форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[ Отслеживать ]

"Vpn туннель между 1760 и 1841. Мужики, помогите !"

Сообщение от mexx (ok) on 12-Фев-08, 11:36

Всем привет. Вопрос в общем то для сталкивающихся наверно прост .... Итак два роутера 1760 и 1841(на моей стороне) . Есть конфиг с той стороны(1760). Все вроде делал по рекомедации cisco_com, но туннель не поднимаеца. Подскажите в чем может быть причина . Дебаги показывают что туннель вроде начинает устанавливаться(если я правильно понял) Конфиг 1760 - у удаленных друзей. crypto keyring Friend      pre-shared-key address xx.хх.хх.ххх key XxX ! crypto isakmp policy 100 encr 3des authentication pre-share group 2 lifetime 3600 ! crypto isakmp policy 200 encr aes 256 authentication pre-share group 2 ! crypto isakmp profile L2L_A    keyring Friend    match identity address xx.хх.хх.ххх 255.255.255.255 ! ! crypto ipsec transform-set set_heavy esp-aes 256 esp-sha-hmac crypto ipsec transform-set set_acc esp-3des esp-sha-hmac ! crypto map map_VPN 450 ipsec-isakmp set peer xx.хх.хх.ххх set transform-set set_heavy set isakmp-profile L2L_A match address TO_A_NET ! interface Vlan1 ip address xx.хх.хх.ххх 255.255.255.240 no ip redirects no ip unreachables no ip proxy-arp ip nat outside ip virtual-reassembly load-interval 30 crypto map map_VPN ******************************************************* Вот мой кусок 1841 ! crypto keyring Friend   pre-shared-key address yy.yy.yy.yyy key XxX ! crypto isakmp policy 100 encr 3des authentication pre-share group 2 lifetime 3600 ! crypto isakmp policy 200 encr aes 256 authentication pre-share group 2 crypto isakmp key XxX address yy.yy.yy.yyy no-xauth crypto isakmp xauth timeout 15 crypto isakmp profile L2L_B    keyring Friend    match identity address yy.yy.yy.yyy 255.255.255.255 ! ! crypto ipsec transform-set to_t esp-aes 256 esp-sha-hmac ! crypto ipsec profile IPsecProf_t set transform-set to_t ! crypto ipsec profile to_t set isakmp-profile L2L_B ! ! crypto map to_t 1 ipsec-isakmp set peer yy.yy.yy.yyy set transform-set to_t set isakmp-profile L2L_B match address to_t ! ! ! interface FastEthernet0/1 description $ES_WAN$$FW_OUTSIDE$$ETH-WAN$ ip address yy.yy.yy.yyy 255.255.255.240 ip access-group 101 in ip verify unicast reverse-path no ip redirects no ip unreachables no ip proxy-arp ip inspect DEFAULT100 out ip flow ingress ip flow egress ip ips sdm_ips_rule in ip ips sdm_ips_rule out ip nat outside ip virtual-reassembly ip route-cache flow duplex auto speed auto no mop enabled crypto map to_t вот так вкратце. В ACL вроде написал что шифровать . делал частично c SDM частично из CLI/ Поясните плз, что не так.

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Vpn туннель между 1760 и 1841. Мужики, помогите !"

Сообщение от rakis (ok) on 12-Фев-08, 13:35

1. кусок лога не помешал бы 2. acl зря не добавил в пост. проверь что они зеркальны.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "Vpn туннель между 1760 и 1841. Мужики, помогите !"
	Сообщение от mexx (ok) on 12-Фев-08, 14:23
	>1. кусок лога не помешал бы >2. acl зря не добавил в пост. проверь что они зеркальны. Включены debug isakmp errors И ipsec errors вот такое сообщение повторяется , больше ничего 2008-02-12 14:09:32    Local7.Debug    192.168.103.1    794862: 596016: *Feb 12 14:07:57.037 PCTime: ISAKMP:(0:46:SW:1):deleting node 615403248 error TRUE reason "Delete Larval" ip access-list extended TO_A_NET permit ip host 192.168.102.2 host 192.168.103.2  - это на их стороне на моей ip access-list extended to_t permit ip 192.168.103.0 0.0.0.255 192.168.102.0 0.0.0.255 log
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "Vpn туннель между 1760 и 1841. Мужики, помогите !"
	Сообщение от mexx (ok) on 12-Фев-08, 14:27
	>[оверквотинг удален] >615403248 error TRUE reason "Delete Larval" > > >ip access-list extended TO_A_NET >permit ip host 192.168.102.2 host 192.168.103.2  - это на их стороне > > >на моей >ip access-list extended to_t >permit ip 192.168.103.0 0.0.0.255 192.168.102.0 0.0.0.255 log как можно проверить рабоспособность туннеля кроме как пингом между своим внутренним адресом и их? как узнать есть ли проблема в настройках ACL (где задается permit на трафик который нужно шифровать).\ У меня есть запись crypto isakmp key (из SDM), на их роутере такого нет - влияет на что нибудь? у меня есть запись crypto ipsec profile - у них нет, может и мне удалить?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "Vpn туннель между 1760 и 1841. Мужики, помогите !"
	Сообщение от rakis (ok) on 12-Фев-08, 14:56
	ACL На обоих сторонах ДОЛЖНЫ быть зеркальны transformset, crypto crypto policy и key ДОЛЖНЫ совпадать в отношении профиля не знаю. скорее всего это для удобства сопровождения большого количества туннелей. настраивать лучше или все из SDM или все из консоли.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "Vpn туннель между 1760 и 1841. Мужики, помогите !"
	Сообщение от mexx (ok) on 12-Фев-08, 15:26
	>ACL На обоих сторонах ДОЛЖНЫ быть зеркальны >transformset, crypto crypto policy и key ДОЛЖНЫ совпадать > >в отношении профиля не знаю. скорее всего это для удобства сопровождения большого >количества туннелей. > >настраивать лучше или все из SDM или все из консоли. так все вроде зеркально. ACL  у меня просто на подсеть , у них на хосты. Я пробовал и на хосты - результата нету. Дебаги включил даже , но некоторые сообщения сложно интерпретировать, т.к нужен доступ на сайт,которого у меня нету. Спасибо, что ответил takis.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "Vpn туннель между 1760 и 1841. Мужики, помогите !"
	Сообщение от rakis (ok) on 12-Фев-08, 16:35
	>так все вроде зеркально. >ACL  у меня просто на подсеть , у них на хосты. они д/б зеркальны (симметричны) это в документации указано точно.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "Vpn туннель между 1760 и 1841. Мужики, помогите !"
	Сообщение от mexx (ok) on 12-Фев-08, 17:01
	>>так все вроде зеркально. >>ACL  у меня просто на подсеть , у них на хосты. > >они д/б зеркальны (симметричны) это в документации указано точно. сделал симметричные. Не помогает. погрузился в документацию)))
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "Vpn туннель между 1760 и 1841. Мужики, помогите !"
	Сообщение от rakis (ok) on 13-Фев-08, 10:02
	>сделал симметричные. >Не помогает. сравнить transformset и crypto map
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "Vpn туннель между 1760 и 1841. Мужики, помогите !"
	Сообщение от mexx (ok) on 13-Фев-08, 16:02
	>>сделал симметричные. >>Не помогает. > >сравнить transformset и crypto map )) туннель поднялся. пинг идет , но по 25 порту зайти не могу , хотя вроде лог отписывает , что через ACL permit/ Странно. Подскажете что еще глянуть ?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "Vpn туннель между 1760 и 1841. Мужики, помогите !"
	Сообщение от rakis (ok) on 13-Фев-08, 17:31
	>Подскажете что еще глянуть ? включить debug ACL'й можешь и сюда их бросить не только туннельные
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	11. "Vpn туннель между 1760 и 1841. Мужики, помогите !"
	Сообщение от rakis (ok) on 13-Фев-08, 17:31
	>туннель поднялся. после какого действия?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	12. "Vpn туннель между 1760 и 1841. Мужики, помогите !"
	Сообщение от mexx (ok) on 13-Фев-08, 18:13
	>>туннель поднялся. > >после какого действия? сделал ACLи зеркально с ними ) в очередной раз и все заработало. Щас ACL помотрю, спс.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	13. "Vpn туннель между 1760 и 1841. Мужики, помогите !"
	Сообщение от mexx (ok) on 19-Фев-08, 11:10
	>>>туннель поднялся. >> >>после какого действия? > >сделал ACLи зеркально с ними ) в очередной раз и все заработало. > > >Щас ACL помотрю, спс. xx.xxx.xxx - это мой внешний IP yyy.yyy.y  - IP той стороны router#sh access-lists Standard IP access list 1     10 permit 192.168.103.0, wildcard bits 0.0.0.255 Extended IP access list 100     10 permit tcp host 192.168.103.66 host 81.211.23.46 eq www log     20 permit tcp host 192.168.103.66 host 81.211.23.46 eq 443 log     30 deny ip host 192.168.103.66 any log     40 permit icmp any any log (12 matches)     50 permit tcp host 77.xx.xxx.xxx eq ftp any eq ftp log     60 permit tcp host 77.xx.xxx.xxx eq ftp any eq ftp log     70 permit tcp any eq ftp-data any eq ftp log     90 deny ip host 255.255.255.255 any     100 permit tcp host 192.168.103.2 any eq smtp log (15 matches)     110 permit tcp host 192.168.103.27 any eq smtp log     120 deny ip 127.0.0.0 0.255.255.255 any     130 deny tcp any any eq smtp log     140 permit ip any any (28199 matches)     150 deny tcp any any eq smtp Extended IP access list 101     10 permit udp host 77.yyy.yyy.y host 77.xx.xxx.xxx eq non500-isakmp     20 permit udp host 77.yyy.yyy.y host 77.xx.xxx.xxx eq isakmp (24 matches)     30 permit esp host 77.yyy.yyy.y host 77.xx.xxx.xxx (12 matches)     40 permit ahp host 77.yyy.yyy.y host 77.xx.xxx.xxx     50 permit udp any host 77.xx.xxx.xxx eq non500-isakmp     60 permit udp any host 77.xx.xxx.xxx eq isakmp     70 permit esp any host 77.xx.xxx.xxx     80 permit ahp any host 77.xx.xxx.xxx     90 permit tcp host 81.211.23.46 host 192.168.103.66 eq 443     100 permit udp host 77.yyy.yyy.y host 62.5.147.50 eq non500-isakmp     110 permit udp host 77.yyy.yyy.y host 62.5.147.50 eq isakmp     120 permit esp host 77.yyy.yyy.y host 62.5.147.50     130 permit ahp host 77.yyy.yyy.y host 62.5.147.50     140 permit tcp any host xx.xxx.xxx eq 3389 (16128 matches)     150 permit tcp any host xx.xxx.xxx eq ftp log     160 permit tcp any host xx.xxx.xxx eq ftp-data log     170 permit tcp any host xx.xxx.xxx eq 443 (768 matches)     180 permit udp host 192.168.103.2 eq domain host 77.105.129.174     190 permit tcp any host 77.xx.xxx.xxx eq smtp (93 matches)     200 permit icmp any host 77.xx.xxx.xxx echo-reply     210 permit icmp any host 77.xx.xxx.xxx time-exceeded     220 permit icmp any host 77.xx.xxx.xxx unreachable (54 matches)     230 deny ip 10.0.0.0 0.255.255.255 any     240 deny ip 172.16.0.0 0.15.255.255 any     250 deny ip 192.168.0.0 0.0.255.255 any     260 deny ip 127.0.0.0 0.255.255.255 any     270 deny ip host 255.255.255.255 any     280 deny ip host 0.0.0.0 any     290 permit ip any any (4633 matches) Extended IP access list 103     10 deny ip 192.168.103.0 0.0.0.255 192.168.102.0 0.0.0.255 log (33 matches)     20 deny ip any host 192.168.103.150     30 deny ip any host 192.168.103.151     40 deny ip any host 192.168.103.152     50 deny ip host 192.168.103.111 any (109 matches)     60 permit ip 192.168.103.0 0.0.0.255 any log (159 matches)     70 permit ip host 192.168.103.2 host 192.168.102.2 log Extended IP access list 105     10 deny ip host 192.168.103.111 host 192.168.103.152     20 deny ip host 192.168.103.111 host 192.168.103.151     30 deny ip host 192.168.103.111 host 192.168.103.150     40 permit ip host 192.168.103.111 any (109 matches) Extended IP access list 150     10 deny ip host 192.168.103.2 host 192.168.102.2 log (66 matches)     20 permit ip host 192.168.103.2 host 192.168.102.2 log Extended IP access list acl_T Extended IP access list to_t     10 permit ip host 192.168.103.2 host 192.168.102.2 log (45 matches) router#
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]