URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 22942
[ Назад ]
Исходное сообщение
"ASA 5505 (8.3) не применить два crypto map на один интерфейс"
Отправлено Andry , 02-Авг-11 16:38 
Есть две ASA 5505 с софтом 8.3. Необходимо поднять lan-lan-vpn между ними и на одной из них настроить VPN доступ для cisco vpn клиентов.
VPN доступ для циско клиентов был настроен и работал, настроил lan-lan-vpn, при появлении нужного траффика lan-lan-vpn поднимается. И тут обнаружил что перестал работать vpn для циско клиентов.

До появления lan-lan-vpn были следующие crypto map:
# sh run crypto map
crypto map outside_map 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP
crypto map outside_map interface outside

После добавления crypto map для l2l vpn:
rypto map abcmap 1 match address l2l_list
crypto map abcmap 1 set peer х.х.х.х
crypto map abcmap 1 set transform-set FirstSet
crypto map abcmap interface outside

ПРОПАДАЕТ строка из конфига "crypto map outside_map interface outside".
Т.е. не удается одновременно применить два crypto map на один интерфейс.

Что я делаю не правильно?

Содержание
Сообщения в этом обсуждении
"ASA 5505 (8.3) не применить два crypto map на один интерфейс"
Отправлено ash , 02-Авг-11 18:01 
>[оверквотинг удален]
> crypto map outside_map 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP
> crypto map outside_map interface outside
> После добавления crypto map для l2l vpn:
> rypto map abcmap 1 match address l2l_list
> crypto map abcmap 1 set peer х.х.х.х
> crypto map abcmap 1 set transform-set FirstSet
> crypto map abcmap interface outside
> ПРОПАДАЕТ строка из конфига "crypto map outside_map interface outside".
> Т.е. не удается одновременно применить два crypto map на один интерфейс.
> Что я делаю не правильно?

Только одна криптомапа
на интерфейс.

сrypto map abcmap 1 match address l2l_list
crypto map abcmap 1 set peer х.х.х.х
crypto map abcmap 1 set transform-set FirstSet

crypto map abcmap 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP

crypto map abcmap interface outside
типа этого надо делать.

"ASA 5505 (8.3) не применить два crypto map на один интерфейс"
Отправлено Aleks305 , 02-Авг-11 23:26 
>[оверквотинг удален]
>> Т.е. не удается одновременно применить два crypto map на один интерфейс.
>> Что я делаю не правильно?
> Только одна криптомапа
> на интерфейс.
> сrypto map abcmap 1 match address l2l_list
> crypto map abcmap 1 set peer х.х.х.х
> crypto map abcmap 1 set transform-set FirstSet
> crypto map abcmap 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP
> crypto map abcmap interface outside
> типа этого надо делать.

Все верно. Вам нет необходимости вешать два crypto-map. Нужно только в dynamic crypto-map определить необходимые политики ipsec для юзеров и для l2l, если они отличаются и все заработает


"ASA 5505 (8.3) не применить два crypto map на один интерфейс"
Отправлено Andry , 03-Авг-11 00:41 
Огромное спасибо! Исправил, теперь оба VPN'а работает.