14
IPSec zwischen SLES und Windows Server 2012 R2- Wie IDLE-Timeout erhöhen?
Hallo werte Kollegen,
derzeit bin ich dabei eine vernünftige IPSec-Kommunikation zwischen SLES12 (mit Strongswan) und Server2012 R2 zu konfigurieren.
Das funktioniert prinzipiell auch ganz gut bis auf eine Ausnahme!
Nach exakt 5 Min / 300 Sekunden wird die Child-SA , wenn kein Netzwerkverkehr in der Zeit kam, laut TCPDump, von der Linux-Seite verworfen.
In Windows ist dieses Timeout aber auch auf 300 Sekunden eingestellt.
Man kann dies mit dem Powershell-Befehl "get-NetIpsecQuickModeSA" und der Eigenschaft "IdleDurationSeconds" mit dem Wert "300 Sekunden" entsprechend nachvollziehen.
Bei Strongswan kann man diesen Timeout nach belieben und ohne Probleme einstellen.
Meine Frage: Wie kann ich in Windows diesen Time erhöhen? Oder gar besser: Wie kann ich dafür sorgen dass die Child-SA´s erneut ausgehandelt werden?
Danke und Gruß
derzeit bin ich dabei eine vernünftige IPSec-Kommunikation zwischen SLES12 (mit Strongswan) und Server2012 R2 zu konfigurieren.
Das funktioniert prinzipiell auch ganz gut bis auf eine Ausnahme!
Nach exakt 5 Min / 300 Sekunden wird die Child-SA , wenn kein Netzwerkverkehr in der Zeit kam, laut TCPDump, von der Linux-Seite verworfen.
In Windows ist dieses Timeout aber auch auf 300 Sekunden eingestellt.
Man kann dies mit dem Powershell-Befehl "get-NetIpsecQuickModeSA" und der Eigenschaft "IdleDurationSeconds" mit dem Wert "300 Sekunden" entsprechend nachvollziehen.
Bei Strongswan kann man diesen Timeout nach belieben und ohne Probleme einstellen.
Meine Frage: Wie kann ich in Windows diesen Time erhöhen? Oder gar besser: Wie kann ich dafür sorgen dass die Child-SA´s erneut ausgehandelt werden?
Danke und Gruß
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 330643
Url: https://administrator.de/forum/ipsec-zwischen-sles-und-windows-server-2012-r2-wie-idle-timeout-erhoehen-330643.html
Ausgedruckt am: 23.12.2024 um 14:12 Uhr
14 Kommentare
Neuester Kommentar
Was mal spannend wäre wie Windows eine native IPsec Konfig behandelt. Normal kann Windows das nicht, da sie nur L2TP supporten. Obwohl hier schon mehrfach behauptet wurde das mit aktuellen Versionen nun auch native IPsec klappen soll.
Wäre mal interessant wenn du dazu Infos hast.
Deine Timeout Problematik ist in der Tat eine keepalive Problematik oder sehr wahrscheinlich die des Schlüsselprotokolls, das die nicht gleich ist auf beiden Seiten. Ist das der Fall kommt es zu genau diesen Abbrüchen.
Das sind wie du schon vermutest nicht identische Timer Settings.
Wäre mal interessant wenn du dazu Infos hast.
Deine Timeout Problematik ist in der Tat eine keepalive Problematik oder sehr wahrscheinlich die des Schlüsselprotokolls, das die nicht gleich ist auf beiden Seiten. Ist das der Fall kommt es zu genau diesen Abbrüchen.
Das sind wie du schon vermutest nicht identische Timer Settings.
Hallo Aqui,
der Schlüsselaustausch erfolgt über IKEv2. Die Parent-SA wird erfolgreich ausgehandelt und ich kann verschlüsselt mit dem Linux-Server kommunizieren. Es betrifft offenbar nur diese Child-SA... Wenn die Keylifetime (3h) erreicht ist wird ein neuer Parent-SA ausgehandelt und ich kann wieder verschlüsselt kommunizieren (zumindest solange bis mal 5 minuten kein Traffic lief).
Info: Die Windowsseitige Konfiguration besteht nur aus einer Connection Security Rule. Über Powershell wurde für die Rule IKEv2 aktiviert.
der Schlüsselaustausch erfolgt über IKEv2. Die Parent-SA wird erfolgreich ausgehandelt und ich kann verschlüsselt mit dem Linux-Server kommunizieren. Es betrifft offenbar nur diese Child-SA... Wenn die Keylifetime (3h) erreicht ist wird ein neuer Parent-SA ausgehandelt und ich kann wieder verschlüsselt kommunizieren (zumindest solange bis mal 5 minuten kein Traffic lief).
Info: Die Windowsseitige Konfiguration besteht nur aus einer Connection Security Rule. Über Powershell wurde für die Rule IKEv2 aktiviert.
Kannst du einen Link Keepalive beidseitg aktivieren ? Würde ja ggf. das Problem fixen wenn es nur ein Idle Timeout ist.
Ist das unter Windows Server möglich? Wenn ja wie?
Danke für den Vorschlag
Danke für den Vorschlag
Das kann ich auch nicht sagen. Das war als Frage formuliert, da es ja bei Linux und allen bekannten VPN Routern funktioniert um die Letung bzw. den Tunnel bei getakteten Leitungen offenzuhalten.
Wieso ist dieser ganze IPSec-Kram auch nur so beschissen dokumentiert. Man könnte meinen Microsoft macht das absichtlich.
Microsoft sowieso. Für die ist IPsec jahrzehntelang kein Thema gewesen.
Kein Wunder also....
Kein Wunder also....
Naja. Wenn man bedenkt dass MS das RFC für IKEv2 geschrieben hat, ist das schon sehr verwunderlich!
Es ist vollbracht!
Entegegen Microsoft´s Meinung dass die Powershell "Netsh" ab 2012 R2 ablöst, konnte es "Netsh" richten.
Folgender Befehl regelt das Timeout:
"netsh advfirewall set global ipsec saidletimemin <minutes>"
Gruß
Marcus
Entegegen Microsoft´s Meinung dass die Powershell "Netsh" ab 2012 R2 ablöst, konnte es "Netsh" richten.
Folgender Befehl regelt das Timeout:
"netsh advfirewall set global ipsec saidletimemin <minutes>"
Gruß
Marcus
Cool ! Das ist doch mal eine sehr gute Information.
Interessant wäre mal wie du genau den native IPsec Zugriff aus Windows geregelt hast. Ist das rein auf Powershell / Netsh Basis gemacht oder kommt man da auch über das Windows GUI zum Ziel ??
Das wäre mal sehr spannend zu wissen, denn die Anforderung eine native IPsec Verbindung auf VPN Firewalls oder Router zu etablieren kommt hier gefühlte 3mal am Tag und bis dato war ja immer Fakt das MS nur PPTP, SSTP und L2TP kann aber kein native IPsec
Interessant wäre mal wie du genau den native IPsec Zugriff aus Windows geregelt hast. Ist das rein auf Powershell / Netsh Basis gemacht oder kommt man da auch über das Windows GUI zum Ziel ??
Das wäre mal sehr spannend zu wissen, denn die Anforderung eine native IPsec Verbindung auf VPN Firewalls oder Router zu etablieren kommt hier gefühlte 3mal am Tag und bis dato war ja immer Fakt das MS nur PPTP, SSTP und L2TP kann aber kein native IPsec
Hey Aqui,
das ist gar nicht so kompliziert wie man vielleicht meinen würde.
Auf der Windowsseite öffnet du die Advanced Firewall Setting und richtest eine neue Connection Security Rule ein. Weitere Einstellungen muss man in den Firewalleinstellungen übernehmen wie diverse IKE Timeouts und Proposals. Diese müssen konform zur Linuxseite (hier mit Strongswan getestet) sein.
Wichtig ist, insofern man IKEv2 verwenden möchte, dass die Connection Security Rule NACHDEM!!! alle relevanten Einstellungen getätigt wurden, mit Powershell auf IKEv2 umgestellt wird.
Das geht mit folgendem Befehl: Set-NetIpsecRule -Displayname "Name der Rule" -Keymodule IKEv2
Da ich das Rekeying zwischen Windows und Linux nicht zum laufen bekommen hab, hab ich das IKE Timeout auf beiden seiten bei 45 min stehen. Der Idletimeout wurde auf 60 min. konfiguriert.
Gruß
das ist gar nicht so kompliziert wie man vielleicht meinen würde.
Auf der Windowsseite öffnet du die Advanced Firewall Setting und richtest eine neue Connection Security Rule ein. Weitere Einstellungen muss man in den Firewalleinstellungen übernehmen wie diverse IKE Timeouts und Proposals. Diese müssen konform zur Linuxseite (hier mit Strongswan getestet) sein.
Wichtig ist, insofern man IKEv2 verwenden möchte, dass die Connection Security Rule NACHDEM!!! alle relevanten Einstellungen getätigt wurden, mit Powershell auf IKEv2 umgestellt wird.
Das geht mit folgendem Befehl: Set-NetIpsecRule -Displayname "Name der Rule" -Keymodule IKEv2
Da ich das Rekeying zwischen Windows und Linux nicht zum laufen bekommen hab, hab ich das IKE Timeout auf beiden seiten bei 45 min stehen. Der Idletimeout wurde auf 60 min. konfiguriert.
Gruß
Sorry für die vermutlich dumme Frage eines Nicht Windows Profis aber ist das gesamte IPsec Handling dann innerhalb des Advanced Firewall Settings zu machen über die neue Connection Security Rule oder spielt da noch ein separater Prozess oder Anwendung rein ?
Sprich macht die Firewall das gesamte VPN Handling ?
Sprich macht die Firewall das gesamte VPN Handling ?
Es gibt keine dummen Fragen.
Alles spielt sich in den Advanced Firewall Settings ab
Alles spielt sich in den Advanced Firewall Settings ab
Dann werd ich mal mein Glück versuchen...
