форумы  правила/FAQ  поиск  регистрация  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Маршрутизаторы CISCO и др. оборудование. (VPN, VLAN, туннель)
Изначальное сообщение		[ Отслеживать ]

"IPsec между CiscoASA и Router"	+/–
Сообщение от Doc (ok) on 19-Сен-17, 13:47
Здравствуйте, нужна помощь.    есть cisco ASA 5520 (ios 916), около 10 работающих туннелей IPSEC Туннели, на которых работают с обеих сторон ciscoASA, абсолютно нормальны. А вот с туннелями, поднятыми с маршрутизаторами, возникает такая проблема: Если туннель инициализируется трафиком со стороны ASA, туннель поднимается, и трафик идет. Но если инициализировать туннель трафиком со стороны маршрутизатора, то туннель не поднимается вообще. Так работают тоннели как cisco, microtik так и с linux, проблема со всеми маршрутами одинакова.
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "IPsec между CiscoASA и Router"	+/–
Сообщение от name (??) on 19-Сен-17, 19:48
ну а в дебаге что?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	3. "IPsec между CiscoASA и Router"	+/–
	Сообщение от Doc (ok) on 20-Сен-17, 14:17
	> ну а в дебаге что? в том то все и дело что ничего ни со стороны роутера ни со стороны асы нет в дебаге ничего как только посылаешь пакет со стороны асы все начинает лететь
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	5. "IPsec между CiscoASA и Router"	+/–
	Сообщение от Doc (ok) on 20-Сен-17, 15:10
	> ну а в дебаге что? вот что на в дебаге на стороне ASA esp request discarded from
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	6. "IPsec между CiscoASA и Router"	+/–
	Сообщение от Doc (ok) on 20-Сен-17, 21:22
	эксперименты показали следующие ситуация не меняться при изменении ios ASA (тесты проводились начиная с ios 7.4 и до 9.6) а вот с заменой ios у роутера все иначе с IOS старых версии 12.3 и 12.4 все начинает работать (при том же конфиге) а вот как переходит на ios 15.хх начинается петрушка описанная выше вот только в чем тут разница нифига не понятно
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "IPsec между CiscoASA и Router"	+/–
Сообщение от biglanis on 20-Сен-17, 13:20
У вас не правильно настроен туннель между асашкой и роутером!
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	4. "IPsec между CiscoASA и Router"	+/–
	Сообщение от Doc (ok) on 20-Сен-17, 14:20
	> У вас не правильно настроен туннель между асашкой и роутером! сейчас  собрали стенд  , ситуация таже вот конфиг со стороны роутера : Current configuration : 2215 bytes ! version 15.0 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname gw ! boot-start-marker boot-end-marker ! ! no aaa new-model ! ! ! ! ! ! dot11 syslog ip source-route --More-- *Sep 20 12:57:27.531: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed s!        p ! ip cef ip dhcp excluded-address 192.168.2.1 192.168.2.10 ! ip dhcp pool LAN    network 192.168.2.0 255.255.255.0    default-router 192.168.2.1    dns-server 192.168.2.1 ! ! ip domain name test.local no ipv6 cef ! multilink bundle-name authenticated ! ! ! ! ! ! ! ! ! ! voice-card 0 ! ! ! license udi pid CISCO2811 sn FCZ121270LQ archive log config   hidekeys ! redundancy ! ! ! ! crypto isakmp policy 10 encr 3des authentication pre-share group 2 crypto isakmp key 12345 address 100.100.100.2 ! crypto ipsec security-association lifetime seconds 28800 ! crypto ipsec transform-set ITG esp-3des esp-sha-hmac ! crypto map ITG 1 ipsec-isakmp description Tunnel to ITG set peer 100.100.100.2 set security-association lifetime seconds 86400 set transform-set ITG match address 121 ! ! ! ! ! ! interface FastEthernet0/0 ip address 100.100.100.1 255.255.255.0 ip nat outside ip virtual-reassembly no ip route-cache cef no ip route-cache duplex auto speed auto crypto map ITG ! ! interface FastEthernet0/1 ip address 192.168.2.1 255.255.255.0 ip nat inside ip virtual-reassembly no ip route-cache cef no ip route-cache duplex auto speed auto ! ! ip forward-protocol nd ip http server no ip http secure-server ! ! ip nat pool test 100.100.100.1 100.100.100.1 netmask 255.255.255.252 ip nat inside source list 101 pool test overload ip route 0.0.0.0 0.0.0.0 100.100.100.2 ! access-list 101 deny   ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 access-list 101 permit ip 192.168.2.0 0.0.0.255 any access-list 121 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 ! ! ! ! ! ! control-plane ! ! ! ! ! ! ! ! ! line con 0 line aux 0 line vty 0 4 access-class 23 in privilege level 15 login transport input telnet ssh line vty 5 15 access-class 23 in privilege level 15 login transport input telnet ssh ! scheduler allocate 20000 1000 ntp server 192.0.2.10 time-range guest periodic weekdays 8:00 to 16:00 periodic Saturday 10:00 to 14:00 ! end вот конфиг со стороны асы : ASA Version 9.1(5) ! hostname ciscoasa enable password 8Ry2YjIyt7RRXU24 encrypted names ! interface Ethernet0/0 nameif outside security-level 0 ip address 100.100.100.2 255.255.255.0 ! interface Ethernet0/1 nameif inside security-level 100 ip address 192.168.1.1 255.255.255.0 ! interface Ethernet0/2 shutdown no nameif no security-level no ip address ! interface Ethernet0/3 shutdown no nameif no security-level no ip address ! interface Management0/0 shutdown no nameif no security-level no ip address ! ftp mode passive object network obj-192.168.2.0 subnet 192.168.2.0 255.255.255.0 object network obj-192.168.1.0 subnet 192.168.1.0 255.255.255.0 access-list cacltest extended permit ip object obj-192.168.1.0 object obj-192.168.2.0 access-list inside-in extended permit ip any any pager lines 24 mtu outside 1500 mtu inside 1500 no failover icmp unreachable rate-limit 1 burst-size 1 asdm image disk0:/asdm-732.bin no asdm history enable arp timeout 14400 no arp permit-nonconnected nat (inside,outside) source static any any destination static obj-192.168.1.0 obj-192.168.1.0 access-group inside-in in interface inside route outside 0.0.0.0 0.0.0.0 100.100.100.1 1 timeout xlate 3:00:00 timeout pat-xlate 0:00:30 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute timeout tcp-proxy-reassembly 0:01:00 timeout floating-conn 0:00:00 dynamic-access-policy-record DfltAccessPolicy user-identity default-domain LOCAL http server enable http 0.0.0.0 0.0.0.0 outside http 0.0.0.0 0.0.0.0 inside no snmp-server location no snmp-server contact snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart crypto ipsec ikev1 transform-set ITG esp-3des esp-sha-hmac crypto ipsec security-association pmtu-aging infinite crypto map cmPeerAndDynamic 10 match address cacltest crypto map cmPeerAndDynamic 10 set peer 100.100.100.1 crypto map cmPeerAndDynamic 10 set ikev1 transform-set ITG crypto map cmPeerAndDynamic interface outside crypto ca trustpool policy crypto ikev1 enable outside crypto ikev1 policy 1 authentication pre-share encryption 3des hash sha group 2 lifetime 86400 crypto ikev1 policy 65535 authentication pre-share encryption 3des hash sha group 2 lifetime 86400 telnet timeout 5 ssh stricthostkeycheck ssh timeout 5 ssh key-exchange group dh-group1-sha1 console timeout 0 dhcpd address 192.168.1.10-192.168.1.254 inside dhcpd enable inside ! threat-detection statistics access-list no threat-detection statistics tcp-intercept tunnel-group 100.100.100.1 type ipsec-l2l tunnel-group 100.100.100.1 ipsec-attributes ikev1 pre-shared-key ***** ! ! prompt hostname context no call-home reporting anonymous call-home profile CiscoTAC-1   no active   destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService   destination address email callhome@cisco.com   destination transport-method http   subscribe-to-alert-group diagnostic   subscribe-to-alert-group environment   subscribe-to-alert-group inventory periodic monthly   subscribe-to-alert-group configuration periodic monthly   subscribe-to-alert-group telemetry periodic daily Cryptochecksum:a360df0c41b5d69c2fcaa9dbf18ef9f0 : end
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	7. "IPsec между CiscoASA и Router"	+/–
	Сообщение от zanswer CCNA RS and S on 21-Сен-17, 07:17
	>[оверквотинг удален] >   destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService >   destination address email callhome@cisco.com >   destination transport-method http >   subscribe-to-alert-group diagnostic >   subscribe-to-alert-group environment >   subscribe-to-alert-group inventory periodic monthly >   subscribe-to-alert-group configuration periodic monthly >   subscribe-to-alert-group telemetry periodic daily > Cryptochecksum:a360df0c41b5d69c2fcaa9dbf18ef9f0 > : end Я собрал ваш стенд в EVE-NG, выполняю инициализацию туннеля со стороны IOS маршрутизатора, ASAv не каких ошибок не выдаёт, трафик шифруется.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	8. "IPsec между CiscoASA и Router"	+/–
	Сообщение от Doc (ok) on 21-Сен-17, 11:08
	>[оверквотинг удален] >>   destination transport-method http >>   subscribe-to-alert-group diagnostic >>   subscribe-to-alert-group environment >>   subscribe-to-alert-group inventory periodic monthly >>   subscribe-to-alert-group configuration periodic monthly >>   subscribe-to-alert-group telemetry periodic daily >> Cryptochecksum:a360df0c41b5d69c2fcaa9dbf18ef9f0 >> : end > Я собрал ваш стенд в EVE-NG, выполняю инициализацию туннеля со стороны IOS > маршрутизатора, ASAv не каких ошибок не выдаёт, трафик шифруется. IOS на маршрутизаторе какой? пришлите конфиги для сравнения . плиз
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	10. "IPsec между CiscoASA и Router"	+/–
	Сообщение от zanswer CCNA RS and S on 21-Сен-17, 17:20
	>[оверквотинг удален] >>>   subscribe-to-alert-group environment >>>   subscribe-to-alert-group inventory periodic monthly >>>   subscribe-to-alert-group configuration periodic monthly >>>   subscribe-to-alert-group telemetry periodic daily >>> Cryptochecksum:a360df0c41b5d69c2fcaa9dbf18ef9f0 >>> : end >> Я собрал ваш стенд в EVE-NG, выполняю инициализацию туннеля со стороны IOS >> маршрутизатора, ASAv не каких ошибок не выдаёт, трафик шифруется. > IOS на маршрутизаторе какой? > пришлите конфиги для сравнения . плиз "R0#show version Cisco IOS Software, Linux Software (I86BI_LINUX-ADVENTERPRISEK9-M), Version 15.4(2)T4, DEVELOPMENT TEST SOFTWARE R0#show running-config Building configuration... Current configuration : 1917 bytes ! version 15.4 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname R0 ! boot-start-marker boot-end-marker ! no aaa new-model clock timezone MSK 3 0 mmi polling-interval 60 no mmi auto-configure no mmi pvc mmi snmp-timeout 180 ! ip dhcp excluded-address 192.168.2.1 192.168.2.10 ! ip dhcp pool LAN network 192.168.2.0 255.255.255.0 default-router 192.168.2.1 dns-server 192.168.2.1 ! ip domain name test.local ip cef no ipv6 cef ! multilink bundle-name authenticated ! redundancy ! crypto isakmp policy 10 encr 3des authentication pre-share group 2 crypto isakmp key 12345 address 100.100.100.2 ! crypto ipsec security-association lifetime seconds 28800 ! crypto ipsec transform-set ITG esp-3des esp-sha-hmac mode tunnel ! crypto map ITG 1 ipsec-isakmp description Tunnel to ITG set peer 100.100.100.2 set security-association lifetime seconds 86400 set transform-set ITG match address 121 ! interface Ethernet0/0 ip address 100.100.100.1 255.255.255.0 ip nat outside ip virtual-reassembly in crypto map ITG ! interface Ethernet0/1 ip address 192.168.2.1 255.255.255.0 ip nat inside ip virtual-reassembly in ! interface Ethernet0/2 no ip address shutdown ! interface Ethernet0/3 no ip address shutdown ! ip forward-protocol nd ! no ip http server no ip http secure-server ip nat pool test 100.100.100.1 100.100.100.1 netmask 255.255.255.252 ip nat inside source list 101 pool test overload ip route 0.0.0.0 0.0.0.0 100.100.100.2 ! access-list 101 deny   ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 access-list 101 permit ip 192.168.2.0 0.0.0.255 any access-list 121 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 ! control-plane ! line con 0 logging synchronous line aux 0 line vty 0 4 login transport input none ! end" "ciscoasa# show version Cisco Adaptive Security Appliance Software Version 9.4(1) Device Manager Version 7.4(1) ciscoasa# show running-config : Saved : : Serial Number: 9AM4VU1T35N : Hardware:   ASAv, 2048 MB RAM, CPU Pentium II 2333 MHz : ASA Version 9.4(1) ! hostname ciscoasa enable password 8Ry2YjIyt7RRXU24 encrypted xlate per-session deny tcp any4 any4 xlate per-session deny tcp any4 any6 xlate per-session deny tcp any6 any4 xlate per-session deny tcp any6 any6 xlate per-session deny udp any4 any4 eq domain xlate per-session deny udp any4 any6 eq domain xlate per-session deny udp any6 any4 eq domain xlate per-session deny udp any6 any6 eq domain names ! interface GigabitEthernet0/0 nameif outside security-level 0 ip address 100.100.100.2 255.255.255.0 ! interface GigabitEthernet0/1 nameif inside security-level 100 ip address 192.168.1.1 255.255.255.0 ! interface GigabitEthernet0/2 shutdown no nameif no security-level no ip address ! interface GigabitEthernet0/3 shutdown no nameif no security-level no ip address ! interface GigabitEthernet0/4 shutdown no nameif no security-level no ip address ! interface GigabitEthernet0/5 shutdown no nameif no security-level no ip address ! interface GigabitEthernet0/6 shutdown no nameif no security-level no ip address ! interface Management0/0 management-only nameif management security-level 100 ip address 172.16.64.200 255.255.255.0 ! ftp mode passive object network obj-192.168.2.0 subnet 192.168.2.0 255.255.255.0 object network obj-192.168.1.0 subnet 192.168.1.0 255.255.255.0 access-list cacltest extended permit ip object obj-192.168.1.0 object obj-192.168.2.0 access-list inside-in extended permit ip any any pager lines 23 logging enable logging asdm informational mtu outside 1500 mtu inside 1500 mtu management 1500 no failover no monitor-interface service-module icmp unreachable rate-limit 1 burst-size 1 no asdm history enable arp timeout 14400 no arp permit-nonconnected nat (inside,outside) source static any any destination static obj-192.168.1.0 obj-192.168.1.0 access-group inside-in in interface inside route outside 0.0.0.0 0.0.0.0 100.100.100.1 1 timeout xlate 3:00:00 timeout pat-xlate 0:00:30 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute timeout tcp-proxy-reassembly 0:01:00 timeout floating-conn 0:00:00 user-identity default-domain LOCAL http server enable http 172.16.64.0 255.255.255.0 management no snmp-server location no snmp-server contact crypto ipsec ikev1 transform-set ITG esp-3des esp-sha-hmac crypto ipsec ikev2 sa-strength-enforcement crypto ipsec security-association pmtu-aging infinite crypto map cmPeerAndDynamic 10 match address cacltest crypto map cmPeerAndDynamic 10 set peer 100.100.100.1 crypto map cmPeerAndDynamic 10 set ikev1 transform-set ITG crypto map cmPeerAndDynamic interface outside crypto ca trustpoint _SmartCallHome_ServerCA no validation-usage crl configure crypto ca trustpool policy crypto ca certificate chain _SmartCallHome_ServerCA quit crypto ikev1 enable outside crypto ikev1 policy 1 authentication pre-share encryption 3des hash sha group 2 lifetime 86400 crypto ikev1 policy 65535 authentication pre-share encryption 3des hash sha group 2 lifetime 86400 telnet timeout 5 ssh stricthostkeycheck ssh timeout 5 ssh version 1 ssh key-exchange group dh-group1-sha1 console timeout 0 dhcpd address 192.168.1.10-192.168.1.254 inside dhcpd enable inside ! threat-detection basic-threat threat-detection statistics access-list no threat-detection statistics tcp-intercept dynamic-access-policy-record DfltAccessPolicy tunnel-group 100.100.100.1 type ipsec-l2l tunnel-group 100.100.100.1 ipsec-attributes ikev1 pre-shared-key ***** ! class-map inspection_default match default-inspection-traffic ! ! policy-map type inspect dns preset_dns_map parameters   message-length maximum client auto   message-length maximum 512 policy-map global_policy class inspection_default   inspect ip-options   inspect netbios   inspect rtsp   inspect sunrpc   inspect tftp   inspect xdmcp   inspect dns preset_dns_map   inspect ftp   inspect h323 h225   inspect h323 ras   inspect rsh   inspect esmtp   inspect sqlnet   inspect sip   inspect skinny policy-map type inspect dns migrated_dns_map_1 parameters   message-length maximum client auto   message-length maximum 512 ! service-policy global_policy global prompt hostname context no call-home reporting anonymous call-home profile CiscoTAC-1   no active   destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService   destination address email callhome@cisco.com   destination transport-method http   subscribe-to-alert-group diagnostic   subscribe-to-alert-group environment   subscribe-to-alert-group inventory periodic monthly 10   subscribe-to-alert-group configuration periodic monthly 10   subscribe-to-alert-group telemetry periodic daily profile License   destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService   destination transport-method http Cryptochecksum:ba0487089b476981b97e494c5fe62d11 : end"
	Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

	9. "IPsec между CiscoASA и Router"	+/–
	Сообщение от Doc (ok) on 21-Сен-17, 14:04
	>[оверквотинг удален] >>   destination transport-method http >>   subscribe-to-alert-group diagnostic >>   subscribe-to-alert-group environment >>   subscribe-to-alert-group inventory periodic monthly >>   subscribe-to-alert-group configuration periodic monthly >>   subscribe-to-alert-group telemetry periodic daily >> Cryptochecksum:a360df0c41b5d69c2fcaa9dbf18ef9f0 >> : end > Я собрал ваш стенд в EVE-NG, выполняю инициализацию туннеля со стороны IOS > маршрутизатора, ASAv не каких ошибок не выдаёт, трафик шифруется. попробуйте принудительно положить тоннель со стороны роутера , поднимется ли
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	11. "IPsec между CiscoASA и Router"	+/–
	Сообщение от zanswer CCNA RS and S on 21-Сен-17, 17:35
	>[оверквотинг удален] >>>   subscribe-to-alert-group diagnostic >>>   subscribe-to-alert-group environment >>>   subscribe-to-alert-group inventory periodic monthly >>>   subscribe-to-alert-group configuration periodic monthly >>>   subscribe-to-alert-group telemetry periodic daily >>> Cryptochecksum:a360df0c41b5d69c2fcaa9dbf18ef9f0 >>> : end >> Я собрал ваш стенд в EVE-NG, выполняю инициализацию туннеля со стороны IOS >> маршрутизатора, ASAv не каких ошибок не выдаёт, трафик шифруется. > попробуйте принудительно положить тоннель со стороны роутера , поднимется ли Если клиент направит трафик, то да, поднимется.
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	12. "IPsec между CiscoASA и Router"	+/–
	Сообщение от Doc (ok) on 22-Сен-17, 15:31
	>[оверквотинг удален] >>>>   subscribe-to-alert-group environment >>>>   subscribe-to-alert-group inventory periodic monthly >>>>   subscribe-to-alert-group configuration periodic monthly >>>>   subscribe-to-alert-group telemetry periodic daily >>>> Cryptochecksum:a360df0c41b5d69c2fcaa9dbf18ef9f0 >>>> : end >>> Я собрал ваш стенд в EVE-NG, выполняю инициализацию туннеля со стороны IOS >>> маршрутизатора, ASAv не каких ошибок не выдаёт, трафик шифруется. >> попробуйте принудительно положить тоннель со стороны роутера , поднимется ли > Если клиент направит трафик, то да, поднимется. у нас ни в какую , не хочет только при откате на ios на 12 версию
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

	13. "IPsec между CiscoASA и Router"	+/–
	Сообщение от zanswer CCNA RS and S on 25-Сен-17, 06:21
	>[оверквотинг удален] >>>>>   subscribe-to-alert-group configuration periodic monthly >>>>>   subscribe-to-alert-group telemetry periodic daily >>>>> Cryptochecksum:a360df0c41b5d69c2fcaa9dbf18ef9f0 >>>>> : end >>>> Я собрал ваш стенд в EVE-NG, выполняю инициализацию туннеля со стороны IOS >>>> маршрутизатора, ASAv не каких ошибок не выдаёт, трафик шифруется. >>> попробуйте принудительно положить тоннель со стороны роутера , поднимется ли >> Если клиент направит трафик, то да, поднимется. > у нас ни в какую , не хочет > только при откате на ios на 12 версию Хорошо, давайте в таком случае делать debug, поскольку других вариантов не остаётся. Активируйте находясь в Cli: debug crypto ikev1 (1-255), debug crypto ipsec (1-255).
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема