Probleme Site2Site VPN

[21eddie]

Hallo,

wir haben Probleme bei der Installation eines Site2Site VPN's mit einem Netgear FVL 328 Router.
Das VPN lässt sich von Netgear => Checkpoint initiieren und läuft in dieser Richtung stabil.
Wenn wir aber versuchen von unserem Netz (CP NGX R62 => Netgear) eine Verbindung aufzubauen schlägt dieses fehl.
(Error: "Encryption failure: packet is dropped as there is no valid SA").
Wir haben schon die sk19599 und "VPN-1 VPN Interoperability document" umgesetzt.
Leider ohne Erfolg. Andere VPN's mit Cisco, Nortel, Lancom usw laufen ohne Probleme.

Hat jemand da draussen vielleicht die selben Erfahrungen gemacht? Und vielleicht eine Lösung?

Danke im vorraus!

[dantro]

Da gibts wohl Probleme bei Aufbau der VPN Phase 1 (IKE). Einfach mal VPN in Debug Mode setzen und schauen, was da schief läuft.

[tk176]

Ich würde auf unterschiedliche Subnetzmasken tippen. Bitte mal auf beiden Seiten die Enc Domänen prüfen.

Gruß Thorsten

[Yasushi Kono]

Originally Posted by 21eddie

Hallo,

wir haben Probleme bei der Installation eines Site2Site VPN's mit einem Netgear FVL 328 Router.
Das VPN lässt sich von Netgear => Checkpoint initiieren und läuft in dieser Richtung stabil.
Wenn wir aber versuchen von unserem Netz (CP NGX R62 => Netgear) eine Verbindung aufzubauen schlägt dieses fehl.
(Error: "Encryption failure: packet is dropped as there is no valid SA").
Wir haben schon die sk19599 und "VPN-1 VPN Interoperability document" umgesetzt.
Leider ohne Erfolg. Andere VPN's mit Cisco, Nortel, Lancom usw laufen ohne Probleme.

Hat jemand da draussen vielleicht die selben Erfahrungen gemacht? Und vielleicht eine Lösung?

Danke im vorraus!

Hallo,

kann es sein, dass in einem Standort mehrere Subnetze existieren mit benachbarten IP-Ranges? Sofern dies zutrifft, gibt es die Standardlösung, indem man den Parameter
"ike_use_largest_possible_subnets" auf "false" setzt und in user.def (bzw. $FWDIR/conf/user.def.NGX_R60) einen Eintrag der Form:

max_subnet_for_range={
<10.20.20.0, 10.20.20.255; 255.255.255.0>,
<10.20.21.0, 10.20.21.255; 255.255.255.0>,
};

vornimmt.

Sag' Bescheid, ob diese Lösung für Dich zutreffend war.

Viel Erfolg,
Yasushi

[RobertGraham]

Ich stimme dantro zu, ich wuerde mal vpn debug ikeon laufen lassen und dann in den $FWDIR/log/ike.elg schauen was los ist.

Wenn man einen SR# bei Check Point ernoeffnet, werden sie eh danach fragen.

Gruss,
Robert