Добрый день

Есть Pix 515(DMZ,IN,OUT) в центральном офисе и в удаленный офисах cisco 18XX и pix501

                                 /(dmz) 192.168.70.0
88.134.XXX.140(outside) - PIX515
                                 \(inside) 192.168.0.1

Между Ц.О. и отделениями настроены VPN соединения.
Все это работает определенное время от 2 дней до недели и возникают проблемы.
Как правило с одним или двумя офисами.
1. Пропадает связь между одним из уд. офисов с PIX515(DMZ) причем связь с интерфейсом INside остается. Был один случай наоборот связь есть между уд. оффисом и inside, а с DMZ нету.
Причем на Циске из удаленного офиса:    
sh crypto isakmp sa
SA устанавливается но в Дебаге пишет %CRYPTO-4-RECVD_PKT_INV_SPI: decaps: rec'd IPSEC packet has invalid spi for destaddr

Мероприятия типа :
clear cry sa ;
clear cry isakmp %номер SA%;
Отвязка на время до 15 минут crypto map привязка обратно;
полная перезагрузка уд-го марутизатора ;
НИЧЕГО результата не дает.

Помогает перезагрузка Pix 515. Но это же не дело 8-(.  
Да и еще  по теме VPN изначально можно поднять только из Ц.O. из удаленных офисов VPN не поднимается.  Но это не главное хотя это может быть и нить для решения (ее я пока не дебажил)

Конфиги на cisco 18XX
...
!
crypto isakmp policy 11
encr 3des
hash md5
authentication pre-share
group 2
crypto isakmp key 1234567 address 88.134.XXX.140
!
!
crypto ipsec transform-set myname esp-3des esp-md5-hmac
!
crypto map nolan 11 ipsec-isakmp
set peer 88.134.XXX.140
set transform-set myname
match address 120
!
!
!
!
interface FastEthernet0
ip address 212.5.AAA.130 255.255.255.0
ip nat outside
ip virtual-reassembly
duplex auto
speed auto
crypto map nolan
!
interface BRI0
no ip address
encapsulation hdlc
shutdown
!
interface FastEthernet1
!
...
!
interface FastEthernet8
!
interface ATM0
no ip address
no atm ilmi-keepalive
dsl operating-mode auto
!
!
interface Vlan1
description LAN-Region-Pro
ip address 192.168.74.1 255.255.255.0
ip nat inside
ip virtual-reassembly
no ip route-cache cef
ip tcp adjust-mss 1452
hold-queue 100 out
!
!
ip route 0.0.0.0 0.0.0.0 212.5.AAA.254
!
!
no ip http server
no ip http secure-server
ip nat inside source route-map nonat interface FastEthernet0 overload
!
access-list 23 permit $mynets & host
access-list 120 permit ip 192.168.74.0 0.0.0.255 192.168.0.0 0.0.0.255
access-list 120 permit ip 192.168.74.0 0.0.0.255 192.168.70.0 0.0.0.255
access-list 130 deny   ip 192.168.74.0 0.0.0.255 192.168.0.0 0.0.0.255
access-list 130 deny   ip 192.168.74.0 0.0.0.255 192.168.70.0 0.0.0.255
access-list 130 permit ip 192.168.74.0 0.0.0.255 any
no cdp run
!
!
!
route-map nonat permit 10
match ip address 130
!
!
Pix подключен так

                                /(dmz) 192.168.70.0
88.134.211.140(outside) - PIX515
                                \(inside) 192.168.0.1

Помогите вопрос важный, прегружать PIX постоянно не могу на нем мно чего еще.
Решения на cisco.com clear SA как я писал не помогают, Может РОССИЙСКИЕ спецы помогут.
Заранее благодарен.

• проблемы с VPN  соединениями,Banshee, 11:58 , 04-Июн-07
  • проблемы с VPN  соединениями,Дмитрий, 15:41 , 06-Июн-07

>Причем на Циске из удаленного офиса:
>sh crypto isakmp sa
>SA устанавливается но в Дебаге пишет %CRYPTO-4-RECVD_PKT_INV_SPI: decaps: rec'd IPSEC packet has invalid spi for destaddr

>Помогите вопрос важный, прегружать PIX постоянно не могу на нем мно чего
>еще.
>Решения на cisco.com clear SA как я писал не помогают, Может РОССИЙСКИЕ
>спецы помогут.
>Заранее благодарен.

Пардон, но cisco.com всё-таки вернее :)
Судя по %CRYPTO-4-RECVD_PKT_INV_SPI: decaps: rec'd IPSEC packet has invalid spi for destaddr , ваши SA устанавливаются с неверными параметрами, и потому не работают корректно. Существует механизм, позволяющий отслеживать такие ситуации и ресинхронизировать SA базы. Эта фича называется Invalid Security Parameter Index Recovery и активируется очень легко:
Router (config)# crypto isakmp invalid-spi-recovery
Попробуйте установить эту настройку на всех девайсах.

http://www.cisco.com/en/US/products/sw/iosswrel/ps5207/produ...

> >Причем на Циске из удаленного офиса:
>>sh crypto isakmp sa
>>SA устанавливается но в Дебаге пишет %CRYPTO-4-RECVD_PKT_INV_SPI: decaps: rec'd IPSEC ресинхронизировать SA базы.
>Эта фича называется Invalid Security Parameter Index Recovery и активируется очень
>легко:
>Router (config)# crypto isakmp invalid-spi-recovery
>Попробуйте установить эту настройку на всех девайсах.
Пробовал эту опцию, не помогает, тем более в хелпе назначение этой команды описано так
invalid-spi-recovery  Initiate IKE and send Invalid SPI Notify
Инициировать IKE и послать уведомление о  inv SPI  

Ну неужели нет решения ...?
Есть ли практика обращаться на support@cisco.com ?