форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Маршрутизаторы CISCO и др. оборудование. (VPN, VLAN, туннель)
Изначальное сообщение		[ Отслеживать ]

"cisco 2911  не подключает по PPTP во второй фазе"	+/–
Сообщение от Jewels12 (ok) on 27-Июл-12, 16:20
добрый день! настраивали доставшуюся в наследство cisco 2911  четко по инструкции: http://www.cisco.com/en/US/tech/tk827/tk369/technologies_con... Так как циска рабочая там много разного и эксперименты не приветствуются. добавил следующее по инструкции: username ciscovpn password 0 ciscovpn vpdn-group 1 ! Default PPTP VPDN group accept-dialin   protocol pptp   virtual-template 10 l2tp tunnel timeout no-session 15 ! ! interface GigabitEthernet0/0.3 description Bancorp encapsulation dot1Q 3 ip address хх.хх.хх.хх 255.255.255.248 ip access-group ban11 in ip access-group OutBan1 out ip nat outside ip virtual-reassembly crypto map B_K1 interface Virtual-Template10 ip unnumbered GigabitEthernet0/0.3 ip nat inside ip virtual-reassembly peer default ip address pool ciscovpn no keepalive ppp encrypt mppe auto ppp authentication сhap ms-chap ms-chap-v2 ! ip nat inside source list 11 interface GigabitEthernet0/0.3 overload access-list 11 permit 192.168.11.0 0.0.0.255 при попытке соединения выдает 619 ошибку и отваливается. kzn#sh vpdn %No active L2TP tunnels PPTP Tunnel and Session Information Total tunnels 1 sessions 1 LocID Remote Name     State    Remote Address  Port  Sessions VPDN Group 58168                 estabd   ХХ.ХХ.ХХ.ХХХ    1115  1        1 LocID RemID TunID Intf    Username      State   Last Chg Uniq ID 24387 1115  58168                       estabd  00:00:21 25 что-то я забыл? что-то наворотил лишнего? что-то может мешать? ради интереса пробовал подключиться из локалки. соединение происходит сразу и так как надо.
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "cisco 2911  не подключает по PPTP во второй фазе"	+/–
Сообщение от McS555 (ok) on 27-Июл-12, 16:46
>[оверквотинг удален] > 1 > LocID RemID TunID Intf    Username     >  State   Last Chg Uniq ID > 24387 1115  58168         >             >    estabd  00:00:21 25 > что-то я забыл? что-то наворотил лишнего? > что-то может мешать? > ради интереса пробовал подключиться из локалки. > соединение происходит сразу и так как надо. ip access-group ban11 in ip access-group OutBan1 out ?? Что там прячешь??
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	2. "cisco 2911  не подключает по PPTP во второй фазе"	+/–
	Сообщение от Jewels12 (ok) on 27-Июл-12, 16:59
	>[оверквотинг удален] >> 24387 1115  58168 >> >>    estabd  00:00:21 25 >> что-то я забыл? что-то наворотил лишнего? >> что-то может мешать? >> ради интереса пробовал подключиться из локалки. >> соединение происходит сразу и так как надо. > ip access-group ban11 in > ip access-group OutBan1 out > ?? Что там прячешь?? Вот ничего такого крамольного. ip access-list extended Ban1 permit ip any host 81.25.165.34 permit icmp any any permit tcp 81.25.175.0 0.0.0.127 host 81.25.165.219 eq 22 permit tcp 81.23.147.0 0.0.0.31 host 81.25.165.219 eq 22 permit tcp host 89.251.145.167 host 81.25.165.219 eq 22 permit tcp host 89.184.14.49 host 81.25.165.219 eq 22 permit icmp host 81.211.4.206 host 81.25.165.219 permit udp host 81.211.4.206 eq isakmp host 81.25.165.219 eq isakmp permit esp host 81.211.4.206 host 81.25.165.219 permit ip host 81.211.4.206 host 81.25.165.219 permit tcp host 212.57.141.85 host 81.25.165.217 eq 1024 permit tcp any host 81.25.165.220 reflect TmpOutBan1 timeout 300 permit tcp any host 81.25.165.220 eq smtp permit tcp any host 81.25.165.220 eq pop3 permit tcp host 87.117.183.154 host 81.25.165.219 eq 6018 ip access-list extended OutBan1 permit ip host 81.25.165.34 any permit icmp any any permit tcp any any reflect TmpBan1 timeout 300 permit ip host 81.25.165.219 host 81.211.4.206 permit tcp host 81.25.165.220 any eq smtp permit tcp host 81.25.165.220 any eq pop3 permit tcp any host 87.117.183.154 evaluate TmpOutBan1 deny   ip any any log-input
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	3. "cisco 2911  не подключает по PPTP во второй фазе"	+/–
	Сообщение от McS555 (ok) on 27-Июл-12, 18:16
	>[оверквотинг удален] > ip access-list extended OutBan1 >  permit ip host 81.25.165.34 any >  permit icmp any any >  permit tcp any any reflect TmpBan1 timeout 300 >  permit ip host 81.25.165.219 host 81.211.4.206 >  permit tcp host 81.25.165.220 any eq smtp >  permit tcp host 81.25.165.220 any eq pop3 >  permit tcp any host 87.117.183.154 >  evaluate TmpOutBan1 >  deny   ip any any log-input vpdn enable ! vpdn-group 1 ! Default PPTP VPDN group accept-dialin   protocol pptp   virtual-template 1 ! ! interface Virtual-Template1 ip unnumbered FastEthernet1 ip nat inside ip virtual-reassembly peer default ip address pool PPTP_Local_LAN no keepalive ppp encrypt mppe auto ppp authentication ms-chap-v2 ppp ipcp dns 192.168.2.1 ! Вот у меня так и работает. Если с локалки гуд то копай в сторона аксес листа. Просто для теста сними на ин (и на аут) и проверь Просто не видя всей картины ( адресов откуда пытаешся попасть, внешний адрес ) тяжело конкретно сказать. Сними пака access-list (либо добавь строку пермит эни эни вверх)
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	4. "cisco 2911  не подключает по PPTP во второй фазе"	+/–
	Сообщение от Jewels12 (ok) on 27-Июл-12, 18:32
	>[оверквотинг удален] >  ppp encrypt mppe auto >  ppp authentication ms-chap-v2 >  ppp ipcp dns 192.168.2.1 > ! >  Вот у меня так и работает. Если с локалки гуд то > копай в сторона аксес листа. Просто для теста сними на ин > (и на аут) и проверь > Просто не видя всей картины ( адресов откуда пытаешся попасть, внешний адрес > ) тяжело конкретно сказать. Сними пака access-list (либо добавь строку пермит > эни эни вверх) Спасибо. Жаль, сегодня не успею, но обязательно попробую в понедельник
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	5. "cisco 2911  не подключает по PPTP во второй фазе"	+/–
	Сообщение от Jewels12 (ok) on 30-Июл-12, 12:07
	>[оверквотинг удален] >>  ppp authentication ms-chap-v2 >>  ppp ipcp dns 192.168.2.1 >> ! >>  Вот у меня так и работает. Если с локалки гуд то >> копай в сторона аксес листа. Просто для теста сними на ин >> (и на аут) и проверь >> Просто не видя всей картины ( адресов откуда пытаешся попасть, внешний адрес >> ) тяжело конкретно сказать. Сними пака access-list (либо добавь строку пермит >> эни эни вверх) > Спасибо. Жаль, сегодня не успею, но обязательно попробую в понедельник День добрый! Советы помогли.  подключаемся легко, но пришлось открыть все. permit ip host ХХ.ХХ.ХХ.ХХ host YY.YY.YY.YY Какие порты надо открыть для PPTP мне не понятно.  Порт 1723 открывал, но помогло. и еще, соединение есть, а попасть в локальную сеть не получается. пинг идет до локального интерфейса циски и все. чего-то я еще забыл сделать
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	6. "cisco 2911  не подключает по PPTP во второй фазе"	+/–
	Сообщение от McS555 (ok) on 30-Июл-12, 12:52
	>[оверквотинг удален] >>> эни эни вверх) >> Спасибо. Жаль, сегодня не успею, но обязательно попробую в понедельник > День добрый! > Советы помогли.  подключаемся легко, но пришлось открыть все. > permit ip host ХХ.ХХ.ХХ.ХХ host YY.YY.YY.YY > Какие порты надо открыть для PPTP мне не понятно.  Порт 1723 > открывал, но помогло. > и еще, соединение есть, а попасть в локальную сеть не получается. > пинг идет до локального интерфейса циски и все. > чего-то я еще забыл сделать peer default ip address pool ciscovpn - какой у тебя пул адресов? > permit ip host ХХ.ХХ.ХХ.ХХ host YY.YY.YY.YY Ну  что б точно узнать можешь разрешить дописать логирование на эту строку и во время подсоединения посмотришь на какие порты ты попадаешь ([хотя вроде 1723 )
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	7. "cisco 2911  не подключает по PPTP во второй фазе"	+/–
	Сообщение от Jewels12 (ok) on 30-Июл-12, 13:50
	>[оверквотинг удален] >> Какие порты надо открыть для PPTP мне не понятно.  Порт 1723 >> открывал, но помогло. >> и еще, соединение есть, а попасть в локальную сеть не получается. >> пинг идет до локального интерфейса циски и все. >> чего-то я еще забыл сделать > peer default ip address pool ciscovpn - какой у тебя пул адресов? >> permit ip host ХХ.ХХ.ХХ.ХХ host YY.YY.YY.YY > Ну  что б точно узнать можешь разрешить дописать логирование на эту > строку и во время подсоединения посмотришь на какие порты ты попадаешь > ([хотя вроде 1723 ) не стесняясь взял всю 192.168.11.ХХ  Больше она нигде не используется ip dhcp pool ciscovpn    network 192.168.11.0 255.255.255.0    dns-server 192.168.0.2 еще у видел у тебя нат на виртуальном интерфейсе. ничего такого я не делал. Из твоего конфига: ip unnumbered FastEthernet1  #это внутренний интерфейс?   у меня стоит внешний ip nat inside #этого у меня нет
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	8. "cisco 2911  не подключает по PPTP во второй фазе"	+/–
	Сообщение от McS555 (ok) on 31-Июл-12, 11:41
	>[оверквотинг удален] > не стесняясь взял всю 192.168.11.ХХ  Больше она нигде не используется > ip dhcp pool ciscovpn >    network 192.168.11.0 255.255.255.0 >    dns-server 192.168.0.2 > еще у видел у тебя нат на виртуальном интерфейсе. > ничего такого я не делал. > Из твоего конфига: > ip unnumbered FastEthernet1  #это внутренний интерфейс?   у меня стоит > внешний > ip nat inside #этого у меня нет FastEthernet1 - это внешний интерфейс ip nat inside - это что б пользоватили могли в инет ходить после того как подключаться по pptp. Можно конечно галочку в подключении снять (шлюз по умолчанию), но на некоторые адреса можно попасть только с определенного адресса
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	9. "cisco 2911  не подключает по PPTP во второй фазе"	+/–
	Сообщение от McS555 (ok) on 31-Июл-12, 11:45
	> и еще, соединение есть, а попасть в локальную сеть не получается. > пинг идет до локального интерфейса циски и все. > чего-то я еще забыл сделать Если до локального идет (то есть до интерфейса с сетью 192.168.0.0 255.255.255.0 - которая у тебя, я так понял локальная ), а на компы не идет, то смотри fierwall или антивирус (например в касперском файрвол включен). Можешь так же проверить не пингом , а rdp (там где включен), пинги вообщем могут и не идти
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	10. "cisco 2911  не подключает по PPTP во второй фазе"	+/–
	Сообщение от Jewels12 (ok) on 31-Июл-12, 18:10
	>> и еще, соединение есть, а попасть в локальную сеть не получается. >> пинг идет до локального интерфейса циски и все. >> чего-то я еще забыл сделать > Если до локального идет (то есть до интерфейса с сетью 192.168.0.0 255.255.255.0 > - которая у тебя, я так понял локальная ), а на > компы не идет, то смотри fierwall или антивирус (например в касперском > файрвол включен). Можешь так же проверить не пингом , а rdp > (там где включен), пинги вообщем могут и не идти нет.  пока ничего сделать не удалось. подключение происходит, но локальную сеть не видит. судя по всему, каких-то особенных маршрутов прописывать не надо. листы снимали все.   будем думать
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	11. "cisco 2911  не подключает по PPTP во второй фазе"	+/–
	Сообщение от McS555 (ok) on 01-Авг-12, 10:25
	>[оверквотинг удален] >>> чего-то я еще забыл сделать >> Если до локального идет (то есть до интерфейса с сетью 192.168.0.0 255.255.255.0 >> - которая у тебя, я так понял локальная ), а на >> компы не идет, то смотри fierwall или антивирус (например в касперском >> файрвол включен). Можешь так же проверить не пингом , а rdp >> (там где включен), пинги вообщем могут и не идти > нет.  пока ничего сделать не удалось. > подключение происходит, но локальную сеть не видит. > судя по всему, каких-то особенных маршрутов прописывать не надо. > листы снимали все.   будем думать ! ip nat inside source list 11 interface GigabitEthernet0/0.3 overload access-list 11 permit 192.168.11.0 0.0.0.255 Поменяй. ip nat inside source list NAT interface GigabitEthernet0/0.3 overload ip access-list extended NAT deny   ip 192.168.11.0 0.0.0.255 192.168.0.0 0.0.0.255 permit ip 192.168.11.0 0.0.0.255 any
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема