USG ipsec VPN niet automatisch

Heb je problemen met het instellen van je netwerk, bedraad of draadloos, dan kan je hier altijd terecht!
Plaats reactie
blaatpraat
Elite Poster
Elite Poster
Berichten: 1401
Lid geworden op: 10 jan 2014, 12:09
Uitgedeelde bedankjes: 34 keer
Bedankt: 111 keer

Ik heb een Unifi Security Gateway, en die heeft een ipsec VPN naar een AWS VPC.
Deze tunnel werkt perfect.

Nu is het probleem: als de USG aangezet wordt, komt de tunnel niet op.
Ik moet effectief SSH'en naar het toestel en "sudo ipsec up <naam>" uitvoeren voordat de tunnel gefixt wordt.

Die tunnel heeft als bedoeling dat ik vanop afstand toegang heb tot het netwerk, maar op de plaats waar dit netwerk staat zit ik achter NAT, en geen mogelijkheid tot port forwarden, dus laat ik de USG de VPN maar opbouwen in plaats van omgekeerd.
Aangezien ik normaal niet meer op die locatie zal komen, en ik niet kan garanderen dat er daar nooit spanningsproblemen zullen zijn, zou het toch wel ideaal zijn als een USG de tunnel automatisch zou opstarten.

Iemand een idee?
Gebruikersavatar
Sasuke
userbase crew
userbase crew
Berichten: 5733
Lid geworden op: 13 aug 2003, 20:25
Locatie: Vlaanderen
Uitgedeelde bedankjes: 250 keer
Bedankt: 550 keer
Recent bedankt: 6 keer
Provider
Te Koop forum

Is het niet zo dat die tunnel pas auto established wanneer er traffiek op de policy komt ? Doe eens een continuous ping naar iets aan de andere kant, reboot dan gelijkertijd de USG. Als de tunnel dan nog niet online komt schort er iets aan de config of heb je een of andere bug
Who the fxxk is General Failure and why is he reading my hard disk ?
Afbeelding
blaatpraat
Elite Poster
Elite Poster
Berichten: 1401
Lid geworden op: 10 jan 2014, 12:09
Uitgedeelde bedankjes: 34 keer
Bedankt: 111 keer

Hmmmz, juist ja, dat heb ik ooit eens gelezen toen ik mij wou verdiepen in VPN's voor de Unifi reeks.

Eens zien wat ik kan gebruiken om te pingen, enige waar ik zekerheid over kan hebben in dit geval, zal de USG zelf zijn, of een Unifi 8p switch, geen end-device alvast.
Eens zien of ik die switch niets laten uitvoeren als heartbeat.
Gebruikersavatar
devilkin
Administrator
Administrator
Berichten: 6977
Lid geworden op: 17 mei 2006, 20:10
Uitgedeelde bedankjes: 1066 keer
Bedankt: 674 keer
Recent bedankt: 8 keer
Provider
Te Koop forum

Zie ook dat je op een recente firmware zit, in het verleden zijn er wel al eens vodden mee geweest...

Sent from my ONEPLUS A6003 using Tapatalk
Telenet All-Internet -- using CV8560E & OPNsense on PCEngines APU2E4
Proximus & Mobile Vikings -- Using OnePlus 8 Pro (ROM: Stock)
iamborg
Pro Member
Pro Member
Berichten: 299
Lid geworden op: 23 dec 2005, 18:47
Uitgedeelde bedankjes: 55 keer
Bedankt: 51 keer

De USG heeft standaard geen DPD (dead peer detection). Of tenminste, die is er wel maar kan je niet in de GUI instellen.
De DPD zorgt ervoor dat wanneer om één of andere reden de tunnel down gaat, de USG deze automatisch terug opbouwt. Dit zorgt ervoor dat je tunnel steeds open blijft.

Je kan het config.gateway.json bestand aanpassen en daar de DPD in toevoegen.

Meer info hier: https://help.ubnt.com/hc/en-us/articles ... -Detection

Greetz

P.
ITnetadmin
userbase crew
userbase crew
Berichten: 9523
Lid geworden op: 28 jan 2012, 18:22
Uitgedeelde bedankjes: 241 keer
Bedankt: 761 keer
Recent bedankt: 4 keer

Van wat ik terugvind, is er geen keepalive op de usg.
Maw de tunnel sterft en bouwt terug op als er traffic is.
Dus ofwel een manier vinden om een keepalive te doen, ofwel een toestel erachter plaatsen dat af en toe die keepalive doet, ofwel een andere router.
iamborg
Pro Member
Pro Member
Berichten: 299
Lid geworden op: 23 dec 2005, 18:47
Uitgedeelde bedankjes: 55 keer
Bedankt: 51 keer

@ITnetadmin: Keepalive of DPD... What's in a name. Het resultaat is hetzelfde. Mocht de tunnel uitvallen, wordt die terug opgebouwd (hoewel keepalive een iets andere werking heeft, die gooit gewoon constant traffic op de lijn om zo open te houden)

Oplossing staat hier al gegeven: config.gateway.json aanpassen. Keepalive (of DPD) zit er wél in, je kan het alleen niet instellen via de GUI.

P.
blaatpraat
Elite Poster
Elite Poster
Berichten: 1401
Lid geworden op: 10 jan 2014, 12:09
Uitgedeelde bedankjes: 34 keer
Bedankt: 111 keer

DPD heeft helaas niet geholpen.
Wellicht werkt dit wel als de tunnel sluit om zichzelf te herstellen, maar niet als het device boot.

Ik heb uiteindelijk een manier gevonden om de gateway te laten pingen:

Scriptje gemaakt, en opslagen in de /config folder:

Code: Selecteer alles

#!/bin/bash

/bin/ping -c 3 -W 2 192.168.150.94 1>/dev/null 2>&1

if [ $? -ne 0 ]; then
        echo "Failed"
        /bin/vbash -ic 'restart vpn'
fi
En met volgende 2 commando's (die je ook in de config json kan opslaan, en zo kan laten persisteren) wordt het getriggerd:
set system task-scheduler task vpncheck executable path /config/scripts/vpncheck.sh
set system task-scheduler task vpncheck interval 1m
Plaats reactie

Terug naar “Netwerken en Security”