форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[ Отслеживать ]

"PIX515E и CiscoVPN Client"

Сообщение от Алексей (??) on 01-Июл-08, 17:15

Как подружить эти две зверюшки между собой. VPN клиент начинает вроде цепляться и по таймауту вылетает. Что надо еще добавить в конфиге ? Building configuration... : Saved : PIX Version 6.3(5) interface ethernet0 auto interface ethernet1 auto nameif ethernet0 outside security0 nameif ethernet1 inside security100 enable password RdfgdfgdffgdfgtMJO encrypted passwd fdgdfgdgU encrypted hostname Pix domain-name domen.ru fixup protocol dns maximum-length 512 fixup protocol ftp 21 fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol http 80 fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol sip 5060 fixup protocol sip udp 5060 fixup protocol skinny 2000 fixup protocol smtp 25 fixup protocol sqlnet 1521 fixup protocol tftp 69 names access-list vpn_arb_splitTunnelAcl permit ip xxx.xxx.xxx.xxx 255.255.255.0 any access-list vpn_arb_splitTunnelAcl permit ip xxx.xxx.yyy.xxx 255.255.255.0 any access-list outside_cryptomap_dyn_20 permit ip any 192.168.1.192 255.255.255.240 pager lines 24 mtu outside 1500 mtu inside 1500 ip address outside dhcp retry 4 ip address inside 192.168.1.251 255.255.255.0 ip audit info action alarm ip audit attack action alarm ip local pool vpn_pool 192.168.1.196-192.168.1.200 pdm location xxx.xxx.xxx.xxx 255.255.255.0 outside pdm location xxx.xxx.yyy.xxx 255.255.255.0 outside pdm history enable arp timeout 14400 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout sip-disconnect 0:02:00 sip-invite 0:03:00 timeout uauth 0:05:00 absolute aaa-server TACACS+ protocol tacacs+ aaa-server TACACS+ max-failed-attempts 3 aaa-server TACACS+ deadtime 10 aaa-server RADIUS protocol radius aaa-server RADIUS max-failed-attempts 3 aaa-server RADIUS deadtime 10 aaa-server LOCAL protocol local aaa authentication enable console LOCAL aaa authentication http console LOCAL aaa authentication ssh console LOCAL aaa authorization command LOCAL http server enable http 192.168.1.0 255.255.255.0 inside no snmp-server location no snmp-server contact snmp-server community public no snmp-server enable traps floodguard enable sysopt connection permit-ipsec crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac crypto dynamic-map outside_dyn_map 20 match address outside_cryptomap_dyn_20 crypto dynamic-map outside_dyn_map 20 set transform-set ESP-DES-MD5 crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map crypto map outside_map client authentication LOCAL crypto map outside_map interface outside isakmp enable outside isakmp policy 20 authentication pre-share isakmp policy 20 encryption des isakmp policy 20 hash md5 isakmp policy 20 group 2 isakmp policy 20 lifetime 86400 vpngroup vpn_arb address-pool vpn_pool vpngroup vpn_arb dns-server    (domen) vpngroup vpn_arb default-domain vpngroup vpn_arb split-tunnel vpn_arbitr_splitTunnelAcl vpngroup vpn_arb idle-time 1800 vpngroup vpn_arb password ******* telnet timeout 5 ssh 192.168.1.0 255.255.255.0 inside ssh timeout 5 console timeout 0 terminal width 80

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "PIX515E и CiscoVPN Client"

Сообщение от ilya (ok) on 02-Июл-08, 09:50

Клиент за натом? покажите acl vpn_arbitr_splitTunnelAcl

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "PIX515E и CiscoVPN Client"
	Сообщение от Алексей (??) on 02-Июл-08, 10:15
	>Клиент за натом? >покажите acl vpn_arbitr_splitTunnelAcl Эм, чего показать ? Клиент во внешней сети. в строчке косяк был vpngroup vpn_arb split-tunnel vpn_arb_splitTunnelAcl
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "PIX515E и CiscoVPN Client"
	Сообщение от ilya (ok) on 02-Июл-08, 13:51
	>>Клиент за натом? >>покажите acl vpn_arbitr_splitTunnelAcl > >Эм, чего показать ? >Клиент во внешней сети. > >в строчке косяк был >vpngroup vpn_arb split-tunnel vpn_arb_splitTunnelAcl так косяк был в конфиге или в том что вы показали? по симптомам очень похоже когда у вас не используется split-tunnel. И проблема рещилась?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "PIX515E и CiscoVPN Client"
	Сообщение от Алексей (??) on 02-Июл-08, 16:01
	>так косяк был в конфиге или в том что вы показали? >по симптомам очень похоже когда у вас не используется split-tunnel. > >И проблема рещилась? косяк был в том что я выложил, конфиг нормальный везде стоит vpn_arb где надо, нет проблема не решилась.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "PIX515E и CiscoVPN Client"
	Сообщение от ilya (ok) on 02-Июл-08, 18:48
	>>так косяк был в конфиге или в том что вы показали? >>по симптомам очень похоже когда у вас не используется split-tunnel. >> >>И проблема рещилась? > >косяк был в том что я выложил, конфиг нормальный везде стоит vpn_arb >где надо, >нет проблема не решилась. косяк в сплит-тунеле, а точнее в ACL там должна быть запись вида xxx.xxx.xxx.xxx 255.255.255.0  vpn_pool 192.168.1.196-192.168.1.200 или используйте стандатрый ACL с записью xxx.xxx.xxx.xxx 255.255.255.0
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "PIX515E и CiscoVPN Client"

Сообщение от bmonk (??) on 03-Июл-08, 12:08

а где nat (inside) 0 ??

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "PIX515E и CiscoVPN Client"
	Сообщение от bmonk (??) on 03-Июл-08, 12:10
	>а где >nat (inside) 0 ?? конечно это на дисконект по таймауту не влияет но тем не менее
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "PIX515E и CiscoVPN Client"
	Сообщение от Алексей (??) on 04-Июл-08, 10:32
	>а где >nat (inside) 0 ?? nat (inside) надо привязать к списку доступа ? при привязке падает сразу же pdm который работае через https и до pix можно только через com достучаться. И VPN все равно не появляется.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "PIX515E и CiscoVPN Client"
	Сообщение от bmonk (??) on 04-Июл-08, 10:55
	>>а где >>nat (inside) 0 ?? > >nat (inside) надо привязать к списку доступа ? >при привязке падает сразу же pdm который работае через https и до >pix можно только через >com достучаться. И VPN все равно не появляется. есть nat (inside) 0  ACL впнклиент-локальнаяСеть nat (inside) 1  локальная сеть и я еще строчки global (outside) 1 interface не заметил
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "PIX515E и CiscoVPN Client"
	Сообщение от Алексей (??) on 04-Июл-08, 15:28
	PIX Version 6.3(5) access-list outside_cryptomap_dyn_20 permit tcp 192.168.1.0 255.255.255.0 192.168.1.192 255.255.255.240 access-list vpn_arb_splitTunnelAcl permit ip 217.хх.хх.х 255.255.255.0 any pager lines 24 mtu outside 1500 mtu inside 1500 ip address outside dhcp retry 4 ip address inside 192.168.1.251 255.255.255.0 ip audit info action alarm ip audit attack action alarm ip local pool vpn_pool 192.168.1.196-192.168.1.200 pdm location 217.хх.хх.х 255.255.255.0 outside pdm location 192.168.1.0 255.255.255.0 outside pdm history enable arp timeout 14400 global (outside) 1 interface nat(inside) 0 access-list vpn_arb_splitTunnelAcl nat (inside) 1 192.168.1.0 255.255.255.0 0 0 static (inside,outside) 192.168.1.0 192.168.1.0 netmask 255.255.255.0 0 0 route outside 0.0.0.0 0.0.0.0 217.хх.хх.хх 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout sip-disconnect 0:02:00 sip-invite 0:03:00 timeout uauth 0:05:00 absolute aaa-server TACACS+ protocol tacacs+ aaa-server TACACS+ max-failed-attempts 3 aaa-server TACACS+ deadtime 10 aaa-server RADIUS protocol radius aaa-server RADIUS max-failed-attempts 3 aaa-server RADIUS deadtime 10 aaa-server LOCAL protocol local aaa authentication enable console LOCAL aaa authentication http console LOCAL aaa authentication ssh console LOCAL aaa authorization command LOCAL http server enable http 192.168.1.0 255.255.255.0 inside no snmp-server location no snmp-server contact snmp-server community public no snmp-server enable traps floodguard enable sysopt connection permit-ipsec crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac crypto dynamic-map outside_dyn_map 20 match address outside_cryptomap_dyn_20 crypto dynamic-map outside_dyn_map 20 set transform-set ESP-DES-MD5 crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map crypto map outside_map client authentication LOCAL crypto map outside_map interface outside isakmp enable outside isakmp enable inside isakmp policy 20 authentication pre-share isakmp policy 20 encryption des isakmp policy 20 hash md5 isakmp policy 20 group 2 isakmp policy 20 lifetime 86400 vpngroup vpn_arbitr address-pool vpn_pool vpngroup vpn_arbitr dns-server хххх vpngroup vpn_arbitr default-domain vpngroup vpn_arbitr split-tunnel vpn_arb_splitTunnelAcl vpngroup vpn_arbitr idle-time 1800 vpngroup vpn_arbitr password ******** vpngroup v idle-time 1800 telnet timeout 5 ssh 192.168.1.0 255.255.255.0 inside ssh timeout 5 console timeout 0 : end [OK] Вобщем что получилось после всех советов. И в итоге не работает =) Что еще может быть ? И где искать косяк ?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	11. "PIX515E и CiscoVPN Client"
	Сообщение от bmonk (??) on 04-Июл-08, 16:28
	isakmp enable outside isakmp enable inside у меня такого нет, у меня просто: isakmp enable outside вот это тоже нах crypto dynamic-map outside_dyn_map 20 set transform-set ESP-DES-MD5 вот это что? crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map у меня просто crypto map outside_map ipsec-isakmp dynamic outside_dyn_map и еще вопрос: нахрена придумывать такие мудреные названия для ACL? в глазах рябит от всех этих подчеркиваний )) и этого у меня нет vpngroup vpn_arbitr default-domain  )) а это просто описька? vpngroup v idle-time 1800 для vpngroup vpn_arbitr не выставлен таймаут
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	12. "PIX515E и CiscoVPN Client"
	Сообщение от ilya (ok) on 07-Июл-08, 09:37
	>[оверквотинг удален] >ssh 192.168.1.0 255.255.255.0 inside >ssh timeout 5 >console timeout 0 > >: end >[OK] > >Вобщем что получилось после всех советов. И в итоге не работает =) > >Что еще может быть ? И где искать косяк ? в таком конфиге и не будет %) первое что сделать - подумать как оно будет в таком конфиге работать. >nat(inside) 0 access-list vpn_arb_splitTunnelAcl посмотри какие адреса у тебя указаны в этом acl. коран говорит что там должны быть внутренние адреса (в смысле для nat 0). >crypto dynamic-map outside_dyn_map 20 match address outside_cryptomap_dyn_20 убрать нафик. посмотри команд-референс зачем нужен матч. с таким ACL он у тебя параметры второй фазы IPSEC скорее всего не согласуются. Посмотри как делается в коране, сделай 1 в 1. и будет тебе щастье. В данном примере внимательно смотреть на split-tunnel-acl. На соурс и дестинейшен. http://www.cisco.com/en/US/tech/tk583/tk372/technologies_con... если хочешь разобраться именно в своем конфиге - разберись с нат0. потом выкладывай debug crypto isakmp debug crypto ipsec. Но скорее всего уберя нат и одну строчку в криптомапе все заработает.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]