LINUX.ORG.RU
Форум — Admin  

Roadwarrior на StrongSwan и Cisco VPN gateway c авторизацией по токену.

 , ,


1

2

Доброе время суток, уважаемые форумчане.

Есть настроенный Cisco VPN Client под оффтопиком, успешно соединяется.

Схема такова: <рабстанция> - <Подсеть моего предприятия >-<Шлюз предприятия> -<Интернет>-<VPN gateway>-<подсеть заказчика>

Цель - настроить аналогично в Linux

Доступ к «правой» стороне (которая циска) отсутствует, это админы телекома («Машинно-Тракторная Станция»).

Ситуация осложняется тем, что клиент авторизуется по токену, но, к счастью, вендор успел запилить драйвера, под пару дистрибутивов Linux

Удалось, судя мо моему логу подключения, настроить только «Фазу 1», на «Фазе 2» всё наглухо виснет. Пробовал 100500 разных параметров, особых изменений это не принесло.

Вот тут лог подключения, снятый оффтопным Cisco VPN Client с максимальным дебагом. (юзернем изменён :) ) http://pastebin.com/zwDPp7S5

ниже будет доп. инфа.

← Визуализация логов сквида
Debian. Shell in a Box →

вот конфиг с моей стороны по мотивам лога и дампа wireshark: 

config setup
	plutodebug=all
	cachecrls=yes
	nat_traversal=yes
	crlcheckinterval=600
	charonstart=yes
	plutostart=yes
	pkcs11module=/usr/lib/libeTPkcs11.so

conn mts
	keyexchange=ikev1
	right=vpns.mts.ru
	rightid="C=RU, O=Mobile TeleSystems OJSC, OU=IT, CN=vpns.mts.ru"
	rightcert=mts_vpn_new.pem
	modeconfig = pull
	ikelifetime=32s
	ike=aes128-sha1-modp1024
	left=%defaultroute
	leftcert=%smartcard
	auto=add

Flammpanzer
() автор топика
Ответ на: комментарий от val-amart

Как я понял, AnyConnect использует SSL, а у нас именно IPSec

Вспомнил слова одного сотрудника МТС-а, что ему на Убунте удалось это настроить, но во-первых, я не знаю как его зовут, во вторых, тогда у нас была какая-то смарт-карта, которая под линуксом не поддерживается вообще, официальная версия максимум под оффтопик-2001

Сейчас же токен имеет пусть проприетарные дрова, но вполне себе рабочие.

Flammpanzer
() автор топика
Ответ на: комментарий от Flammpanzer

Есть дамп Cisco VPN Client силами Wireshark, но я его очкую выкладывать в паблик :)

Если есть интересующиеся, могу скинуть приватно.

Flammpanzer
() автор топика
19 июля 2014 г.

Если еще кому-либо актуально, эти хорьки кроме RSA еще используют XAuth. Соответственно в конфиг нужно добавить leftauth2=xauth Я еще в ipsec.secrets добавил строчку:

: XAUTH

но не уверен, что это необходимо.

anonymous
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Визуализация логов сквида
Admin
Debian. Shell in a Box →