URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 19506
[ Назад ]
Исходное сообщение
"PPTP на ASA 5505"
Отправлено DimonW , 21-Авг-09 13:14 
Добрый день , возникла проблема такого типа: необходимо с наружи попадать в локалку через VPN для наглядности вот .

[URL=http://img228.imageshack.us/i/pixpptp02.gif/][IMG&...


никак не могу найти  точной инфы есть ли на данном агрегате GRE тунелирование , кто то пишет что нету и заморачиваются с IPSec / кто то поднимает VPN на Сisco подгружая юзерров по радиусу .
перечитал кучу хелпов,уже и так и эдак, а авторизацию клиенты на VPN serv. не проходят
вроде и статику прописал и GRE тунель а никак .
может у меня где ошибка или все же GRE ASA не поддерживает ?
за ранее спасибо, надеюсь кто то поможет.
вот конфиг


Conf:
ASA Version 7.2(3)
!
hostname gateway
domain-name asa
!
interface Vlan1
nameif inside
security-level 100
ip address 10.10.1.1 255.255.255.0
!
interface Vlan3
nameif outside
security-level 0
ip address 192.168.201.1 255.255.255.0
!
interface Ethernet0/0
switchport access vlan 3
!
interface Ethernet0/1
!

access-list TEST extended permit ip any any log
access-list IN extended permit tcp any any log
access-list IN extended permit gre any 10.10.1.10 log

pager lines 24
logging enable
logging timestamp
logging standby
logging asdm-buffer-size 512
logging monitor debugging
logging buffered debugging
logging trap debugging
logging history debugging
logging asdm debugging
mtu inside 1500
mtu outside 1500
icmp unreachable rate-limit 1 burst-size 1
asdm image disk0:/asdm-523.bin
no asdm history enable
arp timeout 14400
global (outside) 2 interface
nat (inside) 2 access-list TEST

static (inside,outside) tcp interface pptp 10.10.1.10 pptp netmask 255.255.255.255

access-group IN in interface outside
route outside 0.0.0.0 0.0.0.0 192.168.201.2 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
aaa authentication enable console LOCAL
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
telnet 10.10.1.0 255.255.255.0 inside
telnet timeout 5
ssh timeout 5
console timeout 0

!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
  message-length maximum 512
policy-map global_policy
class inspection_default
  inspect dns preset_dns_map
  inspect ftp
  inspect h323 h225
  inspect h323 ras
  inspect rsh
  inspect rtsp
  inspect esmtp
  inspect sqlnet
  inspect skinny
  inspect sunrpc
  inspect xdmcp
  inspect sip
  inspect netbios
  inspect tftp
!
service-policy global_policy global

: end

Содержание
Сообщения в этом обсуждении
"PPTP на ASA 5505"
Отправлено trianon , 21-Авг-09 16:50 
Вместо:

access-list IN extended permit tcp any any log
access-list IN extended permit gre any 10.10.1.10 log

Нужно:

access-list IN extended permit tcp any int outside eq pptp
access-list IN ext permit gre any int outside

если конечно, кроме pptp нежно еще что-то то можно и весь tcp...
Можно просто поменять:
access-list IN extended permit gre any 10.10.1.10 log
на
access-list IN extended permit gre any 192.168.201.1 log

Все это в случае, если вы делаете коннект на 192.168.201.1...

"PPTP на ASA 5505"
Отправлено DimonW , 21-Авг-09 18:37 
trianon я попробовал оба способа в ответ, как и раньше

"Сервер не отвечает" :(

"PPTP на ASA 5505"
Отправлено trianon , 21-Авг-09 19:01 
> trianon я попробовал оба способа в ответ, как и раньше
>
>"Сервер не отвечает" :(

Ну тогда нужно смотреть tcpdump, wireshark и т.п. У меня вроде то же, но версия ASA Version 8.0(4)...

"PPTP на ASA 5505"
Отправлено DimonW , 24-Авг-09 12:15 
>> trianon я попробовал оба способа в ответ, как и раньше
>>
>>"Сервер не отвечает" :(
>
>Ну тогда нужно смотреть tcpdump, wireshark и т.п. У меня вроде то
>же, но версия ASA Version 8.0(4)...

попробовал wireshark посмотреть покеты

по сети все норм с внешки GRE не ходят .. видимо все же в ASA 5505 Version 7.2(3) нема GRE тунелирования

trianon а у тебя какая модель ASA ?

"PPTP на ASA 5505"
Отправлено DimonW , 26-Авг-09 13:43 
все заработало Всем спасибо необходимо было прописать

(config)#policy-map global_policy
(config-pmap)#class inspection_default
(config-pmap-c)#inspect pptp

"PPTP на ASA 5505"
Отправлено Freshtm , 16-Сен-09 13:49 
>все заработало Всем спасибо необходимо было прописать
>
>(config)#policy-map global_policy
>(config-pmap)#class inspection_default
>(config-pmap-c)#inspect pptp

Добрый день!

Такая же проблема: есть сеть, в которой в качестве шлюза стоит ASA5505, внутри этой сети сервер VPN PPTP. Снаружи у клиентов подключение затыкается на "Проверка имени пользователя и пароля". Все описанное в этой ветке пробовал - не помогает.
Подскажите, где еще смотреть?

"PPTP на ASA 5505"
Отправлено DimonW , 19-Сен-09 00:55 
>[оверквотинг удален]
>>(config-pmap)#class inspection_default
>>(config-pmap-c)#inspect pptp
>
>Добрый день!
>
>Такая же проблема: есть сеть, в которой в качестве шлюза стоит ASA5505,
>внутри этой сети сервер VPN PPTP. Снаружи у клиентов подключение затыкается
>на "Проверка имени пользователя и пароля". Все описанное в этой ветке
>пробовал - не помогает.
>Подскажите, где еще смотреть?

ну хоть конф то скинь )

"PPTP на ASA 5505"
Отправлено Freshtm , 22-Сен-09 12:19 
>ну хоть конф то скинь )

ASA Version 7.2(4)
!
hostname XXX
!
interface Vlan1
nameif inside
security-level 100
ip address 192.168.1.1 255.255.240.0
!
interface Vlan2
nameif outside
security-level 0
ip address XXX.246.236.XXX 255.255.255.252
!
interface Ethernet0/0
switchport access vlan 2
!
interface Ethernet0/1
!
interface Ethernet0/2
!
interface Ethernet0/3
!
interface Ethernet0/4
!
interface Ethernet0/5
!
interface Ethernet0/6
!
interface Ethernet0/7
!
ftp mode passive
dns domain-lookup outside
dns server-group DefaultDNS
name-server 80.250.208.250
name-server 77.246.229.253
domain-name default.domain.invalid
access-list vpn-1 extended permit ip 192.168.0.0 255.255.240.0 192.168.150.0 255.255.255.0
access-list for-nat extended permit gre any any
access-list for-nat extended permit tcp any any eq smtp
access-list for-nat extended permit tcp any any eq pptp
access-list inside_access_in extended permit tcp host 192.168.1.2 any eq smtp
access-list inside_access_in extended permit gre any any
access-list inside_access_in extended deny tcp 192.168.0.0 255.255.240.0 any eq
smtp
access-list inside_access_in extended permit ip any any
pager lines 24
logging asdm informational
mtu inside 1500
mtu outside 1500
no failover
icmp unreachable rate-limit 1 burst-size 1
asdm image disk0:/asdm-524.bin
no asdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list vpn-1
nat (inside) 1 0.0.0.0 0.0.0.0
static (inside,outside) tcp interface smtp 192.168.1.2 smtp netmask 255.255.255.255
static (inside,outside) tcp interface pptp 192.168.1.11 pptp netmask 255.255.255.255
access-group inside_access_in in interface inside
access-group for-nat in interface outside
route outside 0.0.0.0 0.0.0.0 XXX.246.236.XXX 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
http server enable
http 192.168.0.0 255.255.240.0 inside
no snmp-server location
no snmp-server contact
crypto ipsec transform-set vpn-to-zavod esp-3des esp-md5-hmac
crypto map vpn-to-zavod 10 match address vpn-1
crypto map vpn-to-zavod 10 set peer XXX.244.15.XXX
crypto map vpn-to-zavod 10 set transform-set vpn-to-zavod
crypto map vpn-to-zavod interface outside
crypto isakmp identity address
crypto isakmp enable outside
crypto isakmp policy 10
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 86400
telnet 192.168.0.0 255.255.240.0 inside
telnet XXX.244.15.XXX 255.255.255.255 outside
telnet XXX.247.151.XXX 255.255.255.255 outside
telnet XXX.77.120.XXX 255.255.255.255 outside
telnet timeout 5
ssh 0.0.0.0 0.0.0.0 outside
ssh timeout 5
console timeout 0

tunnel-group XXX.244.15.XXX type ipsec-l2l
tunnel-group XXX.244.15.XXX ipsec-attributes
pre-shared-key *
!
!
prompt hostname context
Cryptochecksum:a0ba71eb9205e1b573f8e156095c308d
: end


"PPTP на ASA 5505"
Отправлено DimonW , 22-Сен-09 23:28 
Такая же проблема как и  у меня ) пропиши инспектирование GRE и будет счастье ))

решение проблемы парой постов выше ) мною написано

"PPTP на ASA 5505"
Отправлено Freshtm , 23-Сен-09 09:29 
>Такая же проблема как и  у меня ) пропиши инспектирование GRE
>и будет счастье ))
>
>решение проблемы парой постов выше ) мною написано

Ты имеешь ввиду это?
>(config)#policy-map global_policy
>(config-pmap)#class inspection_default
>(config-pmap-c)#inspect pptp

Делал, не помогает((


"PPTP на ASA 5505"
Отправлено DimonW , 23-Сен-09 11:10 

>Делал, не помогает((

в твоем конфиге нет такой записи ..  у меня именно на авторизации зависало .. проблема только в этом .. пропиши ..

"PPTP на ASA 5505"
Отправлено Freshtm , 23-Сен-09 11:19 
>
>>Делал, не помогает((
>
>в твоем конфиге нет такой записи ..  у меня именно на
>авторизации зависало .. проблема только в этом .. пропиши ..

нет, потому что я ее снес т.к. не работало
Сейчас попробую еще раз