16:20:33 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x #2: max number of retransmissions (2) reached STATE_MAIN_R1<BR>&gt; Mar 14 16:20:53 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x #3: max number of retransmissions (2) reached STATE_MAIN_R1<BR>&gt; Mar 14 16:20:53 gatekeeper pluto[4146]: "pax_square"[1]<BR>&gt; 66.225.x.x: deleting connection "pax_square" instance with<BR>&gt; peer 66.225.x.x {isakmp=#0/ipsec=#0}<BR>&gt;<BR>&gt;<BR>&gt; Thanks<BR>&gt; -Chris<BR>&gt;<BR>&gt; -----Original Message-----<BR>&gt; From: Peter McGill [<A href="mailto:petermcgill@goco.net">mailto:petermcgill@goco.net</A>]<BR>&gt; Sent: Friday, March 14, 2008 3:54 PM<BR>&gt; To: Chris Thomas; users@openswan.org<BR>&gt; Subject: RE: [Openswan Users] Getting there....<BR>&gt;<BR>&gt; Hmm, I see that your lan (10.5..), not your wan (66.225..)<BR>&gt; is your default route. Since leftnexthop defaults to your<BR>&gt; default route, this might be your problem.<BR>&gt; I suggest setting the following in ipsec.conf<BR>&gt; conn central-site<BR>&gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; left=66.225.Ubuntu<BR>&gt; +&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; leftnexthop=66.225.Cisco2950<BR>&gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; leftsubnet=192.168.0.0/24<BR>&gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; leftsourceip=192.168.0.20<BR>&gt;<BR>&gt;<BR>&gt; Peter McGill<BR>&gt;&nbsp;<BR>&gt;<BR>&gt; &gt; -----Original Message-----<BR>&gt; &gt; From: Chris Thomas [<A href="mailto:cthomas@harkinsbuilders.com">mailto:cthomas@harkinsbuilders.com</A>]<BR>&gt; &gt; Sent: March 14, 2008 3:43 PM<BR>&gt; &gt; To: petermcgill@goco.net; users@openswan.org<BR>&gt; &gt; Subject: RE: [Openswan Users] Getting there....<BR>&gt; &gt;<BR>&gt; &gt; Good to hear my configs are OK, although I guess it would<BR>&gt; &gt; have been better if there was something wrong, so it would be<BR>&gt; &gt; easier to diagnose this.&nbsp;<BR>&gt; &gt;<BR>&gt; &gt; Yeah, my key is specified in that format and no, my Cisco<BR>&gt; &gt; router isn't NAT'ing or filtering any traffic.&nbsp; I'm stumped.<BR>&gt; &gt;<BR>&gt; &gt; My ipsec barf is attached, if anyone out there wants to<BR>&gt; &gt; really help me out.&nbsp; I really do appreciate the assistance<BR>&gt; &gt; here.&nbsp; Hopefully I (we) can get this up and running soon.<BR>&gt; &gt;<BR>&gt; &gt; Thanks very much, and have a great weekend.<BR>&gt; &gt; -Chris<BR>&gt; &gt;<BR>&gt; &gt; From: Peter McGill [<A href="mailto:petermcgill@goco.net">mailto:petermcgill@goco.net</A>]<BR>&gt; &gt; Sent: Friday, March 14, 2008 3:17 PM<BR>&gt; &gt; To: Chris Thomas; users@openswan.org<BR>&gt; &gt; Subject: RE: [Openswan Users] Getting there....<BR>&gt; &gt;<BR>&gt; &gt; I cannot find anything wrong with your setup.<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; Yes your correct the Ubuntu firewall is blocking/altering nothing.<BR>&gt; &gt; (This is as it should be if you turned it off.)<BR>&gt; &gt; When you get things working you should be able to turn the firewall<BR>&gt; &gt; back on, so long as it allows -p 50 and -p 17 -d 500<BR>&gt; inbound/outbound,<BR>&gt; &gt; and excludes your remote subnet from NAT MASQUERADE/SNAT.<BR>&gt; &gt; iptables -t nat -I POSTROUTING -d 192.168.36.0/24 -j ACCEPT<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; The pictures cleared a few questions up.<BR>&gt; &gt; Your linksys configs look just fine to me.<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; You put your key in the Ubuntu in /etc/ipsec.secrets, like<BR>&gt; this right?<BR>&gt; &gt; 66.225.UbuntuIP : PSK "my secret text key"<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; Your Cisco 2950 Series isn't by any chance firewall filtering or<BR>&gt; &gt; network address translating the IPSec traffic, or trying to<BR>&gt; &gt; intercept it?<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; My only other suggestion is to do an ipsec barf and post it's output<BR>&gt; &gt; to the list, in an attachment.<BR>&gt; &gt; Maybe someone else can see what your problem is.<BR>&gt; &gt; Best to post in plain text, not everyone can read html mail, and<BR>&gt; &gt; the list digests strip out html mail to links... which I<BR>&gt; never used to<BR>&gt; &gt; bother to read, others might do the same.<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; Peter McGill<BR>&gt; &gt; &nbsp;<BR>&gt; &gt;<BR>&gt; &gt; ________________________________________<BR>&gt; &gt; From: Chris Thomas [<A href="mailto:cthomas@harkinsbuilders.com">mailto:cthomas@harkinsbuilders.com</A>]<BR>&gt; &gt; Sent: March 14, 2008 2:19 PM<BR>&gt; &gt; To: users@openswan.org; petermcgill@goco.net<BR>&gt; &gt; Subject: RE: [Openswan Users] Getting there....<BR>&gt; &gt; Sorry about that.&nbsp; Here's the info:<BR>&gt; &gt;<BR>&gt; &gt; When I run the command you gave me below, I get this:<BR>&gt; &gt;<BR>&gt; &gt; root@gatekeeper:/home/administrator# iptables -t filter -L -n -v<BR>&gt; &gt; Chain INPUT (policy ACCEPT 0 packets, 0 bytes)<BR>&gt; &gt; &nbsp;pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination<BR>&gt; &gt;<BR>&gt; &gt; Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)<BR>&gt; &gt; &nbsp;pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination<BR>&gt; &gt;<BR>&gt; &gt; Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)<BR>&gt; &gt; &nbsp;pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination<BR>&gt; &gt; root@gatekeeper:/home/administrator# iptables -t nat -L -n -v<BR>&gt; &gt; Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)<BR>&gt; &gt; &nbsp;pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<BR>&gt; &gt;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;destination<BR>&gt; &gt;<BR>&gt; &gt; Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)<BR>&gt; &gt; &nbsp;pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination<BR>&gt; &gt;<BR>&gt; &gt; Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)<BR>&gt; &gt; &nbsp;pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination<BR>&gt; &gt; root@gatekeeper:/home/administrator# iptables -t mangle -L -n -v<BR>&gt; &gt; Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)<BR>&gt; &gt; &nbsp;pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;destination<BR>&gt; &gt;<BR>&gt; &gt; Chain INPUT (policy ACCEPT 0 packets, 0 bytes)<BR>&gt; &gt; &nbsp;pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination<BR>&gt; &gt;<BR>&gt; &gt; Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)<BR>&gt; &gt; &nbsp;pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;destination<BR>&gt; &gt;<BR>&gt; &gt; Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)<BR>&gt; &gt; &nbsp;pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp;&nbsp;&nbsp; source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination<BR>&gt; &gt;<BR>&gt; &gt; Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)<BR>&gt; &gt; &nbsp;pkts bytes target&nbsp;&nbsp;&nbsp;&nbsp; prot opt in&nbsp;&nbsp;&nbsp;&nbsp; out&nbsp;&nbsp; &nbsp;&nbsp;source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; destination<BR>&gt; &gt; root@gatekeeper:/home/administrator#<BR>&gt; &gt;<BR>&gt; &gt; I guess this is telling me that nothing is blocked and there<BR>&gt; &gt; are no rules?<BR>&gt; &gt;<BR>&gt; &gt; I am connecting through the internet.&nbsp; My company is actually<BR>&gt; &gt; the ISP for other companies in our building and the building<BR>&gt; &gt; next to us, so I am using a separate IP space outside of our<BR>&gt; &gt; network to put the Linksys box and set up my test remote<BR>&gt; &gt; site.&nbsp; My Linux server is using an IP in the same subnet as<BR>&gt; &gt; my Check Point firewall, but it is going "around" the<BR>&gt; &gt; firewall.&nbsp; To help explain all of this, I have thrown<BR>&gt; &gt; together a quick diagram of everything.&nbsp; You can access it<BR>&gt; &gt; here:&nbsp;<BR>&gt; &gt; <A href="http://www.imagehosting.com/show.php/1630007_OpenSwanDiagram.j">http://www.imagehosting.com/show.php/1630007_OpenSwanDiagram.j</A><BR>&gt; &gt; pg.html.&nbsp; If I have left something out, please let me know.<BR>&gt; &gt;<BR>&gt; &gt; The Ubuntu server and the Linksys router do indeed have their<BR>&gt; &gt; own external IP addresses.&nbsp; Here is my Linksys config:&nbsp;<BR>&gt; &gt; <A href="http://www.imagehosting.com/show.php/1630052_linksyscfgPage1.j">http://www.imagehosting.com/show.php/1630052_linksyscfgPage1.j</A><BR>&gt; &gt; pg.html and<BR>&gt; &gt; <A href="http://www.imagehosting.com/show.php/1630053_linksyscfgPage2.j">http://www.imagehosting.com/show.php/1630053_linksyscfgPage2.j</A><BR>&gt; &gt; pg.html.&nbsp;<BR>&gt; &gt;<BR>&gt; &gt; I am hoping these pics look OK.&nbsp; If you need me to provide<BR>&gt; &gt; additional information, please let me know.<BR>&gt; &gt;<BR>&gt; &gt; Thanks again for all of your help.<BR>&gt; &gt; -Chris<BR>&gt; &gt;<BR>&gt; &gt; From: Peter McGill [<A href="mailto:petermcgill@goco.net">mailto:petermcgill@goco.net</A>]<BR>&gt; &gt; Sent: Friday, March 14, 2008 12:50 PM<BR>&gt; &gt; To: Chris Thomas; users@openswan.org<BR>&gt; &gt; Subject: RE: [Openswan Users] Getting there....<BR>&gt; &gt;<BR>&gt; &gt; Firewall was merely a place to check, not guaranteed to be<BR>&gt; &gt; the problem.<BR>&gt; &gt; If you can get a console on your Ubuntu, you can check<BR>&gt; &gt; firewall with...<BR>&gt; &gt; iptables -t filter -L -n -v<BR>&gt; &gt; iptables -t nat -L -n -v<BR>&gt; &gt; iptables -t mangle -L -n -v<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; Are you connecting through the internet, or are you testing<BR>&gt; &gt; internally?<BR>&gt; &gt; Do both the Ubuntu server and linksys router have public<BR>&gt; &gt; internet ip addresses?<BR>&gt; &gt; (Not 172.16...172.32... or 10... or 192.168..., etc...)<BR>&gt; &gt; I cannot tell as you completely edited them from your posts.<BR>&gt; &gt; Next time try just masking the end like: 66.11.x.x<BR>&gt; &gt; Testing internally sometimes needs different settings than<BR>&gt; &gt; production internet.<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; Is linksys using DES or 3DES? Should be 3DES &amp; MD5 matching<BR>&gt; &gt; your openswan.<BR>&gt; &gt; Can you show us your linksys ipsec configuration?<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; Peter McGill<BR>&gt; &gt; &nbsp;<BR>&gt; &gt;<BR>&gt; &gt; ________________________________________<BR>&gt; &gt; From: users-bounces@openswan.org<BR>&gt; &gt; [<A href="mailto:users-bounces@openswan.org">mailto:users-bounces@openswan.org</A>] On Behalf Of Chris Thomas<BR>&gt; &gt; Sent: March 14, 2008 12:19 PM<BR>&gt; &gt; To: users@openswan.org<BR>&gt; &gt; Subject: Re: [Openswan Users] Getting there....<BR>&gt; &gt; OK, I have hit a brick wall here and it's getting a bit<BR>&gt; &gt; frustrating.&nbsp; I have disabled the Linux firewall and the<BR>&gt; &gt; Shoreline firewall on my server and I'm still getting the<BR>&gt; &gt; same error below when I attempt to establish the tunnel.&nbsp; Is<BR>&gt; &gt; this absolutely positively due to a firewall issue or is it<BR>&gt; &gt; possible that I've got something else incorrectly configured<BR>&gt; &gt; somewhere?&nbsp; I am fairly new to Linux so I am administering my<BR>&gt; &gt; Ubuntu server with Webmin.&nbsp; That is what I am using to verify<BR>&gt; &gt; that the firewall(s) are turned off.&nbsp;<BR>&gt; &gt;<BR>&gt; &gt; I have also disabled the firewall on the Linksys box and have<BR>&gt; &gt; examined it's logs.&nbsp; This is what shows up after I hit<BR>&gt; &gt; "connect" to initiate the tunnel:<BR>&gt; &gt;<BR>&gt; &gt; Mar 14 09:33:34 - [VPN Log]: "pax_square" #2: initiating Main Mode<BR>&gt; &gt; Mar 14 09:33:43 - [VPN Log]: initiate on demand from<BR>&gt; &gt; 192.168.36.100:0 to 192.168.0.30:0 proto=0 state: fos_start<BR>&gt; &gt; because: acquire<BR>&gt; &gt; Mar 14 09:34:44 - [VPN Log]: "pax_square" #2: max number of<BR>&gt; &gt; retransmissions (2) reached STATE_MAIN_I1. No response (or no<BR>&gt; &gt; acceptable response) to our first IKE message<BR>&gt; &gt; Mar 14 10:08:54 - [VPN Log]: "pax_square" #3: initiating Main Mode<BR>&gt; &gt; Mar 14 10:10:04 - [VPN Log]: "pax_square" #3: max number of<BR>&gt; &gt; retransmissions (2) reached STATE_MAIN_I1. No response (or no<BR>&gt; &gt; acceptable response) to our first IKE message<BR>&gt; &gt; Mar 14 10:53:58 - [VPN Log]: "pax_square" #4: initiating Main Mode<BR>&gt; &gt; Mar 14 10:55:08 - [VPN Log]: "pax_square" #4: max number of<BR>&gt; &gt; retransmissions (2) reached STATE_MAIN_I1. No response (or no<BR>&gt; &gt; acceptable response) to our first IKE message<BR>&gt; &gt;<BR>&gt; &gt; If it helps, this is my ipsec.conf file on the Ubuntu server<BR>&gt; &gt; running OpenSwan:<BR>&gt; &gt;<BR>&gt; &gt; version&nbsp;&nbsp; 2.0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; # conforms to second version of<BR>&gt; &gt; ipsec.conf specification<BR>&gt; &gt;<BR>&gt; &gt; config setup<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; interfaces=%defaultroute<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; uniqueids=yes<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; include /etc/ipsec.d/examples/no_oe.conf<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; conn pax_square<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; also=central-site<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; right=%any<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; rightid=@pax_square<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; rightsubnet=192.168.36.0/24<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; also=linksys-policy<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; auto=add<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; conn central-site<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; left=(external IP of Linux server)<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; leftsubnet=192.168.0.0/24<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; leftsourceip=192.168.0.20<BR>&gt; &gt;<BR>&gt; &gt; conn linksys-policy<BR>&gt; &gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;ike=3des-md5-modp1024<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; esp=3des-md5&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; compress=no<BR>&gt; &gt; &nbsp;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;authby=secret<BR>&gt; &gt;<BR>&gt; &gt;<BR>&gt; &gt; If it's definitely the firewall, I'll go back to the drawing<BR>&gt; &gt; board and see what I can see.<BR>&gt; &gt;<BR>&gt; &gt; As before, I appreciate the help and patience.<BR>&gt; &gt; Thanks<BR>&gt; &gt; -Chris<BR>&gt; &gt;<BR>&gt; &gt;<BR>&gt; &gt;<BR>&gt; &gt;<BR>&gt; &gt; From: Peter McGill [<A href="mailto:petermcgill@goco.net">mailto:petermcgill@goco.net</A>]<BR>&gt; &gt; Sent: Thursday, March 13, 2008 4:14 PM<BR>&gt; &gt; To: Chris Thomas; users@openswan.org<BR>&gt; &gt; Subject: RE: [Openswan Users] Getting there....<BR>&gt; &gt;<BR>&gt; &gt; Check your firewall(s) on both ends, and check the linksys logs.<BR>&gt; &gt; You must allow ipsec (and ipsec encapsulated traffic)&nbsp;in your<BR>&gt; &gt; firewalls.<BR>&gt; &gt; protocol&nbsp;&nbsp;&nbsp; port&nbsp;&nbsp;&nbsp; description<BR>&gt; &gt; 17&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 500&nbsp;&nbsp;&nbsp; udp:isakmp<BR>&gt; &gt; 50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;esp<BR>&gt; &gt; You must allow the above inbound and outbound on your<BR>&gt; &gt; internet interfaces.<BR>&gt; &gt; You must also allow the subnet-to-subnet traffic.<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; Peter McGill<BR>&gt; &gt; &nbsp;<BR>&gt; &gt;<BR>&gt; &gt; ________________________________________<BR>&gt; &gt; From: users-bounces@openswan.org<BR>&gt; &gt; [<A href="mailto:users-bounces@openswan.org">mailto:users-bounces@openswan.org</A>] On Behalf Of Chris Thomas<BR>&gt; &gt; Sent: March 13, 2008 4:06 PM<BR>&gt; &gt; To: users@openswan.org<BR>&gt; &gt; Subject: Re: [Openswan Users] Getting there....<BR>&gt; &gt; OK, I changed my Linksys box to 1024 bit and I now have this:<BR>&gt; &gt;<BR>&gt; &gt; Mar 13 16:01:48 gatekeeper pluto[11850]: packet from (remote<BR>&gt; &gt; site IP):500: ignoring unknown Vendor ID payload<BR>&gt; &gt; [4f4540454371496d7a684644]<BR>&gt; &gt; Mar 13 16:01:48 gatekeeper pluto[11850]: packet from (remote<BR>&gt; &gt; site IP):500: received Vendor ID payload [Dead Peer Detection]<BR>&gt; &gt; Mar 13 16:01:48 gatekeeper pluto[11850]: packet from (remote<BR>&gt; &gt; site IP):500: received Vendor ID payload [RFC 3947] meth=110,<BR>&gt; &gt; but port floating is off<BR>&gt; &gt; Mar 13 16:01:48 gatekeeper pluto[11850]: packet from (remote<BR>&gt; &gt; site IP):500: received Vendor ID payload<BR>&gt; &gt; [draft-ietf-ipsec-nat-t-ike-03] meth=108, but port floating is off<BR>&gt; &gt; Mar 13 16:01:48 gatekeeper pluto[11850]: packet from (remote<BR>&gt; &gt; site IP):500: received Vendor ID payload<BR>&gt; &gt; [draft-ietf-ipsec-nat-t-ike-02] meth=107, but port floating is off<BR>&gt; &gt; Mar 13 16:01:48 gatekeeper pluto[11850]: packet from (remote<BR>&gt; &gt; site IP):500: ignoring Vendor ID payload<BR>&gt; &gt; [draft-ietf-ipsec-nat-t-ike-00]<BR>&gt; &gt; Mar 13 16:01:48 gatekeeper pluto[11850]: "pax_square"[5]<BR>&gt; &gt; (remote site IP) #9: responding to Main Mode from unknown<BR>&gt; &gt; peer (remote site IP)<BR>&gt; &gt; Mar 13 16:01:48 gatekeeper pluto[11850]: "pax_square"[5]<BR>&gt; &gt; (remote site IP) #9: transition from state STATE_MAIN_R0 to<BR>&gt; &gt; state STATE_MAIN_R1<BR>&gt; &gt; Mar 13 16:01:48 gatekeeper pluto[11850]: "pax_square"[5]<BR>&gt; &gt; (remote site IP) #9: STATE_MAIN_R1: sent MR1, expecting MI2<BR>&gt; &gt; Mar 13 16:02:28 gatekeeper pluto[11850]: "pax_square"[5]<BR>&gt; &gt; (remote site IP) #7: max number of retransmissions (2)<BR>&gt; &gt; reached STATE_MAIN_R1<BR>&gt; &gt;<BR>&gt; &gt; Thanks<BR>&gt; &gt; -Chris<BR>&gt; &gt;<BR>&gt; &gt;<BR>&gt; &gt; From: Peter McGill [<A href="mailto:petermcgill@goco.net">mailto:petermcgill@goco.net</A>]<BR>&gt; &gt; Sent: Thursday, March 13, 2008 3:50 PM<BR>&gt; &gt; To: Chris Thomas; users@openswan.org<BR>&gt; &gt; Subject: RE: [Openswan Users] Getting there....<BR>&gt; &gt;<BR>&gt; &gt; There is a mismatch in your options, specifically your<BR>&gt; DH/modp Group.<BR>&gt; &gt; Diffie-Hellman (DH) Group needs to match openswan's ike=*-modp????<BR>&gt; &gt; I'm guessing that your linksys is sending Diffie-Hellmen (DH)<BR>&gt; &gt; Group 1 (768-bit).<BR>&gt; &gt; Openswan will not allow this because it's too weak of security.<BR>&gt; &gt; If you have ike=3des-md5-modp1024 or ike=aes-sha1-modp1024 as<BR>&gt; &gt; I suggested,<BR>&gt; &gt; then change your linksys to use Group 2 (1024-bit) to match it.<BR>&gt; &gt; &nbsp;<BR>&gt; &gt; Peter McGill<BR>&gt; &gt; &nbsp;<BR>&gt; &gt;<BR>&gt; &gt; ________________________________________<BR>&gt; &gt; From: users-bounces@openswan.org<BR>&gt; &gt; [<A href="mailto:users-bounces@openswan.org">mailto:users-bounces@openswan.org</A>] On Behalf Of Chris Thomas<BR>&gt; &gt; Sent: March 13, 2008 3:40 PM<BR>&gt; &gt; To: users@openswan.org<BR>&gt; &gt; Subject: [Openswan Users] Getting there....<BR>&gt; &gt; Hello again, everyone.&nbsp; I have configured my Linksys box to<BR>&gt; &gt; connect to my Ubuntu server running OpenSwan, but when I<BR>&gt; &gt; attempt to initiate the connection, my logs on the server at<BR>&gt; &gt; HQ get full of this stuff:<BR>&gt; &gt;<BR>&gt; &gt;<BR>&gt; &gt; Mar 13 15:31:54 gatekeeper pluto[11850]: packet from (remote<BR>&gt; &gt; site external IP):500: ignoring unknown Vendor ID payload<BR>&gt; &gt; [4f4540454371496d7a684644]<BR>&gt; &gt; Mar 13 15:31:54 gatekeeper pluto[11850]: packet from (remote<BR>&gt; &gt; site external IP):500: received Vendor ID payload [Dead Peer<BR>&gt; &gt; Detection]<BR>&gt; &gt; Mar 13 15:31:54 gatekeeper pluto[11850]: packet from (remote<BR>&gt; &gt; site external IP):500: received Vendor ID payload [RFC 3947]<BR>&gt; &gt; meth=110, but port floating is off<BR>&gt; &gt; Mar 13 15:31:54 gatekeeper pluto[11850]: packet from (remote<BR>&gt; &gt; site external IP):500: received Vendor ID payload<BR>&gt; &gt; [draft-ietf-ipsec-nat-t-ike-03] meth=108, but port floating is off<BR>&gt; &gt; Mar 13 15:31:54 gatekeeper pluto[11850]: packet from (remote<BR>&gt; &gt; site external IP):500: received Vendor ID payload<BR>&gt; &gt; [draft-ietf-ipsec-nat-t-ike-02] meth=107, but port floating is off<BR>&gt; &gt; Mar 13 15:31:54 gatekeeper pluto[11850]: packet from (remote<BR>&gt; &gt; site external IP):500: ignoring Vendor ID payload<BR>&gt; &gt; [draft-ietf-ipsec-nat-t-ike-00]<BR>&gt; &gt; Mar 13 15:31:54 gatekeeper pluto[11850]: "pax_square"[1]<BR>&gt; &gt; (remote site external IP) #1: responding to Main Mode from<BR>&gt; &gt; unknown peer (remote site external IP)<BR>&gt; &gt; Mar 13 15:31:54 gatekeeper pluto[11850]: "pax_square"[1]<BR>&gt; &gt; (remote site external IP) #1: only OAKLEY_GROUP_MODP1024 and<BR>&gt; &gt; OAKLEY_GROUP_MODP1536 supported.&nbsp; Attribute OAKLEY_GROUP_DESCRIPTION<BR>&gt; &gt; Mar 13 15:31:54 gatekeeper pluto[11850]: "pax_square"[1]<BR>&gt; &gt; (remote site external IP) #1: no acceptable Oakley Transform<BR>&gt; &gt; Mar 13 15:31:54 gatekeeper pluto[11850]: "pax_square"[1]<BR>&gt; &gt; (remote site external IP) #1: sending notification<BR>&gt; &gt; NO_PROPOSAL_CHOSEN to (remote site external IP):500<BR>&gt; &gt; Mar 13 15:31:54 gatekeeper pluto[11850]: "pax_square"[1]<BR>&gt; &gt; (remote site external IP): deleting connection "pax_square"<BR>&gt; &gt; instance with peer (remote site external IP) {isakmp=#0/ipsec=#0}<BR>&gt; &gt;<BR>&gt; &gt; I am assuming that it has something to do with the Preshared<BR>&gt; &gt; key that I am using, but I am not too sure how to go about<BR>&gt; &gt; fixing it.&nbsp; I do not want to be a nuisance, but can anyone<BR>&gt; &gt; give me a (another) push in the right direction?&nbsp;<BR>&gt; &gt;<BR>&gt; &gt; I appreciate your patience.<BR>&gt; &gt; -Chris<BR>&gt; &gt;<BR>&gt;<BR><BR></FONT></P></DIV></BODY></HTML>