Диагностика IPsec VPN в pfSense - устранение неполадок

IPsec - протокол с жёсткими требованиями к совпадению параметров на обеих сторонах туннеля. Несоответствие даже одного параметра (алгоритм шифрования, группа DH, маска подсети) приводит к отказу в установлении соединения, причём сообщения об ошибках не всегда указывают на первопричину. Систематический подход к диагностике позволяет сократить время поиска проблемы с часов до минут.

Данное руководство описывает методологию диагностики IPsec VPN в pfSense: от включения отладочных логов до анализа конкретных сообщений об ошибках. Материал применим как к site-to-site, так и к mobile client конфигурациям.

Включение отладочных логов

По умолчанию pfSense записывает в журнал IPsec только базовые события. Для детальной диагностики необходимо увеличить уровень логирования.

Настройка уровня логирования

Перейдите в VPN > IPsec > Advanced Settings и настройте параметры логирования:

Нажмите Save. Изменение уровня логирования не прерывает существующие IPsec-туннели.

Внимание:

Уровень Diag генерирует значительный объём логов. После завершения диагностики рекомендуется вернуть уровни к Control, чтобы избежать заполнения дискового пространства.

Просмотр логов

Логи IPsec доступны в Status > System Logs > IPsec. Для фильтрации используйте поле поиска в верхней части страницы.

Для просмотра логов в реальном времени через командную строку:

# Real-time IPsec log monitoring
clog -f /var/log/ipsec.log

# Filter for specific peer IP
clog -f /var/log/ipsec.log | grep "203.0.113.10"

# Filter for errors only
clog -f /var/log/ipsec.log | grep -i "error\|failed\|no proposal"

Ключевые индикаторы в логах

Следующие записи указывают на успешное или неуспешное согласование:

Типичные ошибки Phase 1

Phase 1 (IKE SA) отвечает за аутентификацию сторон и согласование параметров безопасности. Ошибки на этом этапе полностью блокируют установление туннеля.

Несовпадение параметров шифрования

При использовании AES-GCM в Phase 1 обратите внимание, что некоторые реализации (Cisco ASA, устаревшие версии MikroTik) не поддерживают GCM для IKE. В этом случае используйте AES-CBC с отдельным алгоритмом хеширования.

Ошибки аутентификации

Внимание:

При копировании PSK через буфер обмена нередко добавляются невидимые символы (пробелы, символы переноса строки). Рекомендуется вводить ключ вручную или использовать генератор случайных строк.

Ошибки идентификаторов

Недоступность удалённого узла

DPD-ошибки

Типичные ошибки Phase 2

Phase 2 (Child SA / IPsec SA) согласуется внутри защищённого канала Phase 1. Ошибки Phase 2 возникают при установленной Phase 1 - статус Phase 1 показывает Established, но Child SA не создаётся.

Несовпадение подсетей (Traffic Selectors)

Внимание:

Несовпадение подсетей - наиболее распространённая причина отказа Phase 2. Маска подсети должна совпадать побитово: 10.1.0.0/24 на одной стороне и 10.1.0.0/24 на другой (не 10.1.0.0/23 или 10.1.0.0/32).

Несовпадение параметров шифрования Phase 2

Несовпадение PFS

Туннель установлен, но трафик не проходит

Если Phase 1 и Phase 2 установлены (статус Established), но пользовательский трафик не проходит, проблема лежит за пределами IPsec-согласования.

Проблемы с NAT-T

NAT Traversal (NAT-T) необходим, когда между двумя узлами IPsec-туннеля находится NAT-устройство (маршрутизатор, провайдерское оборудование). NAT-T инкапсулирует пакеты ESP в UDP порт 4500, позволяя им проходить через NAT.

Когда NAT-T необходим

• Один или оба узла IPsec находятся за NAT (имеют приватный IP-адрес на WAN-интерфейсе)
• Между узлами находится маршрутизатор, выполняющий трансляцию адресов
• Провайдер использует Carrier-Grade NAT (CG-NAT)

Типичные проблемы NAT-T

Проверка NAT-T

Для проверки работы NAT-T выполните захват пакетов на WAN-интерфейсе:

# Capture IKE and NAT-T traffic
tcpdump -ni em0 udp port 500 or udp port 4500

# Expected output with NAT-T active:
# 10.0.0.1.4500 > 203.0.113.10.4500: UDP-encap: ESP(spi=0x12345678,seq=0x1)

Если трафик виден на порту 4500 с пометкой UDP-encap: ESP, NAT-T работает корректно. Если трафик идёт по протоколу ESP (порт 50) при наличии NAT, туннель будет нестабильным.

Диагностические команды

pfSense предоставляет набор команд для диагностики IPsec через Diagnostics > Command Prompt или SSH-подключение.

Состояние IPsec SA

# Complete SA status with negotiated parameters
ipsec statusall

# Brief status (established tunnels only)
ipsec status

# View IP addresses assigned to mobile clients
ipsec leases

Команда ipsec statusall отображает:

• Согласованные алгоритмы шифрования и хеширования
• Группу DH и PFS
• Время до истечения SA
• Traffic Selectors (подсети)
• Количество переданных байтов
• Текущий статус IKE SA и Child SA

Таблица Security Policy Database (SPD)

# View installed security policies
setkey -DP

# View installed security associations
setkey -D

Команда setkey -DP показывает, какие пакеты должны обрабатываться IPsec (направляться в туннель). Если политика отсутствует для нужной пары подсетей, трафик не будет зашифрован.

Правила файрвола

# View all active firewall rules
pfctl -sr

# View rules for IPsec interface (enc0)
pfctl -sr | grep enc0

# View blocked packets in real time
tcpdump -ni pflog0

Захват пакетов

# Capture IKE negotiation on WAN
tcpdump -ni em0 udp port 500 or udp port 4500

# Capture ESP traffic (without NAT-T)
tcpdump -ni em0 proto 50

# Capture decrypted traffic on IPsec interface
tcpdump -ni enc0

# Capture with detailed output and write to file
tcpdump -ni em0 -vvv -s 0 -w /tmp/ipsec-capture.pcap udp port 500 or udp port 4500

Захват на интерфейсе enc0 показывает расшифрованный трафик внутри туннеля. Это позволяет определить, доходят ли пакеты до pfSense через туннель и в каком виде.

Просмотр маршрутов

# View routing table
netstat -rn

# Check if route for remote subnet exists
netstat -rn | grep "10.2.0.0"

# View gateway groups status
pfctl -vvsA

Управление IPsec-сервисом

# Restart IPsec service (drops all tunnels)
ipsec restart

# Reload configuration without dropping tunnels
ipsec update

# Terminate specific IKE SA
ipsec down <connection_name>

# Re-initiate specific connection
ipsec up <connection_name>

Внимание:

Команда ipsec restart разрывает все активные туннели. В производственной среде предпочтительнее использовать ipsec update для применения изменений конфигурации без разрыва существующих соединений.

Проблемы при переустановлении (Rekeying)

Туннели IPsec имеют ограниченное время жизни. По истечении этого времени происходит rekeying - согласование нового ключевого материала. Ошибки при rekeying приводят к периодическим разрывам туннеля.

Чек-лист диагностики

При возникновении проблем с IPsec-туннелем рекомендуется последовательно пройти следующий чек-лист.

1. Сетевая связность

• Удалённый узел доступен: ping <remote_public_ip>
• Маршрут до удалённого узла существует: traceroute <remote_public_ip>
• UDP 500 не блокируется: nc -uzv <remote_public_ip> 500
• UDP 4500 не блокируется: nc -uzv <remote_public_ip> 4500

2. Параметры Phase 1

• Версия IKE совпадает (IKEv1 или IKEv2)
• Алгоритм шифрования совпадает
• Hash Algorithm совпадает
• DH Group совпадает
• Lifetime совпадает (допускается разница; меньшее значение используется)
• Метод аутентификации совпадает (PSK или сертификаты)
• PSK идентичен на обеих сторонах (при использовании PSK)
• Идентификаторы (My/Peer) настроены корректно

3. Параметры Phase 2

• Подсети (Traffic Selectors) зеркально совпадают
• Маски подсетей корректны (/24 vs /32)
• Алгоритм шифрования Phase 2 совпадает
• Hash Algorithm Phase 2 совпадает
• PFS Group совпадает или отключён на обеих сторонах
• Протокол ESP (не AH)

4. Сертификаты (при использовании)

• CA-сертификат импортирован на обеих сторонах
• Серверный сертификат не истёк (проверьте дату)
• SAN в серверном сертификате содержит IP или FQDN сервера
• Цепочка доверия сертификатов полная
• Для Apple-устройств: Lifetime серверного сертификата не более 825 дней

5. Правила файрвола

• UDP 500 и 4500 разрешены на WAN
• Правила на вкладке IPsec разрешают трафик между подсетями
• Нет конфликтующих плавающих правил
• NAT Traversal включён (Auto или Force) при наличии NAT

6. Маршрутизация и SA

• В ipsec statusall отображаются установленные SA
• В setkey -DP присутствуют политики для нужных подсетей
• В netstat -rn присутствует маршрут до удалённой подсети (для VTI)
• Счётчики байтов в Status > IPsec увеличиваются при прохождении трафика

Связанные разделы

• IPsec Site-to-Site VPN в pfSense - настройка site-to-site туннелей, терминология IPsec и параметры Phase 1/Phase 2
• IPsec IKEv2 для мобильных клиентов в pfSense - настройка IKEv2 для удалённого доступа, сертификаты и конфигурация клиентских устройств
• Правила файрвола pfSense - принципы создания и управления правилами файрвола для VPN-трафика
• NAT в pfSense - настройка NAT, включая взаимодействие NAT и IPsec