Всем доброго времени суток.Есть у меня вот такая схема подключения
[Remote-Access VPN Client] <-Tunnel-> [ASA 5510] <-Tunnel-> [ASA5505] <-> [SERVER]
Для Remote-Access VPN Client peer'ом является первый внешний интерфейс ASA 5510, Site-to-Site VPN между ASA 5510 и ASA 5505 поднят на втором интерфейсе ASA 5510. Remote-Access VPN Client получает IP из сети 10.10.10.х/24, SERVER имеет IP из сети 192.168.204.х/24, трафик между сетями 10.10.10.х/24 и 192.168.204.х/24 добавлен в split tunneling для Remote-Access VPN и криптуется. Отбор траффика для криптования в Site-to-Site VPN между двумя ASA осуществляется Crypto Map'ом на втором интерфейсе ASA 5510.
Не могу подключиться с Remote-Access VPN Client'а на сервер SERVER, пакеты не доходят даже до сетефого интерфейса сервера (смотрел tcpdump'ом), теряются где-то внутри ASA 5510. Командой capture ни на одном интерфейсе ASA 5510 я данный трафик отследить не могу - на первом интерфейсе он закриптован, а на втором его либо нет, либо он тоже закриптован - увы, не могу понять...
Вот что выдает на ASA 5510 команда
packet-tracer input FIRST tcp 10.10.10.6 12586 192.168.204.20 22 deatiled
---------------
Phase: 1
Type: FLOW-LOOKUP
Subtype:
Result: ALLOW
Config:
Additional Information:
Found no matching flow, creating a new flow
Phase: 2
Type: ROUTE-LOOKUP
Subtype: input
Result: ALLOW
Config:
Additional Information:
in NET-204 255.255.255.0 INT-SECOND
Phase: 3
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group ACL-OUTSIDE-FIRST in interface INT-FIRST
access-list ACL-OUTSIDE-FIRST extended permit ip VPN-IP-POOL 255.255.255.0 object-group GROUP-ALL-NET
object-group network GROUP-ALL-NET
network-object NET-199 255.255.255.0
network-object NET-200 255.255.255.0
network-object NET-204 255.255.255.0
Additional Information:
Forward Flow based lookup yields rule:
in id=0xd8b4bec8, priority=12, domain=permit, deny=false
hits=630, user_data=0xd7ed4180, cs_id=0x0, flags=0x0, protocol=0
src ip=VPN-IP-POOL, mask=255.255.255.0, port=0
dst ip=NET-204, mask=255.255.255.0, port=0, dscp=0x0
Phase: 4
Type: ACCESS-LIST
Subtype: aaa-user
Result: ALLOW
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0xdadacaf8, priority=12, domain=aaa-user, deny=false
hits=3, user_data=0xa, cs_id=0x0, flags=0x0, protocol=6
src ip=10.10.10.6, mask=255.255.255.255, port=0
dst ip=NET-204, mask=255.255.255.0, port=22, dscp=0x0
Phase: 5
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0xd80fac48, priority=0, domain=permit-ip-option, deny=true
hits=36853091, user_data=0x0, cs_id=0x0, reverse, flags=0x0, protocol=0
src ip=0.0.0.0, mask=0.0.0.0, port=0
dst ip=0.0.0.0, mask=0.0.0.0, port=0, dscp=0x0
Phase: 6
Type: CP-PUNT
Subtype:
Result: ALLOW
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0xdae9b348, priority=89, domain=punt, deny=true
hits=55, user_data=0xd75c3e80, cs_id=0x0, flags=0x0, protocol=0
src ip=10.10.10.6, mask=255.255.255.255, port=0
dst ip=0.0.0.0, mask=0.0.0.0, port=0, dscp=0x0
Phase: 7
Type: VPN
Subtype: ipsec-tunnel-flow
Result: ALLOW
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0xd8b12a90, priority=69, domain=ipsec-tunnel-flow, deny=false
hits=2, user_data=0x12cc9b5c, cs_id=0x0, reverse, flags=0x0, protocol=0
src ip=10.10.10.6, mask=255.255.255.255, port=0
dst ip=0.0.0.0, mask=0.0.0.0, port=0, dscp=0x0
Phase: 8
Type: FOVER
Subtype: standby-update
Result: ALLOW
Config:
Additional Information:
Forward Flow based lookup yields rule:
in id=0xd80fda08, priority=20, domain=lu, deny=false
hits=3610602, user_data=0x0, cs_id=0x0, flags=0x0, protocol=6
src ip=0.0.0.0, mask=0.0.0.0, port=0
dst ip=0.0.0.0, mask=0.0.0.0, port=0, dscp=0x0
Phase: 9
Type: VPN
Subtype: encrypt
Result: DROP
Config:
Additional Information:
Forward Flow based lookup yields rule:
out id=0xda98ddc0, priority=70, domain=encrypt, deny=false
hits=98, user_data=0x0, cs_id=0xd7fb9828, reverse, flags=0x0, protocol=0
src ip=VPN-IP-POOL, mask=255.255.255.0, port=0
dst ip=NET-204, mask=255.255.255.0, port=0, dscp=0x0
Result:
input-interface: INT-FIRST
input-status: up
input-line-status: up
output-interface: INT-SECOND
output-status: up
output-line-status: up
Action: drop
Drop-reason: (acl-drop) Flow is denied by configured rule
--------------
Не понимаю, отчего в Phase: 9 пакеты сбрасываются, ведь в Crypto Map'е для Site-to-Site VPN трафик между сетями 10.10.10.х/24 и 192.168.204.х/24 прописан...
Может кто сталкивался с подобной ситуацией и подскажет, где тут собака порылась?
Спасибо заранее!
Вариант для распечатки
