URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 20263
[ Назад ]
Исходное сообщение
"Настройка VPN на CISCO ASA5505 через IPsec (L2TP windows XP)"
Отправлено Klondayk , 24-Дек-09 16:35 
Сильно не ругайте, в Цисках пока чайник.
Подскажите, пожалуйста, что делаю не так?
Нужно настроить VPN соединение на ASA5505. Клиенты - Windows XP, Vista, 7 через L2TP.
Debug:
4|Dec 24 2009|16:20:12|113019|||||Group = DefaultRAGroup, Username = , IP = evg, Session disconnected. Session Type: IPsec, Duration: 0h:00m:01s, Bytes xmt: 829, Bytes rcv: 1023, Reason: L2TP initiated
6|Dec 24 2009|16:20:12|602304|||||IPSEC: An outbound remote access SA (SPI= 0x65988103) between 172.16.109.100 and evg (user= DefaultRAGroup) has been deleted.
6|Dec 24 2009|16:20:12|602304|||||IPSEC: An inbound remote access SA (SPI= 0x8C755A76) between 172.16.109.100 and evg (user= DefaultRAGroup) has been deleted.
6|Dec 24 2009|16:20:12|603107|||||L2TP Tunnel deleted, tunnel_id = 7, remote_peer_ip = evg
6|Dec 24 2009|16:20:12|603106|||||L2TP Tunnel created, tunnel_id is 7, remote_peer_ip is evg
6|Dec 24 2009|16:20:12|302014|escm|139|172.16.109.100|57253|Teardown TCP connection 4250 for inside:escm/139 to identity:172.16.109.100/57253 duration 0:00:00 bytes 412 TCP FINs
4|Dec 24 2009|16:20:12|737013|||||IPAA: Error freeing address 0.0.0.0, not found
6|Dec 24 2009|16:20:12|113005|||||AAA user authentication Rejected : reason = AAA failure : server = escm : user = ESCMO\evg
6|Dec 24 2009|16:20:11|302013|escm|139|172.16.109.100|57253|Built outbound TCP connection 4250 for inside:escm/139 (escm/139) to identity:172.16.109.100/57253 (172.16.109.100/57253)
5|Dec 24 2009|16:20:10|713120|||||Group = DefaultRAGroup, IP = 172.16.109.87, PHASE 2 COMPLETED (msgid=3b028c01)
6|Dec 24 2009|16:20:10|602303|||||IPSEC: An inbound remote access SA (SPI= 0x8C755A76) between 172.16.109.100 and evg (user= DefaultRAGroup) has been created.
6|Dec 24 2009|16:20:10|602303|||||IPSEC: An outbound remote access SA (SPI= 0x65988103) between 172.16.109.100 and evg (user= DefaultRAGroup) has been created.
5|Dec 24 2009|16:20:10|713049|||||Group = DefaultRAGroup, IP = 172.16.109.87, Security negotiation complete for User ()  Responder, Inbound SPI = 0x8c755a76, Outbound SPI = 0x65988103
5|Dec 24 2009|16:20:10|713119|||||Group = DefaultRAGroup, IP = 172.16.109.87, PHASE 1 COMPLETED
6|Dec 24 2009|16:20:10|113009|||||AAA retrieved default group policy (DefaultRAGroup) for user = DefaultRAGroup
4|Dec 24 2009|16:20:10|713903|||||Group = DefaultRAGroup, IP = 172.16.109.87, Freeing previously allocated memory for authorization-dn-attributes
6|Dec 24 2009|16:20:10|713172|||||Group = DefaultRAGroup, IP = 172.16.109.87, Automatic NAT Detection Status:     Remote end is NOT behind a NAT device     This   end is NOT behind a NAT device

Вот конфиг:

ASA Version 8.0(4)
!
hostname gwasa
domain-name escmo.org
enable password 0VGrmS4MvGgHbWC6 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
names
name 172.16.109.111 escm description DC
name 172.16.109.0 ESCMO description Inside network
name 195.151.44.0 Inet_100Mb description EQUANT 100Mb
name 195.151.44.128 Inet_2Mb description EQUANT 2Mb
name 172.16.109.87 evg description Kutyalkin Evgeny
!
interface Vlan1
description Inside network
nameif inside
security-level 0
ip address 172.16.109.100 255.255.255.0
ospf cost 10
!
interface Vlan2
description Quanta 100Mbit/s
nameif outside1
security-level 100
ip address 195.151.44.70 255.255.255.128
ospf cost 10
!
interface Vlan3
description Quanta 2Mbit/s
nameif outside2
security-level 100
ip address 195.151.44.200 255.255.255.128
ospf cost 10
!
interface Ethernet0/0
switchport access vlan 2
!
interface Ethernet0/1
!
interface Ethernet0/2
switchport access vlan 3
!
interface Ethernet0/3
shutdown
!
interface Ethernet0/4
shutdown
!
interface Ethernet0/5
shutdown
!
interface Ethernet0/6
shutdown
!
interface Ethernet0/7
shutdown
!
ftp mode passive
clock timezone MSK/MSD 3
clock summer-time MSK/MDD recurring last Sun Mar 2:00 last Sun Oct 3:00
dns domain-lookup outside1
dns domain-lookup outside2
dns server-group DefaultDNS
name-server 193.232.88.17
name-server 194.84.23.125
name-server 62.213.68.184
domain-name escmo.org
access-list inside_access_in remark All
access-list inside_access_in extended permit ip any any
access-list nonat extended permit ip ESCMO 255.255.255.0 172.16.110.0 255.255.255.0
pager lines 24
logging enable
logging asdm informational
mtu inside 1500
mtu outside1 1500
mtu outside2 1500
ip verify reverse-path interface inside
ip verify reverse-path interface outside1
ip verify reverse-path interface outside2
ip local pool clientVPNpool 172.16.110.1-172.16.110.20 mask 255.255.255.0
no failover
icmp unreachable rate-limit 1 burst-size 1
asdm image disk0:/asdm-613.bin
asdm location escm 255.255.255.255 inside
no asdm history enable
arp timeout 14400
global (outside1) 1 interface
global (outside2) 1 interface
nat (inside) 1 access-list nonat
nat (inside) 1 0.0.0.0 0.0.0.0 outside
access-group inside_access_in in interface inside
route outside1 0.0.0.0 0.0.0.0 195.151.44.126 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
dynamic-access-policy-record DfltAccessPolicy
aaa-server VPN protocol nt
aaa-server VPN (inside) host escm
nt-auth-domain-controller ESCM
http server enable
http ESCMO 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec transform-set TRANS_ESP_3DES_SHA esp-3des esp-sha-hmac
crypto ipsec transform-set TRANS_ESP_3DES_SHA mode transport
crypto ipsec transform-set ESP-AES-256-MD5 esp-aes-256 esp-md5-hmac
crypto ipsec transform-set ESP-DES-SHA esp-des esp-sha-hmac
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac
crypto ipsec transform-set ESP-AES-192-MD5 esp-aes-192 esp-md5-hmac
crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac
crypto ipsec transform-set ESP-AES-256-SHA esp-aes-256 esp-sha-hmac
crypto ipsec transform-set ESP-AES-128-SHA esp-aes esp-sha-hmac
crypto ipsec transform-set ESP-AES-192-SHA esp-aes-192 esp-sha-hmac
crypto ipsec transform-set ESP-AES-128-MD5 esp-aes esp-md5-hmac
crypto ipsec transform-set TRANS_ESP_3DES_MD5 esp-3des esp-md5-hmac
crypto ipsec transform-set TRANS_ESP_3DES_MD5 mode transport
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
crypto dynamic-map outside1_dyn_map 20 set transform-set TRANS_ESP_3DES_MD5
crypto dynamic-map outside1_dyn_map 20 set security-association lifetime seconds 28800
crypto dynamic-map outside1_dyn_map 20 set security-association lifetime kilobytes 4608000
crypto dynamic-map outside2_dyn_map 25 set transform-set TRANS_ESP_3DES_MD5
crypto dynamic-map outside2_dyn_map 25 set security-association lifetime seconds 28800
crypto dynamic-map outside2_dyn_map 25 set security-association lifetime kilobytes 4608000
crypto dynamic-map inside_dyn_map 15 set transform-set TRANS_ESP_3DES_MD5
crypto dynamic-map inside_dyn_map 15 set security-association lifetime seconds 28800
crypto dynamic-map inside_dyn_map 15 set security-association lifetime kilobytes 4608000
crypto map outside1_map 20 ipsec-isakmp dynamic outside_dyn_map
crypto map outside1_map interface outside1
crypto map inside_map 15 ipsec-isakmp dynamic inside_dyn_map
crypto map inside_map interface inside
crypto map outside2_map 25 ipsec-isakmp dynamic outside2_dyn_map
crypto map outside2_map interface outside2
crypto isakmp enable inside
crypto isakmp enable outside1
crypto isakmp enable outside2
crypto isakmp enable nat-traversal 20
crypto isakmp enable nat-traversal 15
crypto isakmp enable nat-traversal 25
crypto isakmp policy 10
authentication pre-share
encryption 3des
hash md5
group 2
lifetime 86400
crypto isakmp ipsec-over-tcp port 10000
client-update enable
telnet timeout 5
ssh timeout 5
console timeout 0

threat-detection basic-threat
threat-detection scanning-threat
threat-detection statistics host
threat-detection statistics port
threat-detection statistics protocol
threat-detection statistics access-list
no threat-detection statistics tcp-intercept
ntp server 77.236.32.2 source outside1 prefer
webvpn
enable inside
enable outside1
enable outside2
group-policy DefaultRAGroup internal
group-policy DefaultRAGroup attributes
wins-server value 172.16.109.10
dns-server value 172.16.109.111 172.16.109.10
vpn-tunnel-protocol IPSec l2tp-ipsec
default-domain value ESCMO
intercept-dhcp 255.255.255.0 enable
group-policy DfltGrpPolicy attributes
vpn-tunnel-protocol IPSec l2tp-ipsec
username evgeny password 82E70I52KTmRDYm5dm+RWQ== nt-encrypted privilege 15
tunnel-group DefaultRAGroup general-attributes
address-pool clientVPNpool
authentication-server-group VPN
default-group-policy DefaultRAGroup
tunnel-group DefaultRAGroup ipsec-attributes
pre-shared-key *
peer-id-validate nocheck
isakmp keepalive disable
tunnel-group DefaultRAGroup ppp-attributes
no authentication chap
authentication ms-chap-v2
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
  message-length maximum 512
policy-map global_policy
class inspection_default
  inspect ftp
  inspect h323 h225
  inspect h323 ras
  inspect rsh
  inspect rtsp
  inspect esmtp
  inspect sqlnet
  inspect skinny  
  inspect sunrpc
  inspect xdmcp
  inspect sip  
  inspect netbios
  inspect tftp
  inspect dns
!
service-policy global_policy global
prompt hostname context
Cryptochecksum:42616ad33438fa94bb73a00d50f116a5
: end

Содержание
Сообщения в этом обсуждении
"Настройка VPN на CISCO ASA5505 через IPsec (L2TP windows XP)"
Отправлено Николай , 24-Дек-09 17:09 
тема уже не раз поднималась

http://gregsowell.com/wink/asaL2TP/asaL2TP.swf

"Настройка VPN на CISCO ASA5505 через IPsec (L2TP windows XP)"
Отправлено Klondayk , 25-Дек-09 09:49 
>тема уже не раз поднималась
>
>http://gregsowell.com/wink/asaL2TP/asaL2TP.swf

Тема то поднималась, только везде описана настройка на внутреннего пользователя Циски, а мне нужно аутентификация по NT домену, как видно из логов, тунель поднимается, только аутентификация не проходит. Если же из консоли тестировать: test aaa-server authentication <domain>, то авторизация проходит:

INFO: Attempting Authentication test to IP address <escm> (timeout: 12 seconds)
INFO: Authentication Successful

Что означает ошибка:
IPAA: Error freeing address 0.0.0.0, not found

Что поправить?

"Настройка VPN на CISCO ASA5505 через IPsec (L2TP windows XP)"
Отправлено Николай , 25-Дек-09 10:41 
>[оверквотинг удален]
>
>Тема то поднималась, только везде описана настройка на внутреннего пользователя Циски, а мне нужно аутентификация по NT домену, как видно из логов, тунель поднимается, только аутентификация не проходит. Если же из консоли тестировать: test aaa-server authentication <domain>, то авторизация проходит:
>
>INFO: Attempting Authentication test to IP address <escm> (timeout: 12 seconds)
>INFO: Authentication Successful
>
>Что означает ошибка:
>IPAA: Error freeing address 0.0.0.0, not found
>
>Что поправить?

Так я что-то понять не могу, в конфиге не до конца настроена аутентификации на радиус сервер (если escm это радиус).
name 172.16.109.111 escm description DC - это домен контроллер? :)

"Настройка VPN на CISCO ASA5505 через IPsec (L2TP windows XP)"
Отправлено Klondayk , 25-Дек-09 10:46 
>>[оверквотинг удален]
>
>Так я что-то понять не могу, в конфиге не до конца настроена
>аутентификации на радиус сервер (если escm это радиус).
>name 172.16.109.111 escm description DC - это домен контроллер? :)

Да, домен контроллер. А мне обязательно RADIUS ставить нужно? Нельзя имя и пароль пользователя из AD брать?

"Настройка VPN на CISCO ASA5505 через IPsec (L2TP windows XP)"
Отправлено Николай , 25-Дек-09 11:06 
>>>[оверквотинг удален]
>>
>>Так я что-то понять не могу, в конфиге не до конца настроена
>>аутентификации на радиус сервер (если escm это радиус).
>>name 172.16.109.111 escm description DC - это домен контроллер? :)
>
>Да, домен контроллер. А мне обязательно RADIUS ставить нужно? Нельзя имя и
>пароль пользователя из AD брать?

В AD я не силен кажись там есть Internet Authentication Service (IAS) это и есть радиус под АД. Но тупо направлять запросы на АД не прокатит.

"Настройка VPN на CISCO ASA5505 через IPsec (L2TP windows XP)"
Отправлено Klondayk , 28-Дек-09 16:00 
>[оверквотинг удален]
>
>В AD я не силен кажись там есть Internet Authentication Service (IAS)
>это и есть радиус под АД. Но тупо направлять запросы на
>АД не прокатит.

Настроил IAS (действительно поддерживает иднтификацию RADIUS), привязал его к AD.
Все тоже самое, выходит с ошибкой "Ошибка 691: Доступ запрещен, поскольку такие имя пользователя и домен недопустимы в данном домене".
Может есть знающие люди, кто объяснит ошибку:
IPAA: Error freeing address 0.0.0.0, not found

конфиг по аутентификации:
aaa-server VPN protocol radius
aaa-server VPN host 172.16.109.111
key radiuskey

"Настройка VPN на CISCO ASA5505 через IPsec (L2TP windows XP)"
Отправлено Саша , 27-Янв-10 01:37 
Не знаю, актуально ли это еще, но тем не менее.
В конфигурации AD в настройках каждого юзера есть переключатель - разрешен ли ему DialUp-доступ или нет. По умолчанию всем запрещен. Если он запрещен, то радуис-сервер говорит циске блокировать логин - типа политика такая. Посмотри туда, и если там запрещено, то разреши и попробуй залогиниться. Смотрится это в Active Directory Users and Computers, в свойствах юзера, где-то среди закладок.

"Настройка VPN на CISCO ASA5505 через IPsec (L2TP windows XP)"
Отправлено Артур , 05-Фев-10 16:11 
>[оверквотинг удален]
>  inspect xdmcp
>  inspect sip
>  inspect netbios
>  inspect tftp
>  inspect dns
>!
>service-policy global_policy global
>prompt hostname context
>Cryptochecksum:42616ad33438fa94bb73a00d50f116a5
>: end

Как настроить не знаю, но могу продать

Межсетевой экран Cisco ASA5505-SEC-BUN-K9
Межсетевой экран Cisco ASA5505-UL-BUN-K8

"Настройка VPN на CISCO ASA5505 через IPsec (L2TP windows XP)"
Отправлено Gaz , 05-Фев-10 20:18 
Дядя, давай определимся что ты хочешь?
Нарисуй схему.... что ты строишь....? Ибо когда ты ставишь внешний ИП в инсайд, то сразу туева хуча вопросов....
Схема, сестра СХЕМА! куда и что ты собираешься включать.... (Умные люди ставят радиус в локалку (инсайд) и оттуда аутентификацию проводят, либо через ВПН это делаю, ну никак не через внешние ИП...)
"Настройка VPN на CISCO ASA5505 через IPsec (L2TP windows XP)"
Отправлено Gaz , 05-Фев-10 20:39 
>Дядя, давай определимся что ты хочешь?
>Нарисуй схему.... что ты строишь....? Ибо когда ты ставишь внешний ИП в
>инсайд, то сразу туева хуча вопросов....
>Схема, сестра СХЕМА! куда и что ты собираешься включать.... (Умные люди ставят
>радиус в локалку (инсайд) и оттуда аутентификацию проводят, либо через ВПН
>это делаю, ну никак не через внешние ИП...)

Сори, просмотрел, что 172 - внутренняя сеть....

"Настройка VPN на CISCO ASA5505 через IPsec (L2TP windows XP)"
Отправлено Gaz , 05-Фев-10 20:43 
Сколько у тебя юзеров? Не проще это сделать через ААА?
Я прийду на работу гляну, как я сделал... лучше настраивать изи впн через асдм... если у тебя впн точка-точка то лучше через cli... (выложу со временем...)
"Межсетевой экран Cisco ASA5505-SEC-BUN-K9"
Отправлено Дмитрий , 14-Апр-10 07:51 
>Как настроить не знаю, но могу продать
>
>Межсетевой экран Cisco ASA5505-SEC-BUN-K9

Продажа еще актуальна? Где и сколько? Пиши в личку.