|
Benvenuto,
Ospite
|
ARGOMENTO:
Testing: VPN IPSEC Cisco870 <-> Zyxel USG200 9 Anni 10 Mesi fa #1
|
Ciao Virgilio, per la serie dalla teoria alla pratica ho provato a replicare quello da te esposto nel seminario di giovedì su degli apparati reali collegati internet. Gli apparati sono quelli in oggetto, il Cisco 870 è configurato con lo switch integrato che gestisce più VLAN a seconda della porta fisica connessa. A me al momento interessa parlare di VLAN1. Premetto che ho provato a spengere tutte le ACL configurate per non avere effetti collaterali indesiderati. Ebbene quello che mi succede è la seguente cosa il Tunnel si stabilisce (FASE1 e FASE2) correttamente ma il traffico dati non viene instradato su di esso. Questo lo capisco perché il tunnel IPSEC viene su solo se forzo la chiamata da USG200 (probabilmente anche da Cisco ma non saprei come fare  ), se provo a far passare traffico interessante dal tunnel da ambo gli endpoint questo non sale.Quello che mi manca secondo me è come dire al Cisco di andarsi a cercare la LAN remota (192.168.0.x/24) sul tunnel VPN (cosa che faccio nello Zywall con le policy route). Avrei pensato con una rotta statica, ma come si fa a settare come next hop il tunnel VPN? Ti allego configurazione del mio router, in modo che tu possa capire un po meglio la topologia. grazie in anticipo Emanuele |
|
Si prega Accedi a partecipare alla conversazione. |
Testing: VPN IPSEC Cisco870 <-> Zyxel USG200 9 Anni 10 Mesi fa #2
|
Intanto i miei complimenti sinceri per aver provato subito a mettere in pratica quanto presentato, perchè non è banale e credo tu sia molto vicino alla soluzione.
Il problema non è quello dell'istradamento, con le crypto map la cosa è molto semplice, finisce nel tunnel il traffico che 1. Viene istradato sulla interfaccia dove hai applicato la crypto map 2. Che è intercettato dalla crypto acl In realtà hai una default sulla dialer, quindi il routing dovrebbe essere ok. Credo invece che la fase due non sia realmente risolta, quando guardi il comando Show crypto ipsec sa controlla che veramente siano presenti le sa, qualcosa come le righe riportate in neretto, che secondo me tu non hai. interface: FastEthernet0
Crypto map tag: test, local addr. 12.1.1.1
local ident (addr/mask/prot/port): (20.1.1.0/255.255.255.0/0/0)
remote ident (addr/mask/prot/port): (10.1.1.0/255.255.255.0/0/0)
current_peer: 12.1.1.2
PERMIT, flags={origin_is_acl,}
#pkts encaps: 7767918, #pkts encrypt: 7767918, #pkts digest 7767918
#pkts decaps: 7760382, #pkts decrypt: 7760382, #pkts verify 7760382
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0,
#pkts decompress failed: 0, #send errors 1, #recv errors 0
local crypto endpt.: 12.1.1.1, remote crypto endpt.: 12.1.1.2
path mtu 1500, media mtu 1500
current outbound spi: 3D3
inbound esp sas:
[b] spi: 0x136A010F(325714191)
transform: esp-3des esp-md5-hmac ,
in use settings ={Tunnel, }
slot: 0, conn id: 3442, flow_id: 1443, crypto map: test
sa timing: remaining key lifetime (k/sec): (4608000/52)
IV size: 8 bytes
replay detection support: Y[/b]
inbound ah sas:
inbound pcp sas:
inbound pcp sas:
outbound esp sas:
[b] spi: 0x3D3(979)
transform: esp-3des esp-md5-hmac ,
in use settings ={Tunnel, }
slot: 0, conn id: 3443, flow_id: 1444, crypto map: test
sa timing: remaining key lifetime (k/sec): (4608000/52)
IV size: 8 bytes
replay detection support: Y[/b]
outbound ah sas:
outbound pcp sas:La mia ipotesi è invece che la tua crypto acl precisa icmp, e questo la rende incompatibile con Zyxel che di fatto non consente di precisare il protocollo. Quindi scrivi solamente ACL ip. Tienimi aggiornato perchè quando ce la farai, e sei vicino, mi darai veramente una soddisfazione!  |
|
Si prega Accedi a partecipare alla conversazione. |
Moderatori: jpalombi