отмена
Отображаются результаты для 
Вместо этого искать 
Вы имели в виду: 
Объявления
Добро пожаловать в Сообщество Технической поддержки Cisco. Мы рады получить обратную связь .
New Member

PIX515e ipsecVPN

 

Доброго дня, форумчане.
Просьба помочь в поднятии туннеля между Cisco PIX 515e со статическим адресом и подключением из другой сети.
При подключении по туннелю со стороны клиента присваивается адрес из заданого пула, но обмен трафиком не происходит.

134.249.184.XX - статический адрес на PIX
10.121.51.0 VLAN1 - локальная сеть в которую хочу получить доступ
username test - пользователь для VPN подключения
ip local pool VPN_USER 10.121.51.129-10.121.51.149 mask 255.255.255.0- пул для VPN подключений, выделенный из "окончания" локальной сети пользователей

10.121.51.0 VLAN1 находится за роутером. Route на роутер 192.168.5.2
192.168.5.0 сеть на 2 ip адреса для PIX и роутера.

Статический IP адрес присваивается на Ethernet 2 через ip adress dhcp setroute.

Буду благодарен за подсказку в каком направлении искать ошибку.

 

Result of the command: "sh run"

: Saved
:
PIX Version 8.0(4)
!
hostname pixfirewall
domain-name andrew.com
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
names
name 192.168.10.0 VLAN10
name 192.168.20.0 VLAN20
name 10.121.51.0 VLAN1
!
interface Ethernet0
 nameif Local
 security-level 100
 ip address 192.168.5.1 255.255.255.252
!
interface Ethernet1
 shutdown
 no nameif
 no security-level
 no ip address
!
interface Ethernet2
 nameif Outside
 security-level 0
 ip address dhcp setroute
!
ftp mode passive
dns domain-lookup Outside
dns server-group DefaultDNS
 name-server 194.50.125.10
 name-server 213.186.192.2
 domain-name andrew.com
access-list VPN_USER_splitTunnelAcl standard permit VLAN1 255.255.255.0
access-list Local_nat0_outbound extended permit ip VLAN1 255.255.255.128 10.121.51.128 255.255.255.224
access-list Local_nat0_outbound extended permit ip 10.121.51.128 255.255.255.128 10.121.51.128 255.255.255.224
pager lines 24
mtu Local 1460
mtu Outside 1460
ip local pool VPN_USER 10.121.51.129-10.121.51.149 mask 255.255.255.0
no failover
icmp unreachable rate-limit 1 burst-size 1
asdm image flash:/asdm-61551.bin
no asdm history enable
arp timeout 14400
global (Outside) 1 interface
nat (Local) 0 access-list Local_nat0_outbound
nat (Local) 1 0.0.0.0 0.0.0.0
route Local VLAN1 255.255.255.0 192.168.5.2 1
route Local VLAN10 255.255.255.0 192.168.5.2 1
route Local VLAN20 255.255.255.0 192.168.5.2 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
dynamic-access-policy-record DfltAccessPolicy
http server enable
http 0.0.0.0 0.0.0.0 Local
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
crypto ipsec transform-set ESP-AES-256-MD5 esp-aes-256 esp-md5-hmac
crypto ipsec transform-set ESP-DES-SHA esp-des esp-sha-hmac
crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac
crypto ipsec transform-set ESP-AES-192-MD5 esp-aes-192 esp-md5-hmac
crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac
crypto ipsec transform-set ESP-AES-256-SHA esp-aes-256 esp-sha-hmac
crypto ipsec transform-set ESP-AES-128-SHA esp-aes esp-sha-hmac
crypto ipsec transform-set ESP-AES-192-SHA esp-aes-192 esp-sha-hmac
crypto ipsec transform-set ESP-AES-128-MD5 esp-aes esp-md5-hmac
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
crypto dynamic-map SYSTEM_DEFAULT_CRYPTO_MAP 65535 set pfs group1
crypto dynamic-map SYSTEM_DEFAULT_CRYPTO_MAP 65535 set transform-set ESP-AES-128-SHA ESP-AES-128-MD5 ESP-AES-192-SHA ESP-AES-192-MD5 ESP-AES-256-SHA ESP-AES-256-MD5 ESP-3DES-SHA ESP-3DES-MD5 ESP-DES-SHA ESP-DES-MD5
crypto dynamic-map SYSTEM_DEFAULT_CRYPTO_MAP 65535 set security-association lifetime seconds 28800
crypto dynamic-map SYSTEM_DEFAULT_CRYPTO_MAP 65535 set security-association lifetime kilobytes 4608000
crypto map Outside_map 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP
crypto map Outside_map interface Outside
crypto isakmp enable Outside
crypto isakmp policy 10
 authentication pre-share
 encryption 3des
 hash sha
 group 2
 lifetime 86400
crypto isakmp policy 65535
 authentication pre-share
 encryption 3des
 hash sha
 group 2
 lifetime 86400
telnet timeout 5
ssh timeout 5
console timeout 0
threat-detection basic-threat
threat-detection statistics access-list
no threat-detection statistics tcp-intercept
group-policy VPN_USER internal
group-policy VPN_USER attributes
 dns-server value 8.8.8.8
 vpn-tunnel-protocol IPSec
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value VPN_USER_splitTunnelAcl
 default-domain value andrew.com
 address-pools value VPN_USER
username test password P4ttSyrm33SV8TYp encrypted privilege 0
username test attributes
 vpn-group-policy VPN_USER
tunnel-group VPN_USER type remote-access
tunnel-group VPN_USER general-attributes
 address-pool VPN_USER
 default-group-policy VPN_USER
tunnel-group VPN_USER ipsec-attributes
 pre-shared-key *
!
class-map inspection_default
 match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
 parameters
  message-length maximum 512
policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map
  inspect ftp
  inspect h323 h225
  inspect h323 ras
  inspect netbios
  inspect rsh
  inspect rtsp
  inspect skinny 
  inspect esmtp
  inspect sqlnet
  inspect sunrpc
  inspect tftp
  inspect sip 
  inspect xdmcp
!
service-policy global_policy global
prompt hostname context
Cryptochecksum:9c51da51f93517a67c5e731b7eaeeca2
: end

1 ОТВЕТ

Вы подключаетесь с помощью

Вы подключаетесь с помощью cisco vpn client? Подключение проходит успешно?

Что значит "не происходит обмен трафиком"? Как Вы это определяете?

traceroute с клиента до назначения что показывает?

Если клиент - win pc, покажите "route print -4" и "ipconfig /all"

На промежуточном маршрутизаторе в локальной сети также покажите "show ip route" или ещё лучше "show ip cef"

38
Просмотры
0
Полезный материал
1
Ответы