Pfsense IPsec VPN - Windows 11 Verbindungsabbruch

Habe die Anleitung von aqui genutzt (https://administrator.de/content/detail.php?id=337198#comment-1544043657 ..), um externe Kollegen via Windows onboard IPsec > Internet > PFsese mit dem Netzwerk zu verbinden.

Alles klappt auch wunderbar. Aber nach ein paar Stunden funktioniert dann plötzlich ohne Fehlermeldung der VPN nicht mehr und die Kommunikation durch das VPN ist dann nicht mehr möglich. Ich leite den gesamten Netzwerkverkehr über den VPN um. Daher fällt es sofort auf, wenn plötzlich zb. Zoom abbricht.

Nach dem Trennen und Neuverbinden des VPN geht es wieder?
Habe da gleiche Verhalten auch bei einem anderen Windows 10 Gerät?

Haben Sie eine Idee, wo hier der Fehler sein könnte?

PfSense 2.5.2 (AMD64)

Kann es an den Lifetime Einstellungen liegen?:
- IPsec Tunnel Phase 1: (siehe Bild Phase1)
- Phase 2: (siehe Bild Phase 2
- DPD ist auch aktiviert

Lieben Dank für die Hilfe
phase2
dpd
phase1

Content-Key: 1544195630

Url: https://administrator.de/contentid/1544195630

Ausgedruckt am: 04.12.2021 um 23:12 Uhr

Mitglied: jurgenpomberger
jurgenpomberger 24.11.2021 um 09:27:47 Uhr
Goto Top
@aqui: Hi, hab es jetzt getestet. Es bricht bereits nach 37min teilweise ab. Manchmal geht es eine Stunde. Aber es ist immer unterschiedlich. Hast eine Idee was ich noch Probieren könnte.

Danke
Mitglied: jurgenpomberger
jurgenpomberger 24.11.2021 aktualisiert um 10:45:01 Uhr
Goto Top
Heute brach die Verbindung ab:

1. nach 37min
2. nach 53min
3. nach 46min

Soll ich das ipsec Log hochladen oder per PM senden?

Ganz lieben Dank für die Hilfe
Mitglied: aqui
aqui 24.11.2021 aktualisiert um 10:49:46 Uhr
Goto Top
Wichtig wäre noch das Log des Windows Clients (Ereignisanzeige).
Das VPN Log der FW aber auch. Bitte checken und nur IPsec relevante Events um den Abbruch posten und nicht Megabyteweise das Gesamtlog ;-) face-wink
Versuche auch das nachzustellen.
Mitglied: jurgenpomberger
jurgenpomberger 24.11.2021 um 10:53:49 Uhr
Goto Top
Kann es damit zusammenhängen?

Beim IPsec Overview ist bei Timers "Reauth:" auf Disabled?
reauth
Mitglied: jurgenpomberger
jurgenpomberger 24.11.2021 um 14:42:29 Uhr
Goto Top
Hi!

Also. Hab jetzt bei meinem Laptop mit W11 nach 60min. den Fehler gehabt.
Wobei man sagen muss, dass die VPN-Verbindung aktiv läuft, nur das Routing geht nicht mehr. Also Inet geht dann nicht mehr und auch sonst kommt kein Traffic mehr durch den Tunnel.

Der Traffic wurde um 14:14 Uhr unterbrochen. Danach half nur noch eine manuelle Trennung des VPN und wieder reconnecten am Windows 11 Client.

Die Logs von der Firewall und des PC sind hier zu finden:
https://images.pomberger.com/JP/administratorde/

Lieben Dank
Mitglied: aqui
aqui 24.11.2021 aktualisiert um 16:29:36 Uhr
Goto Top
nur das Routing geht nicht mehr.
Wie hast du das gesehen ?? route print ??
Also Inet geht dann nicht mehr
Mmmhhh kann nicht sein wenn du mit Split Tunneling arbeitest ! Internet wird dann lokal geroutet und nur relevanter Traffic geht in den VPN Tunnel.
Oder arbeitest du mit einem Gateway Redirect Setup also alles in den Tunnel. Leider fehlen diese Infos oben. :-( face-sad
Die evtx Dateien kann man nicht lesen..
Mitglied: jurgenpomberger
jurgenpomberger 24.11.2021 um 17:11:41 Uhr
Goto Top
Hi!

Hab einfach einen Ping -t laufen lassen. Sobald der fehler auftritt, bekomme ich beim Ping ein Timeout.

Habe zuerst das Split Tunneling versucht. Das hat auch gut funktioniert. Nur das dann der Client keine Verbindung mehr zum Internet (lokalen) hatte. Daher habe ich dann die Varianten mit dem "0.0.0.0" alles in den Tunnel lt. deiner Anleitung. Damit hat es dann funktioniert, aber eben die Verbindungstimeouts nach gewisser Zeit.

Grundsätzlich wäre mir der Split eh lieber, aber da hat, wie gesagt, der Internettraffic dann nicht mehr funktioniert.

???
Mitglied: aqui
aqui 25.11.2021 aktualisiert um 11:53:02 Uhr
Goto Top
Nur das dann der Client keine Verbindung mehr zum Internet (lokalen) hatte.
Dann machst du auch kein Split Tunneling !!
Logisch, denn dann geht nur der Traffic der relevant ist (remote Netze) in den Tunnel nicht aber der lokale Internet Traffic.
Vermutlich hast du da dann einen VPN Konfig Fehler gemacht. Der tiefere Sinn von Split Tunneling ist ja gerade das man effizient lokalen Internet Traffic lokal abfackelt und nur das in den Tunnel schickt was man auf VPN Seite erreichen will.
Wie gesagt zu 98% Konfig Fehler...vermutlich DNS hast du das mal geprüft ??
Wenn du nackte Internet IPs wie z.B. 8.8.8.8 bei Split Tunneling pingen kannst rennt das aber dein DNS ist dann falsch konfiguriert wenn ein Ping an Hostnamen scheitert.
route print und nslookup sind hier dann deine besten Freunde.
Mitglied: jurgenpomberger
jurgenpomberger 30.11.2021 um 21:08:36 Uhr
Goto Top
Hi!

Hatte jetzt wieder Zeit weiterzuprobieren. Habe, wie erwähnt, momentan die Split Config nicht eingestellt, da die bei mir nicht funktionierte.

Hab anbei die "route print" während das VPN an war und auch funktionierte. Als Test habe ich einfach einen ping -t in Internet laufen lassen und überprüft, über welches Gateway der Ping in Inet geht. Es wird alles über das VPN geroutet.

Nach ca. 40min geht dann plötzlich kein ping mehr ins Inet. der Ping in das LAN über das VPN geht aber noch ganz normal. Auch sieht das "route print" genau gleich aus. Verstehe einfach nicht, warum das nicht mehr geht.

Grundsätzlich möchte ich eigentlich die Config wie von dir beschrieben "split". Habe es gerade wieder exakt lt. deinen Angaben eingestellt. Das VPN geht und ich komm auch ins LAN der gegenseite. Aber dann geht das Inet nicht mehr. Kannst du mir da helfen woran das liegen kann?

Lieben Dank
route-print-working
Mitglied: aqui
aqui 01.12.2021 um 12:06:08 Uhr
Goto Top
Uuuhhh ein Nord VPN Opfer.. :-( face-sad
Da sollte man sehr vorsichtig sein. Besonders wenn man deren Clients nutzt. Sie auch hier.
Selbst die ct' rät in ihrem letzten Test von öffentlichen VPN Anbietern ab. Aus guten Gründen...

Ein Test mit Win 10 (21H1) in einer Standard Installation ohne fremde, exteren VPN Clients verlief hier mit einem nächtlichen Dauerping (ca. 9 Stunden) völlig fehlerlos sowohl in einer Gateway Redirect Konfig als auch in einer Split Tunneling Konfig.
Und das sowohl auf einer pfSense 2.5.2 als auch auf einer latest OPNsense mit identischer VPN Konfig.
Parallel Quercheck mit einem MacBook Pro (Big Sur) Und Raspberry Pi (Strongswan) zeigte in der Zeit auch keinen Ping Ausfall.
Mit anderen Worten: Dein Verhalten lässt sich zumindestens mit der o.a. Windows Version nicht reproduzieren. Möglich das das also duch irgendwie eine Wechselwirkung mit anderer SW ist.
Hast du ggf. einen zweiten Rechner oder Smartphone usw. mit dem du das checken kannst ?
Mitglied: jurgenpomberger
jurgenpomberger 04.12.2021 um 23:51:32 Uhr
Goto Top
Hallo!

Hab jetzt NordVPN deinstalliert, um einen Sauberen Test machen zu können.
Wenn das VPN laut deiner Anleitung installiere, dann habe ich nach wie vor das Problem, dass das Inet nach der Verbindung nicht mehr geht. Habe es mit route print überprüft. Wie du im angehängten Bild sehen kannst macht er mir nach dem Verbinden einen 0.0.0.0 Route auf die VPN-Verbindung. Da ich aber das VPN lt. Anleitung eingestellt habe, lässt er natürlich 0.0.0.0 nicht durch, sondern nur das LAN welches eingestellt ist.
Wenn ich die VPN-Verbindung auf der PFsense so einstelle, dass der gesamte Traffic durchgeht, dann geht alles, aber nach 30min geht kein Traffic mehr durch?

Weiß schon langsam nicht mehr, was ich noch versuchen soll.

Danke für deine Hilfe.
screenshot_2
Heiß diskutierte Beiträge
question
Hausüberwachung Kameraingo1988Vor 1 TagFragePeripheriegeräte8 Kommentare

Hallo an alle, ich möchte ab sofort mein Haus mit Kameras überwachen lassen. Es sollen 4 Kameras außen am Haus angebracht werden. Ich möchte die ...

question
3 VLANs auf eine Dose. PC bekommt IP vom falschen NetzKostasVor 1 TagFrageNetzwerke6 Kommentare

Hallo Zusammen, ich habe an einem Arbeitsplatz leider NUR eine Dose. Das VLAN=10 ist für die Drucker Das VLAN=20 ist für die PCs Das VLAN=30 ...

question
Hard- und SoftwarebeschaffungVigo16Vor 1 TagFrageHardware8 Kommentare

Hallo Zusammen, da ich kürzlich in einem gemeinnützige Verein als erster und alleiniger Inhouse Administrator angefangen habe und vorher nichts mit Hard- und Softwarebeschaffung am ...

general
Zur AdventszeitAnkhMorporkVor 1 TagAllgemeinHumor (lol)2 Kommentare

Wer es nicht kennt, sollte es kennen lernen (mMn): Viel Spaß, jede Diskussion überflüssig Ankh ...

question
Google-Konto: PW-Rücksetzung funktioniert nichtmrserious73Vor 18 StundenFrageE-Mail13 Kommentare

Hallo zusammen, habe hier gerade einen merkwürdigen Fall: Habe ein gmail-Konto, für das das Passwort nicht mehr bekannt ist. Da das Konto in Thunderbird gespeichert ...

question
Pfsense sinnvoll in Umgebung einbindendertowaVor 1 TagFrageLAN, WAN, Wireless7 Kommentare

Hallo zusammen, ich grüble schon länger über eine saubere Möglichkeit zur Integration der pfsense, da ich mich damit auch gern mal beschäftigen möchte. Aktuell habe ...

question
Reicht eine Geforce GT1030 2GB 64bit für Photoshop Illustrator?isarc01Vor 1 TagFrageGrafikkarten & Monitore3 Kommentare

Hallo, ich habe derzeit eine Geforce GTX 550 TI. (192bit) 1,5GB. Leider startet Photoshop nicht mehr. (Grafikkartenspeicher zu gering) Deshalb möchte ich mir eine GT1030 ...

question
Startscript wird nicht ausgeführt gelöst tsunamiVor 1 TagFrageWindows Server4 Kommentare

Hallo zusammen, ich habe ein Problem mit den GPOs. Ein simples Script zum testen: Liegt im richtigen Ordner. \\domäne.local\SysVol\domäne.local\Policies\{FB0087ED-7767-4A9E-B9D4-9497666F2C7E}\Machine\Scripts\Startup Der Ordner \\192.168.143.1\public\11_Software\AV\av_lang\ hat Zugriff durch ...