Palo Alto unknown IKEv2 Peer

Hallo,

hat jemand mal ein IPsec VPN zwischen einer Palo Alto (PA-220) und einer OPNsense (24.7.12) zum laufen bekommen?

Ich habe hier leider die unrühmliche Aufgabe eine veraltete PA anzubinden und ich bekomme es ums verrecken nicht hin. Ich habe Zugriff auf diese. Nicht nur das Design und Funktion direkt aus der Hölle zu kommen scheinen, ist bei meiner zwei Tage andauernden Recherche einige Abgründe zu Tage gekommen. PA hatte da wohl in der Vergangenheit öfters Probleme mit verschiedenen Herstellern. Ist mir bisschen schleierhaft was da als "Enterprise" verkauft wurde. Der Commit der Einstellungen dauert geschlagene 10 Minuten. Ist das normal?

Ich habe verschiedene Einstellungen probiert und mittlerweile wieder auf die ursprüngliche Config zurück und dort jetzt mehrmals penibelst auf gleiche Config geachtet, doch leider klappt nach Ablauf von der Lifetime der Phase 2 das Rekeying nicht. Der VTI-Tunnel ist ansonsten funktionell und macht was er soll. Wenn ich ihn manuell wieder anstarte geht alles wieder.

In der PA steht unter Monitor folgendes:


Das habe ich überprüft. Unter Network>Network Profiles>IKE Gateways wurde die OPNsense explizit mit "IKEv2 only mode" angelegt. Leider geht aus der Meldung nicht wirklich hervor welche Peer Adresse er meinen könnte.

In der OPNsense habe ich folgende Einstellungen gewählt "VPN>IPSEC>Connections":

Phase1

Proposals: default
Version: IKEv2
MOBIKE: Check
Rekey time: 14400
Over Time: 1440
DPD delay: 6s
PSK

Phase2

sha256_96: Check
Mode: Tunnel
Policies: Uncheck
Start Action: Start
Close Action: Start
DPD Action: Start
Reqid: 10
ESP Proposals: default
Rekey time: 7200

Ansonsten ist der Rest default. Manche Sachen wie Rekey time oder DPD delay hatte ich bereits auf default, macht keinen Unterschied.

In der Log von der OPNsense fallen paar Einträge auf:


Wenn ich verschiedene Beiträge aus Foren richtig interpretiert habe, ist das beim VTI-Tunnel normal und die Meldung kommt immer.


Das kommt, wenn das Rekeying fehlgeschlagen ist. Auf der PA sieht man allerdings keine konkreten Einträge zu diesem Ereignis. Meine Vermutung ist das die PA gar nicht selbst versucht, eine Neuverbindung aufzubauen obwohl sie nicht im Passive Mode ist. Einstellungen in der PA:





Ich habe mit der OPNsense bereits zu anderen Gegenstellen erfolgreich IPsec VPNs aufgebaut. Viel Cisco, vielleicht auch mal eine neuere PA, immer über andere Dienstleister. Da hatte ich solche Probleme nicht und es ging meistens prompt.

Jemand eine Idee woran das liegen kann?

Gruß

2025-06-27 19:58:20.000 +0200  [INFO]: {    2:     }: IKEv2 INFO transmit: gateway S2S-IKE-Name, message_id: 0x00000357, type 3 SA state ESTABLISHED

connections {

opnsense {
 unique = replace
 version = 2
 local_addrs = 212.31.x.y
 remote_addrs = 0.0.0.0/0
  local {
   auth = psk
   id = 212.31.x.y
   }
  remote {
   auth = psk
   id = keyid:opnsense@testlab.internal
   }
  children {
   net {
   local_ts = 172.27.26.0/23
   remote_ts = 192.168.111.0/24
   esp_proposals = aes256gcm16-sha256-modp2048,aes128gcm16-sha256-modp1024,aes256-sha256-modp1024
   }
  }
 proposals = aes256gcm16-sha256-modp2048,aes256-sha512-modp2048,aes256-sha512-modp1024,aes256-sha256-modp2048
 }

mikrotik {
 unique = replace
 version = 2
 local_addrs = 212.31.x.y
 remote_addrs = 0.0.0.0/0
  local {
   auth = psk
   id = 212.31.x.y
   }
  remote {
   auth = psk
   id = keyid:mikrotik@testlab.internal
   }
  children {
   net {
   local_ts = 172.27.26.0/23
   remote_ts = 10.11.1.0/24
   esp_proposals = aes256gcm16-sha256-modp2048,aes128gcm16-sha256-modp1024,aes256-sha256-modp1024
   }
  }
 proposals = aes256-sha512-modp2048,aes256-sha512-modp1024,aes256-sha256-modp2048
 }

}

secrets {
ike-1 {
 id = keyid:opnsense@testlab.internal
 secret = "GeheiM123!"  
 }
ike-2 {
 id = keyid:mikrotik@testlab.internal
 secret = "GeheiM321!"  
 }
} 

opnsense: #3711, ESTABLISHED, IKEv2, 6f5bf4222aa1c541_i 7f9f2f988ccac16d_r*
  local  '212.31.x.y' @ 212.31.x.y[4500]
  remote 'opnsense@testlab.internal' @ 80.x.y.z[9691]
  AES_CBC-256/HMAC_SHA2_512_256/PRF_HMAC_SHA2_512/MODP_2048
  established 1608s ago, rekeying in 12075s
  net: #2756, reqid 3, INSTALLED, TUNNEL-in-UDP, ESP:AES_GCM_16-256
    installed 1608s ago, rekeying in 1705s, expires in 2352s
    in  c8077d2b,  21792 bytes,   230 packets,     0s ago
    out cbd1f74f,  36264 bytes,   197 packets,    10s ago
    local  172.27.26.0/23
    remote 192.168.111.0/24