<![CDATA[нет ipsec sas!]]>Здравствуйте, Я пытаюсь использовать IPSEC с ikev1 на Packet Tracer 09, но в конце при выполнении команды show crypto ipsec sa получаю сообщение «There are no ipsec sa» (Нет ipsec sa). Что мне нужно изменить? ASA версии 9.16(2)3 ! интерфейс GigabitEthernet1/1 nameif outside уровень безопасности 0 ip address 200.100.100.2 255.255.255.0 ! интерфейс GigabitEthernet1/2 имя внутри уровень безопасности 100 IP-адрес 192.168.1.1 255.255.255.0 объект сети net подсеть 192.168.1.0 255.255.255.0 nat (внутри2,снаружи2) динамический интерфейс ! маршрут outside2 0.0.0.0 0.0.0.0 200.100.100.1 1 ! список доступа outside1_access_in расширенный разрешить ip любой любой access-list inside1_access_in extended permit ip any any access-list outside2_access_in extended permit ip any any access-list inside2_access_in extended permit ip any any access-list vpn extended permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0 access-list AAA extended permit tcp any any access-list AAA extended permit icmp any any !! access-group outside1_access_in in interface outside1 access-group inside1_access_in in interface inside1 access-group AAA in interface outside2 группа доступа inside2_access_in в интерфейсе inside2 ! telnet timeout 5 ssh timeout 5 ! crypto ipsec ikev1 transform-set pmnet esp-3des esp-sha-hmac ! crypto map mymap 10 match address vpn crypto map mymap 10 set peer 200.200.200.2 crypto map mymap 10 set security-association lifetime seconds 86400 crypto map mymap 10 set ikev1 transform-set pmnet crypto map mymap interface outside2 крипто ikev1 включить outside2 крипто ikev1 политика 10 encr aes аутентификация pre-share группа 5 ! группа туннелей 200.200.200.2 тип ipsec-l2l группа туннелей 200.200.200.2 атрибуты ipsec ikev1 предварительно совместно используемый ключ Cisco123 ! маршрутизатор eigrp 1 сеть 192.168.1.0 сеть 200.100.100.0 Спасибо

]]>https://sla247.ru/forum/topic/2353/нет-ipsec-sasRSS for NodeFri, 15 May 2026 11:39:18 GMTMon, 02 Mar 2026 12:40:53 GMT60<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:41:06 GMT]]>Спасибо, Флавио! В Германии мы говорим: «Хорошо, что ты есть!» Удачи!

]]>https://sla247.ru/forum/post/16579https://sla247.ru/forum/post/16579Mon, 02 Mar 2026 12:41:06 GMT<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:41:05 GMT]]>@qumarce-habibzadeh Отлично. Продолжай учиться, приятель, и рассчитывай на нас, если что-то не поймешь.

]]>https://sla247.ru/forum/post/16578https://sla247.ru/forum/post/16578Mon, 02 Mar 2026 12:41:05 GMT<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:41:04 GMT]]>Дорогой Флавио! Большое спасибо за вашу поддержку, это сработало.

]]>https://sla247.ru/forum/post/16577https://sla247.ru/forum/post/16577Mon, 02 Mar 2026 12:41:04 GMT<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:41:03 GMT]]>Привет, Флавио Надеюсь, ты уже посмотрел мой zip-файл. Спасибо за поддержку

]]>https://sla247.ru/forum/post/16576https://sla247.ru/forum/post/16576Mon, 02 Mar 2026 12:41:03 GMT<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:41:02 GMT]]>ASA-IPSEC-IKEV1-VPN.zip

ASA-IPSEC-IKEV1-VPN.zip

]]>https://sla247.ru/forum/post/16575https://sla247.ru/forum/post/16575Mon, 02 Mar 2026 12:41:02 GMT<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:41:01 GMT]]>@qumarce-habibzadeh Если вы поделитесь своим файлом PacketTracer, будет проще помочь. Перед прикреплением файл необходимо сжать. Сложно что-то сказать, глядя только на одну сторону. Вставьте как минимум конфигурацию обоих брандмауэров и убедитесь, что вы можете пинговать от одного брандмауэра к другому без VPN.

]]>https://sla247.ru/forum/post/16574https://sla247.ru/forum/post/16574Mon, 02 Mar 2026 12:41:01 GMT<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:41:00 GMT]]>@qumarce-habibzadeh interface GigabitEthernet1/1
nameif
outside
security-level 0
ip address 200.100.100.2 255.255.255.0
!
interface GigabitEthernet1/2
nameif
inside
security-level 100
ip address 192.168.1.1 255.255.255.0
crypto map mymap interface
outside2
<< that should be outside? unless you have another interface?
crypto ikev1 enable
outside2
<< that should be outside? unless you have another interface?
object network net
subnet 192.168.1.0 255.255.255.0
nat (
inside2
,
outside2
) dynamic interface
!
nat (inside2,outside2) source static LOCAL-NET LOCAL-NET destination static REMOTE-NET REMOTE-NET
<< that should be inside and outside unless you have another interface? Физическое имя nameif отличается от имени nameif, определенного для включения ikev1/crypto и используемого в правиле NAT. Имя nameif, на которое ссылается ikev1/crypto, будет таким же, как имя nameif, настроенное на внешнем интерфейсе. Правило NAT будет ссылаться на правильные внутреннее и внешнее имена nameif. Предоставьте полную конфигурацию, как запрошено Предоставьте ошибку NAT, как запрошено.

]]>https://sla247.ru/forum/post/16573https://sla247.ru/forum/post/16573Mon, 02 Mar 2026 12:41:00 GMT<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:40:59 GMT]]>Привет, Роб Какой из моих интерфейсов неверный? Спасибо

]]>https://sla247.ru/forum/post/16572https://sla247.ru/forum/post/16572Mon, 02 Mar 2026 12:40:59 GMT<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:40:58 GMT]]>@qumarce-habibzadeh,
если это не разрешено, предоставьте ошибку (скриншот). Ошибка возникает из-за неправильного имени интерфейса — вы должны указать точное имя ваших интерфейсов. Предоставьте текущую конфигурацию в текстовом файле (у меня нет Packet Tracer).

]]>https://sla247.ru/forum/post/16571https://sla247.ru/forum/post/16571Mon, 02 Mar 2026 12:40:58 GMT<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:40:57 GMT]]>нет возможности пинговать! Nat, как вы добавляете, не допускается.

]]>https://sla247.ru/forum/post/16570https://sla247.ru/forum/post/16570Mon, 02 Mar 2026 12:40:57 GMT<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:40:56 GMT]]>Спасибо! Я исправлю.

]]>https://sla247.ru/forum/post/16569https://sla247.ru/forum/post/16569Mon, 02 Mar 2026 12:40:56 GMT<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:40:55 GMT]]>@qumarce-habibzadeh Да, я обнаружил некоторые проблемы в конфигурации. Прилагаемый файл работает. Сравните мою конфигурацию с вашей. В основном, вы забыли добавить transform-set, а в вашем криптографическом карте есть опечатка. «tunnel-group 209.65..200.2 ipsec-attributes». Вы добавили две точки. Как видите, туннель работает, и я могу пинговать с одного ПК на другой. ASA2#sh crypto isakmp sa IKEv1 SAs: Активные SA: 1 Rekey SA: 0 (туннель сообщит о 1 активном и 1 Rekey SA во время перегенерации ключа) Всего IKE SA: 1 1 IKE Peer: 209.65.100.2 Тип: L2L Роль: Инициатор Переключение ключей: нет Состояние: QM_IDLE Нет IKEv2 SA ASA2#sh cry ASA2#sh crypto ip ASA2#sh crypto ipsec sa ASA2#sh crypto ipsec sa интерфейс: внешний Crypto map tag: mymap, seq num: 10, local addr 209.65.200.2 разрешить ip 192.168.2.0 255.255.255.0 192.168.1.0 255.255.255.0 локальный идентификатор (адрес/маска/протокол/порт): (192.168.2.0/255.255.255.0/0/0) удаленная идентификация (адрес/маска/протокол/порт): (192.168.1.0/255.255.255.0/0/0) текущий_peer 209.65.100.2 #pkts encaps: 338, #pkts encrypt: 338, #pkts digest: 0 #pkts decaps: 338, #pkts decrypt: 338, #pkts verify: 0 #pkts compressed: 0, #pkts decompressed: 0 #pkts не сжато: 0, #pkts сжатие не удалось: 0, #pkts распаковка не удалась: 0 #пре-фраг успешных: 0, #пре-фраг неудачных: 0, #фрагментов создано: 0 #PMTU отправлено: 0, #PMTU получено: 0, #декапсулированные фрагменты, требующие повторной сборки: 0 #ошибок отправки 1, #ошибок приема 0 локальный криптографический конечный пункт: 209.65.200.2/0, удаленный криптографический конечный пункт: 209.65.100.2/0 путь mtu 1500, ip mtu, накладные расходы ipsec 78, media mtu 1500 текущий исходящий spi: 0xBE91F337(3197236023) текущий входящий SPI: 0x299ED7FB(3197236023)

ASA-IPSEC-IKEV1-VPN-v2.zip

]]>https://sla247.ru/forum/post/16568https://sla247.ru/forum/post/16568Mon, 02 Mar 2026 12:40:55 GMT<![CDATA[Reply to нет ipsec sas! on Mon, 02 Mar 2026 12:40:54 GMT]]>@qumarce-habibzadeh
, вы предоставили всю правильную информацию? Ваши имена интерфейсов неверны, нет интерфейсов с именами nameif - inside1, inside2 и outside1, но вы ссылаетесь на эти объекты в других местах. У вас есть правило исключения NAT между локальной сетью и удаленными сетями, иначе ваше существующее правило NAT будет преобразовывать трафик. Вам нужно правило примерно такого вида: object network LOCAL-NET
subnet 192.168.1.0 255.255.255.0
object network REMOTE-NET
subnet 192.168.2.0 255.255.0.0
!
nat (inside2,outside2) source static LOCAL-NET LOCAL-NET destination static REMOTE-NET REMOTE-NET Измените названия интерфейсов, если они неверны. После внесения изменений сгенерируйте трафик от 192.168.1.x до 192.168.2.x, чтобы установить туннель.

]]>https://sla247.ru/forum/post/16567https://sla247.ru/forum/post/16567Mon, 02 Mar 2026 12:40:54 GMT