IPSec Tunnel - Site-to-Site

[Arthur Dam]

Hallo Community,

habe folgendes Problem, das ich im Moment nicht lösen kann:

Eine Site-to-Site Verbindung soll aufgebaut werden. Auf Seite A habe ich die Securepoint 2007 mit einer festen IP, auf der Seite B die Securepoint 2010 mit dynamischer IP (DynDNS-Konto wurde verknüpft, IP wird zu DynDNS übertragen)

Konfig auf Seite A:
Phase 1
Lokales Gateway: "defaultroute"
Lokale Gateway-ID: "ppp0"
Automatisch starten: "aktiviert"
Entfernter Host/Gateway: "beispiel.dyndns.org"
Entfernter Host/GatewayID: "@beispiel.dyndns.org"
DynDns Name: "aktiviert"

Konfig auf Seite B:
Phase 1
Lokales Gateway: "defaultroute"
Lokale Gateway-ID: "beispiel.dyndns.org"
Entfernter Host/Gateway: "feste.ip.adresse"
Entfernter Host/GatewayID: "feste.ip.adresse"

Leider kommt die Verbindung nicht zustande, wenn ich aber auf Seite A die IP eintrage, die vom DHCP zugewiesen wurde (Kabel Deutschland), steht der Tunnel.

Haben Sie eine Idee, wie ich die Verbindung zwischen "Feste-IP" und "DynDNS" herstellen kann??

[Erik]

Was sagt denn das Log? Hier wären beide Seiten interessant.
Speziell Meldungen wie "Invalid ID Information"

[Arthur Dam]

...gesagt, getan:

Auf Seite A bekomme ich die FM "INVALID_ID_INFORMATION to "IP-Adresse"
Auf Seite B die FM: ignoring informational payload "INVALID_ID_INFORMATION"

[carsten]

Hallo,

wurde auf beiden Seiten der Dienst IPSec neugestartet.

[Arthur Dam]

...ufff, nach dem neustart der ipsec-dienste auf beiden seiten steht der tunnel!
da speichert, aktualisiert und initiiert man alles...aber auf die dienste kommt man nicht.

vielen, vielen dank....jetzt warte ich noch bis sich die öff. IP ändert, der Tunnel sollte dann wieder aufgebaut werden...

[Arthur Dam]

Ich habe eine neue Frage zum o.g. Thema:

Gegeben ist eine Site-to-Site IP-Sec Verbindung (Seite A - feste IP, Seite B - DHCP von KabelDeutschland, DynDNS).

Auf der "Seite A" soll das entfernte Netz (Seite B) Zugriff auf SSH-Ports erhalten. Kann ich ein entferntes Netz anlegen und statt der IP den Hostnamen (DynDNS) angeben? Der Zugriff auf SSH soll ja nur der "Seite B" erlaubt werden und da ändert sich hin und wieder die öff. IP.

[Erik]

Netzwerkobjekte können nur mit IP-Adressen angelegt werden. Wenn Sie durch einen Tunnel kommunizieren haben Sie das Problem nicht. Im Tunnel selber ist die öffentliche IP ja vollkommen unwichtig.
Von daher verstehe ich das Problem nicht ganz.

[Arthur Dam]

Damit der Zugriff auf SSH auf "Seite A" funktioniert und sich nur auf Rechner, die über IPSec kommen, beschränkt müsste ich wohl auf "Seite A" ein Netzobjekt anlegen, welches sich in der Zone "IPSec" befindet und die Netzmaske des Internen Netzwerks auf "Seite B" hat...ist das richtig?

[Erik]

Korrekt. Auf Seite B wird die Regel natürlich mit umgedrehten IPs ebenfalls benötigt.