Не ходят пакеты при cypher esp-null

[KorDen]

v2.08(AAUX.0)A4 <-> v2.06(AAFS.11)B4

При экспериментах с производительностью туннеля решил попробовать отключить шифрование ESP. При этом соединение устанавливается и в веб-интерфейсе отображается активным, но удаленная сеть не пингуется. Стоит поставить шифрование - все начинает работать.

Пример конфига:

  Показать контент

crypto engine hardware
crypto ike proposal TTest
    encryption aes-cbc-128
    dh-group 15
    integrity sha1
!
crypto ike policy TTest
    proposal TTest
    lifetime 3600
    mode ikev2
!
crypto ipsec transform-set TTest
    cypher esp-null
    hmac esp-sha1-hmac
    dh-group 15
    lifetime 3600
!
crypto ipsec profile TTest
    dpd-interval 30
    identity-local email firnen@ellesmera.alagaesia
    match-identity-remote any
    authentication-local pre-share
    mode tunnel
    policy TTest
!
crypto map TTest
    set-peer any
    set-profile TTest
    set-transform TTest
    match-address _WEBADMIN_IPSEC_TTest
    set-tcpmss pmtu
    nail-up
    virtual-ip no enable
    enable
!

 

 

[Le ecureuil]

  В 21.08.2016 в 11:46, KorDen сказал:

v2.08(AAUX.0)A4 <-> v2.06(AAFS.11)B4

При экспериментах с производительностью туннеля решил попробовать отключить шифрование ESP. При этом соединение устанавливается и в веб-интерфейсе отображается активным, но удаленная сеть не пингуется. Стоит поставить шифрование - все начинает работать.

Пример конфига:

  Показать контент

crypto engine hardware
crypto ike proposal TTest
    encryption aes-cbc-128
    dh-group 15
    integrity sha1
!
crypto ike policy TTest
    proposal TTest
    lifetime 3600
    mode ikev2
!
crypto ipsec transform-set TTest
    cypher esp-null
    hmac esp-sha1-hmac
    dh-group 15
    lifetime 3600
!
crypto ipsec profile TTest
    dpd-interval 30
    identity-local email firnen@ellesmera.alagaesia
    match-identity-remote any
    authentication-local pre-share
    mode tunnel
    policy TTest
!
crypto map TTest
    set-peer any
    set-profile TTest
    set-transform TTest
    match-address _WEBADMIN_IPSEC_TTest
    set-tcpmss pmtu
    nail-up
    virtual-ip no enable
    enable
!

 

 

Показать  

Отключено было на обоих сторонах туннеля?

Попробуйте еще без crypto engine hardware.

[KorDen]

  В 21.08.2016 в 17:12, Le ecureuil сказал:

Отключено было на обоих сторонах туннеля?

Попробуйте еще без crypto engine hardware.

Показать  

Естественно на обоих сторонах, иначе туннель бы не поднялся, ругнувшись на несоответствие (проверил). Попробовал без аппаратного, аналогично.

В момент отключения еще словил лок на ультре (в аттаче), селфтест чуть позже пытался сделать, не удалось запустить.

threads-ipsec.zip

[Le ecureuil]

  В 21.08.2016 в 17:43, KorDen сказал:

Естественно на обоих сторонах, иначе туннель бы не поднялся, ругнувшись на несоответствие (проверил). Попробовал без аппаратного, аналогично.

В момент отключения еще словил лок на ультре (в аттаче), селфтест чуть позже пытался сделать, не удалось запустить.

threads-ipsec.zipПолучение информации...

Показать  

Будьте аккуратны при работе с командой crypto engine, поскольку эта команда в теории может вызвать lock, если случайно в ядре останутся незавершенные сессии Phase 2 SA.

Сперва рекомендую обязательно остановить IPsec:

> no service ipsec

Затем выждать несколько секунд

Затем уже выполнять нужную операцию:

> crypto engine ....

И только затем, через несколько секунд опять запускать IPsec:

> service ipsec

[KorDen]

  В 21.08.2016 в 17:12, Le ecureuil сказал:

Попробуйте еще без crypto engine hardware.

Показать  

Попробовал с ожиданием, действительно, заработало. Только скорость Ultra 2 - Giga 2 без шифрования ~4 МБ/с, а с AES-128/hardware 12-13 МБ/с... Забавно...

[Le ecureuil]

  В 22.08.2016 в 13:40, KorDen сказал:

Попробовал с ожиданием, действительно, заработало. Только скорость Ultra 2 - Giga 2 без шифрования ~4 МБ/с, а с AES-128/hardware 12-13 МБ/с... Забавно...

Показать  

Короче проблема в crypto engine, как я и ожидал

А удивительного ничего нет: в обоих случаях кроме шифрования нужно еще посчитать HMAC для пакета, и в первом случае без шифрования он считается программно, а во втором случае - аппаратно за один такт с шифрованием. Потому и выходит быстрее.  

Спасибо за диагностику, буду разбираться где же неправильно работает crypto engine.

[Le ecureuil]

Да, проблема воспроизводится, но скорее всего поправлена не будет - несколько часов дебага и поисков причин ничего не дали, а смысла в продолжении мало, и вот почему.

esp-null используется для дебага, чтобы захватить через wireshark или ndm-mod-monitor пакеты и посмотреть что же внутри ESP. В production же никто не будет использовать ESP без шифрования (по крайней мере я надеюсь на это).

Потому если по каким-то причинам нужен esp-null - используйте crypto engine software.

[KorDen]

  В 26.08.2016 в 14:35, Le ecureuil сказал:

а смысла в продолжении мало, и вот почему.

Показать  

Раз решение ошибки нетривиальное - конечно смысла нет..

  В 26.08.2016 в 14:35, Le ecureuil сказал:

В production же никто не будет использовать ESP без шифрования

Показать  

Теоретически, в зависимости от среды передачи, может быть необходимость туннеля [с проверкой валидности данных (HMAC)], но шифрование не обязательно, если по этому туннелю и так гоняются шифрованные TLS/... данные.

Но это уже сильно частные случаи конечно, я просто игрался - нашел баг - сообщил..