🚀 go-pugleaf

On 18.04.2014 15:36, MaRc wrote:
> dodam jeszcze, że problem mam bez natu. za natem działa dobrze (łącze
> się w domu i jestem za routerem). Jeśli przełączam się na aero2 to
> połączenie jest nawiązywane ale po około minucie brak transmisji.
> tcpdump pokazuje, ze pakiety ESP lecą, ale brak ruchu na porcie 500.
> co dziwne, sesje nie są zrywane.
> 
> pomoże ktoś?

Siema

Sprawdź dobrze tcpdumpa po stronie andorida i po stronie serwera.
Pakiety ESP niejednokrotnie są w sieciach komórkowych blokowane.
Ja staram się wymuszać NAT-T, żeby encapsulować w UDP i wogóle ESP pominąć.

Sprawdź też MTU, żeby było wystrczająco niskie, masz ppp over l2tp over ipsec over UDP
najczęściej, i co za tym idzie spory narzut na nagłówki. Sobie ustawiłem "na pałę" 1200,
być może można wyżej, nie testowałem.


Zrzut z moich konfigów, robie autoryzacja w serwerze samby, pewnie to pominiesz,
ale do tego co niżej kernel musi być z pathami SAref (działa też wtedy kilku klientów zza jednego nata ) :
https://github.com/xelerance/Openswan/wiki/Building-and-installing-an-saref-capable-klips-version-for-ubuntu-precise

/etc/ipsec.conf:

config setup
        nat_traversal=yes
        virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12
        oe=off
        protostack=mast
        interfaces="%defaultroute"

conn vpn1
        overlapip=yes
        sareftrack=yes
        type=transport
        leftnexthop=%defaultroute
        left=11.22.33.44
        right=%any
        rekey=no
        keyingtries=3
        pfs=no
        leftprotoport=17/1701
        rightprotoport=17/%any
        authby=secret
        auto=add
        rightsubnet=vhost:%priv,%no
conn vpn2
        overlapip=yes
        sareftrack=yes
        type=transport
        leftnexthop=%defaultroute
        left=11.22.33.45
        right=%any
        rekey=no
        keyingtries=3
        pfs=no
        leftprotoport=17/1701
        rightprotoport=17/%any
        authby=secret
        auto=add
        rightsubnet=vhost:%priv,%no

.... ( itd , mam kilka ip z vpn dla roznch grupek ludzi )

/etc/xl2tpd/xl2tpd.vpn1.conf:
[global]
listen-addr = 11.22.33.44
ipsec saref = yes
[lns default]
name = OpenswanVPN
assign ip = yes
ip range = 192.168.194.2-192.168.194.200
local ip = 192.168.194.1
refuse chap = yes
refuse pap = yes
require authentication = yes
ppp debug = yes
pppoptfile = /etc/ppp/options.xl2tpd.vpn1
length bit = yes

/etc/ppp/options.xl2tpd.vpn1:
name l2tp
ipcp-accept-local
ipcp-accept-remote
ms-dns  192.168.193.2
ms-wins 192.168.193.2
noccp
auth
crtscts
idle 1800
mtu 1200
mru 1200
nodefaultroute
debug
lock
proxyarp
connect-delay 5000
require-mschap-v2
plugin winbind.so
ntlm_auth-helper '/usr/bin/ntlm_auth --helper-protocol=ntlm-server-1 --require-membership-of="MSDomain\\GroupOfUsers"'



-- 
  MG