Исходное сообщение
"Cisco ASA 5510 + ipsec = имею странное" Отправлено plohish, 28-Май-08 14:40
>[оверквотинг удален] >>>Почему решили что он попадает в apk1305dynmap? Может быть удаленный хост не >>>может найти нужной тунельной группы? >>>3. покажите debug crypto isakmp 200 в случае когда у вас работает >>>удаленный VPN и не удается установить соединение "снаружи". >> >>1. Спасибо! Помогло! >>2. Решил, проглядывая до дыр debug crypto isakmp. Еще раз благодарю! > >так что именно помогло? >что увидели в дебаге? Помогло выставление динамической криптомапе приоритета ниже, нежели у статических атрибутов. crypto ipsec transform-set apk2405set esp-des esp-md5-hmac crypto ipsec transform-set apk1305set esp-aes-256 esp-md5-hmac crypto dynamic-map apk1305dynmap 10 set transform-set apk1305set crypto map apk1305map 20 match address apk-kz crypto map apk1305map 20 set peer 92.242.XX.XXX crypto map apk1305map 20 set transform-set apk2405set crypto map apk1305map 30 match address apk-m1 crypto map apk1305map 30 set peer 92.242.XX.YYY crypto map apk1305map 30 set transform-set apk2405set crypto map apk1305map 1000 ipsec-isakmp dynamic apk1305dynmap В дебаге было May 27 12:28:39 [IKEv1]: Group = 92.242.XX.XXX, IP = 92.242.XX.YYY, IKE Remote Peer configured for crypto map: apk1305dynmap Т.е. удаленная сторона садилась на динамическую криптомапу, ей не предназначенную и не подходящую ни шифрованием, ни тунел-групом.