нет ipsec sas!
-
Здравствуйте, Я пытаюсь использовать IPSEC с ikev1 на Packet Tracer 09, но в конце при выполнении команды show crypto ipsec sa получаю сообщение «There are no ipsec sa» (Нет ipsec sa). Что мне нужно изменить? ASA версии 9.16(2)3 ! интерфейс GigabitEthernet1/1 nameif outside уровень безопасности 0 ip address 200.100.100.2 255.255.255.0 ! интерфейс GigabitEthernet1/2 имя внутри уровень безопасности 100 IP-адрес 192.168.1.1 255.255.255.0 объект сети net подсеть 192.168.1.0 255.255.255.0 nat (внутри2,снаружи2) динамический интерфейс ! маршрут outside2 0.0.0.0 0.0.0.0 200.100.100.1 1 ! список доступа outside1_access_in расширенный разрешить ip любой любой access-list inside1_access_in extended permit ip any any access-list outside2_access_in extended permit ip any any access-list inside2_access_in extended permit ip any any access-list vpn extended permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0 access-list AAA extended permit tcp any any access-list AAA extended permit icmp any any !! access-group outside1_access_in in interface outside1 access-group inside1_access_in in interface inside1 access-group AAA in interface outside2 группа доступа inside2_access_in в интерфейсе inside2 ! telnet timeout 5 ssh timeout 5 ! crypto ipsec ikev1 transform-set pmnet esp-3des esp-sha-hmac ! crypto map mymap 10 match address vpn crypto map mymap 10 set peer 200.200.200.2 crypto map mymap 10 set security-association lifetime seconds 86400 crypto map mymap 10 set ikev1 transform-set pmnet crypto map mymap interface outside2 крипто ikev1 включить outside2 крипто ikev1 политика 10 encr aes аутентификация pre-share группа 5 ! группа туннелей 200.200.200.2 тип ipsec-l2l группа туннелей 200.200.200.2 атрибуты ipsec ikev1 предварительно совместно используемый ключ Cisco123 ! маршрутизатор eigrp 1 сеть 192.168.1.0 сеть 200.100.100.0 Спасибо
-
@qumarce-habibzadeh
, вы предоставили всю правильную информацию? Ваши имена интерфейсов неверны, нет интерфейсов с именами nameif - inside1, inside2 и outside1, но вы ссылаетесь на эти объекты в других местах. У вас есть правило исключения NAT между локальной сетью и удаленными сетями, иначе ваше существующее правило NAT будет преобразовывать трафик. Вам нужно правило примерно такого вида: object network LOCAL-NET
subnet 192.168.1.0 255.255.255.0
object network REMOTE-NET
subnet 192.168.2.0 255.255.0.0
!
nat (inside2,outside2) source static LOCAL-NET LOCAL-NET destination static REMOTE-NET REMOTE-NET Измените названия интерфейсов, если они неверны. После внесения изменений сгенерируйте трафик от 192.168.1.x до 192.168.2.x, чтобы установить туннель. -
@qumarce-habibzadeh Да, я обнаружил некоторые проблемы в конфигурации. Прилагаемый файл работает. Сравните мою конфигурацию с вашей. В основном, вы забыли добавить transform-set, а в вашем криптографическом карте есть опечатка. «tunnel-group 209.65..200.2 ipsec-attributes». Вы добавили две точки. Как видите, туннель работает, и я могу пинговать с одного ПК на другой. ASA2#sh crypto isakmp sa IKEv1 SAs: Активные SA: 1 Rekey SA: 0 (туннель сообщит о 1 активном и 1 Rekey SA во время перегенерации ключа) Всего IKE SA: 1 1 IKE Peer: 209.65.100.2 Тип: L2L Роль: Инициатор Переключение ключей: нет Состояние: QM_IDLE Нет IKEv2 SA ASA2#sh cry ASA2#sh crypto ip ASA2#sh crypto ipsec sa ASA2#sh crypto ipsec sa интерфейс: внешний Crypto map tag: mymap, seq num: 10, local addr 209.65.200.2 разрешить ip 192.168.2.0 255.255.255.0 192.168.1.0 255.255.255.0 локальный идентификатор (адрес/маска/протокол/порт): (192.168.2.0/255.255.255.0/0/0) удаленная идентификация (адрес/маска/протокол/порт): (192.168.1.0/255.255.255.0/0/0) текущий_peer 209.65.100.2 #pkts encaps: 338, #pkts encrypt: 338, #pkts digest: 0 #pkts decaps: 338, #pkts decrypt: 338, #pkts verify: 0 #pkts compressed: 0, #pkts decompressed: 0 #pkts не сжато: 0, #pkts сжатие не удалось: 0, #pkts распаковка не удалась: 0 #пре-фраг успешных: 0, #пре-фраг неудачных: 0, #фрагментов создано: 0 #PMTU отправлено: 0, #PMTU получено: 0, #декапсулированные фрагменты, требующие повторной сборки: 0 #ошибок отправки 1, #ошибок приема 0 локальный криптографический конечный пункт: 209.65.200.2/0, удаленный криптографический конечный пункт: 209.65.100.2/0 путь mtu 1500, ip mtu, накладные расходы ipsec 78, media mtu 1500 текущий исходящий spi: 0xBE91F337(3197236023) текущий входящий SPI: 0x299ED7FB(3197236023)
-
Спасибо! Я исправлю.
-
нет возможности пинговать! Nat, как вы добавляете, не допускается.
-
@qumarce-habibzadeh,
если это не разрешено, предоставьте ошибку (скриншот). Ошибка возникает из-за неправильного имени интерфейса — вы должны указать точное имя ваших интерфейсов. Предоставьте текущую конфигурацию в текстовом файле (у меня нет Packet Tracer). -
Привет, Роб Какой из моих интерфейсов неверный? Спасибо
-
@qumarce-habibzadeh interface GigabitEthernet1/1
nameif
outside
security-level 0
ip address 200.100.100.2 255.255.255.0
!
interface GigabitEthernet1/2
nameif
inside
security-level 100
ip address 192.168.1.1 255.255.255.0
crypto map mymap interface
outside2
<< that should be outside? unless you have another interface?
crypto ikev1 enable
outside2
<< that should be outside? unless you have another interface?
object network net
subnet 192.168.1.0 255.255.255.0
nat (
inside2
,
outside2
) dynamic interface
!
nat (inside2,outside2) source static LOCAL-NET LOCAL-NET destination static REMOTE-NET REMOTE-NET
<< that should be inside and outside unless you have another interface? Физическое имя nameif отличается от имени nameif, определенного для включения ikev1/crypto и используемого в правиле NAT. Имя nameif, на которое ссылается ikev1/crypto, будет таким же, как имя nameif, настроенное на внешнем интерфейсе. Правило NAT будет ссылаться на правильные внутреннее и внешнее имена nameif. Предоставьте полную конфигурацию, как запрошено Предоставьте ошибку NAT, как запрошено. -
@qumarce-habibzadeh Если вы поделитесь своим файлом PacketTracer, будет проще помочь. Перед прикреплением файл необходимо сжать. Сложно что-то сказать, глядя только на одну сторону. Вставьте как минимум конфигурацию обоих брандмауэров и убедитесь, что вы можете пинговать от одного брандмауэра к другому без VPN.
-
-
Привет, Флавио Надеюсь, ты уже посмотрел мой zip-файл. Спасибо за поддержку
-
Дорогой Флавио! Большое спасибо за вашу поддержку, это сработало.
-
@qumarce-habibzadeh Отлично. Продолжай учиться, приятель, и рассчитывай на нас, если что-то не поймешь.
-
Спасибо, Флавио! В Германии мы говорим: «Хорошо, что ты есть!» Удачи!
Здравствуйте! Похоже, вам интересна эта беседа, но у вас пока нет учетной записи.
Вы устали просматривать одни и те же посты каждый раз, когда заходите на сайт? После регистрации, вам не придётся искать обсуждения в которых вы принимали участие, настройте уведомления о новых сообщениях так как вам это удобно (по электронной почте или уведомлением). У вас появится возможность сохранять закладки и ставить лайки постам, чтобы выразить свою благодарность другим участникам сообщества.
С вашими комментариями этот пост может стать ещё лучше 💗
Зарегистрироваться Войти