форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[ Отслеживать ]

"VPN 'затыкается'"

Сообщение от Alting (ok) on 16-Сен-08, 10:15

Доброго времени суток всем! Имеется: циска 1841 в центральном офисе (c1841-advipservicesk9-mz.124-15.T3.bin). На ней подняты IPSec туннели с удаленными офисами. Поднимаю на ней PPTP сервер: vpdn enable ! vpdn-group 1 ! Default L2TP VPDN group ! Default PPTP VPDN group accept-dialin   protocol any   virtual-template 1 local name pptp_gateway l2tp tunnel receive-window 1024 ! ! -skip- interface Virtual-Template1 ip unnumbered FastEthernet0/0 ip nat inside ip virtual-reassembly autodetect encapsulation ppp peer default ip address pool DIAL-IN ppp encrypt mppe auto required ppp authentication ms-chap ms-chap-v2 ! ip local pool DIAL-IN 10.10.0.110 10.10.0.120 Думаю, остальная часть конфига непринципиальна. Если не так - поправьте, пожалуйста. Все стандартно, все работает. Аутентификация по Radius. Подключаюсь из дома стандартным виндовым PPTP клиентом. Открываю шару с Windows сервера, пытаюсь скачать файл, объемом 50Мб. Скачивается. Пытаюсь ЗАКАЧАТЬ файл обратно - закачивает мегабайт 3-5 и все, затыкается. Пингую параллельно сервер - пинги перестают идти. Соединение при этом не рвется. Ладно, думаю. Поднимаю то же самое на циске 2811 (c2800nm-advipservicesk9-mz.124-9.T1.bin), которая стоит в удаленном офисе. В удаленном офисе стоит контроллер домена, связанный с ЦО посредством GRE туннеля между ЦО и удаленным офисом. Аутентификация по Radius на циске в удаленном офисе с удаленным контроллером домена. vpdn enable ! vpdn-group 1 ! Default L2TP VPDN group ! Default PPTP VPDN group accept-dialin   protocol any   virtual-template 1 local name pptp_gateway ! ! -skip- interface Virtual-Template1 ip unnumbered FastEthernet0/0 ip mroute-cache autodetect encapsulation ppp peer default ip address pool DIAL-IN ppp encrypt mppe auto required ppp authentication ms-chap ms-chap-v2 ! ip local pool DIAL-IN 192.168.0.90 192.168.0.95 И все работает! Файл спокойно качается в обе стороны. Причем как на локальный сервер, так и на удаленный через GRE туннель. Для очистки совести подняли PPTP сервер на линуксовой машине в ЦО. Разница только в отсутствии криптования (это в виндовом клиенте - "Требовать безопасную проверку пароля, иначе отключаться"). Поскольку для этого надо было патчить ядро линукса, не стал заморачиваться. Тоже все работает. Ткните носом, плиз, куда копать?

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "VPN 'затыкается'"

Сообщение от Ярослав Росомахо (ok) on 16-Сен-08, 10:17

>Ткните носом, плиз, куда копать? В версию IOS скорее всего. Попробуйте 12.4(15)T7 или 12.4(20)T

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "VPN 'затыкается'"
	Сообщение от Alting (ok) on 16-Сен-08, 10:31
	>>Ткните носом, плиз, куда копать? > >В версию IOS скорее всего. Попробуйте 12.4(15)T7 или 12.4(20)T Где бы еще найти... Я тоже думал, в версии дело... 2811 не обновлял, все и так работает, а для 1841 нашел только 12.4(13r)T на рапиде :(
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "VPN 'затыкается'"
	Сообщение от Ярослав Росомахо (ok) on 16-Сен-08, 10:34
	>>>Ткните носом, плиз, куда копать? >> >>В версию IOS скорее всего. Попробуйте 12.4(15)T7 или 12.4(20)T > >Где бы еще найти... Я тоже думал, в версии дело... 2811 не >обновлял, все и так работает, а для 1841 нашел только 12.4(13r)T >на рапиде :( Купите сервисный контракт. Тогда еще и кейсы открывать сможете... Кстати, если вы покупали железку легально у золотого или серебряного партнера, то техническая поддержка на год должна по-любому прилагаться.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "VPN 'затыкается'"
	Сообщение от Alting (ok) on 16-Сен-08, 10:43
	>[оверквотинг удален] >>>В версию IOS скорее всего. Попробуйте 12.4(15)T7 или 12.4(20)T >> >>Где бы еще найти... Я тоже думал, в версии дело... 2811 не >>обновлял, все и так работает, а для 1841 нашел только 12.4(13r)T >>на рапиде :( > >Купите сервисный контракт. Тогда еще и кейсы открывать сможете... > >Кстати, если вы покупали железку легально у золотого или серебряного партнера, то >техническая поддержка на год должна по-любому прилагаться. И есть и прилагается и регистрировался, но как-то косячно, доступа к даунлоаду осей нет :( Ладно, спасибо, поищу на торрентах :) Я цисками постольку-поскольку занимаюсь... Просто пока некому больше. Будем расширяться - возьму нормального цисковода. А пока - решаю задачи от случая к случаю по мере поступления и времени на это особо нет.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "VPN 'затыкается'"
	Сообщение от Alting (ok) on 17-Сен-08, 21:16
	>[оверквотинг удален] >> >>Кстати, если вы покупали железку легально у золотого или серебряного партнера, то >>техническая поддержка на год должна по-любому прилагаться. > >И есть и прилагается и регистрировался, но как-то косячно, доступа к даунлоаду >осей нет :( >Ладно, спасибо, поищу на торрентах :) >Я цисками постольку-поскольку занимаюсь... Просто пока некому больше. Будем расширяться - возьму >нормального цисковода. А пока - решаю задачи от случая к случаю >по мере поступления и времени на это особо нет. Обновил версию до 12.4(20)T Проблема осталась. Есть еще мысли?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "VPN 'затыкается'"

Сообщение от CrAzOiD (ok) on 17-Сен-08, 22:27

>[оверквотинг удален] > ppp authentication ms-chap ms-chap-v2 >! >ip local pool DIAL-IN 192.168.0.90 192.168.0.95 >И все работает! Файл спокойно качается в обе стороны. Причем как на >локальный сервер, так и на удаленный через GRE туннель. >Для очистки совести подняли PPTP сервер на линуксовой машине в ЦО. >Разница только в отсутствии криптования (это в виндовом клиенте - "Требовать безопасную >проверку пароля, иначе отключаться"). Поскольку для этого надо было патчить ядро >линукса, не стал заморачиваться. Тоже все работает. >Ткните носом, плиз, куда копать? если отключить принудительное крпиптование? попробуй,  будет ли виснуть

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "VPN 'затыкается'"
	Сообщение от Alting (ok) on 18-Сен-08, 10:36
	>[оверквотинг удален] >>ip local pool DIAL-IN 192.168.0.90 192.168.0.95 >>И все работает! Файл спокойно качается в обе стороны. Причем как на >>локальный сервер, так и на удаленный через GRE туннель. >>Для очистки совести подняли PPTP сервер на линуксовой машине в ЦО. >>Разница только в отсутствии криптования (это в виндовом клиенте - "Требовать безопасную >>проверку пароля, иначе отключаться"). Поскольку для этого надо было патчить ядро >>линукса, не стал заморачиваться. Тоже все работает. >>Ткните носом, плиз, куда копать? > >если отключить принудительное крпиптование? попробуй,  будет ли виснуть Повисло, но позже. Удалось скопировать в два раза больший объем данных, чем обычно (примерно 5Мб).
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "VPN 'затыкается'"
	Сообщение от CrAzOiD (ok) on 18-Сен-08, 10:38
	>[оверквотинг удален] >>>Для очистки совести подняли PPTP сервер на линуксовой машине в ЦО. >>>Разница только в отсутствии криптования (это в виндовом клиенте - "Требовать безопасную >>>проверку пароля, иначе отключаться"). Поскольку для этого надо было патчить ядро >>>линукса, не стал заморачиваться. Тоже все работает. >>>Ткните носом, плиз, куда копать? >> >>если отключить принудительное крпиптование? попробуй,  будет ли виснуть > >Повисло, но позже. Удалось скопировать в два раза больший объем данных, чем >обычно (примерно 5Мб). хорошо, что говорят логи с дебагами на кошке? и какова загрузка процессора?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "VPN 'затыкается'"
	Сообщение от Helper on 18-Сен-08, 11:17
	MTU на Virtual-template поставьте 1476. или ip tcp adjust-mss 1452 лучше MTU
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "VPN 'затыкается'"
	Сообщение от Helper on 18-Сен-08, 11:25
	>или ip tcp adjust-mss 1452 наврал спросонья ip tcp adjust-mss 1436
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	11. "VPN 'затыкается'"
	Сообщение от Alting (ok) on 18-Сен-08, 11:42
	>>или ip tcp adjust-mss 1452 > >наврал спросонья >ip tcp adjust-mss 1436 С mtu  и ip tcp adjust-mss игрался уже, не помогает :( Причем, сначала показалось, что затык только в smb протоколе, потом оказалось, что нет, MAPI к примеру тоже виснет.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	12. "VPN 'затыкается'"
	Сообщение от Alting (ok) on 18-Сен-08, 11:44
	>[оверквотинг удален] >>>>линукса, не стал заморачиваться. Тоже все работает. >>>>Ткните носом, плиз, куда копать? >>> >>>если отключить принудительное крпиптование? попробуй,  будет ли виснуть >> >>Повисло, но позже. Удалось скопировать в два раза больший объем данных, чем >>обычно (примерно 5Мб). > >хорошо, что говорят логи с дебагами на кошке? >и какова загрузка процессора? Мне они ничего не говорят :) Ну а если серьезно, я в отпуске сейчас. Выйду, поставлю логирование и дебаги скину.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	13. "VPN 'затыкается'"
	Сообщение от CrAzOiD (ok) on 18-Сен-08, 12:34
	>[оверквотинг удален] >>> >>>Повисло, но позже. Удалось скопировать в два раза больший объем данных, чем >>>обычно (примерно 5Мб). >> >>хорошо, что говорят логи с дебагами на кошке? >>и какова загрузка процессора? > > Мне они ничего не говорят :) >Ну а если серьезно, я в отпуске сейчас. Выйду, поставлю логирование и >дебаги скину. переходи на IPSec
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	14. "VPN 'затыкается'"
	Сообщение от Alting (ok) on 18-Сен-08, 15:37
	>[оверквотинг удален] >>>>обычно (примерно 5Мб). >>> >>>хорошо, что говорят логи с дебагами на кошке? >>>и какова загрузка процессора? >> >> Мне они ничего не говорят :) >>Ну а если серьезно, я в отпуске сейчас. Выйду, поставлю логирование и >>дебаги скину. > >переходи на IPSec Если можно, по-подробнее? Мне главное, чтобы "продвинутые пользователи ПК" могли самостоятельно настроить подключение в случае необходимости. А то у нас, к примеру, есть офис в Ю-Сахалинске и летать из Москвы настроить подключение - не большое удовольствие. Да и некому. Поэтому я и выбрал подключение с помощью обычного клиента. По загрузке: cisco#sh processes cpu CPU utilization for five seconds: 15%/7%; one minute: 14%; five minutes: 9% PID Runtime(ms)   Invoked      uSecs   5Sec   1Min   5Min TTY Process    1          60       289        207  0.00%  0.00%  0.00%   0 Chunk Manager    2          60     13263          4  0.00%  0.03%  0.02%   0 Load Meter    3           0        22          0  0.00%  0.00%  0.00%   0 CRYPTO IKMP IPC    4       91392      8998      10156  0.00%  0.15%  0.12%   0 Check heaps    5         252        41       6146  0.00%  0.00%  0.00%   0 Pool Manager    6           0         2          0  0.00%  0.00%  0.00%   0 Timers    7           0         1          0  0.00%  0.00%  0.00%   0 OIR Handler    8           0      1107          0  0.00%  0.00%  0.00%   0 IPC Dynamic Cach    9           0         1          0  0.00%  0.00%  0.00%   0 IPC Zone Manager   10          24     66321          0  0.00%  0.00%  0.00%   0 IPC Periodic Tim   11          24     66321          0  0.00%  0.00%  0.00%   0 IPC Deferred Por   12           0         1          0  0.00%  0.00%  0.00%   0 IPC Seat Manager   13           0         1          0  0.00%  0.00%  0.00%   0 IPC BackPressure   14           0      2212          0  0.00%  0.00%  0.00%   0 Environmental mo   15           0         1          0  0.00%  0.00%  0.00%   0 Crash writer   16           0         1          0  0.00%  0.00%  0.00%   0 chkpt message ha   17       22776     64566        352  0.08%  0.04%  0.02%   0 ARP Input   18          28     69187          0  0.00%  0.00%  0.00%   0 ARP Background   19           0         2          0  0.00%  0.00%  0.00%   0 ATM Idle Timer   20           0        12          0  0.00%  0.00%  0.00%   0 AAA high-capacit   21           0         1          0  0.00%  0.00%  0.00%   0 AAA_SERVER_DEADT Циска курит... Может, кеш забивается какой? Если несложно, скажите, какой командой посмотреть?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

15. "VPN 'затыкается'"

Сообщение от roman (??) on 18-Сен-08, 16:57

ip mroute-cache уберите

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	16. "VPN 'затыкается'"
	Сообщение от Alting (ok) on 18-Сен-08, 19:20
	>ip mroute-cache >уберите Убрал. Проблема не исчезла.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]