Cisco ASA, отваливается Site-to-Site VPN - Cisco - Ответ 4756984

@jlevistk · 23.06.2013, 00:42 **[ТС]**

ээээм.. Тогда я пожалуй вечером конфиг приложу, что то я видимо не доделал, раз это у меня не получается сделать(

Добавлено через 8 часов 21 минуту

Кликните здесь для просмотра всего текста

ASA Version 9.1(1)
!
hostname asaasaasa
domain-name domain.com
enable password password encrypted
xlate per-session deny tcp any4 any4
xlate per-session deny tcp any4 any6
xlate per-session deny tcp any6 any4
xlate per-session deny tcp any6 any6
xlate per-session deny udp any4 any4 eq domain
xlate per-session deny udp any4 any6 eq domain
xlate per-session deny udp any6 any4 eq domain
xlate per-session deny udp any6 any6 eq domain
passwd password encrypted
names
!
interface Ethernet0/0
description outside
switchport access vlan 2
!
interface Ethernet0/1
!
interface Ethernet0/2
!
interface Ethernet0/3
!
interface Ethernet0/4
!
interface Ethernet0/5
!
interface Ethernet0/6
!
interface Ethernet0/7
!
interface Vlan1
nameif inside
security-level 100
ip address 192.168.30.1 255.255.255.240
!
interface Vlan2
nameif outside
security-level 0
ip address 115.116.117.118 255.255.255.252
!
ftp mode passive
clock timezone MSK/MSD 3
clock summer-time MSK/MDD recurring last Sun Mar 2:00 last Sun Oct 3:00
dns server-group DefaultDNS
domain-name domain.com
object network =inside=
subnet 192.168.30.0 255.255.255.240
object network Site-A-Subnet
subnet 192.168.30.0 255.255.255.240
object network Site-B-Firewall
host 222.223.224.225
object network Site-B-Subnet
subnet 192.168.10.0 255.255.255.0
access-list outside_cryptomap extended permit ip object Site-A-Subnet object Site-B-Subnet
pager lines 24
logging enable
logging asdm informational
mtu inside 1500
mtu outside 1500
icmp unreachable rate-limit 1 burst-size 1
asdm image disk0:/asdm-711.bin
no asdm history enable
arp timeout 14400
no arp permit-nonconnected
nat (inside,outside) source static Site-A-Subnet Site-A-Subnet destination static Site-B-Subnet Site-B-Subnet no-proxy-arp route-lookup
!
object network =inside=
nat (inside,outside) dynamic interface dns
route outside 0.0.0.0 0.0.0.0 115.116.117.117 1
timeout xlate 3:00:00
timeout pat-xlate 0:00:30
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
timeout tcp-proxy-reassembly 0:01:00
timeout floating-conn 0:00:00
dynamic-access-policy-record DfltAccessPolicy
user-identity default-domain LOCAL
aaa authentication http console LOCAL
aaa authentication ssh console LOCAL
http server enable
http 1.2.3.4 255.255.255.255 outside
http 222.223.224.225 255.255.255.255 outside
http 192.168.30.0 255.255.255.240 inside
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart
crypto ipsec ikev1 transform-set ESP-AES-128-SHA esp-aes esp-sha-hmac
crypto ipsec ikev1 transform-set ESP-AES-128-MD5 esp-aes esp-md5-hmac
crypto ipsec ikev1 transform-set ESP-AES-192-SHA esp-aes-192 esp-sha-hmac
crypto ipsec ikev1 transform-set ESP-AES-192-MD5 esp-aes-192 esp-md5-hmac
crypto ipsec ikev1 transform-set ESP-AES-256-SHA esp-aes-256 esp-sha-hmac
crypto ipsec ikev1 transform-set ESP-AES-256-MD5 esp-aes-256 esp-md5-hmac
crypto ipsec ikev1 transform-set ESP-AES-128-SHA-TRANS esp-aes esp-sha-hmac
crypto ipsec ikev1 transform-set ESP-AES-128-SHA-TRANS mode transport
crypto ipsec ikev1 transform-set ESP-AES-128-MD5-TRANS esp-aes esp-md5-hmac
crypto ipsec ikev1 transform-set ESP-AES-128-MD5-TRANS mode transport
crypto ipsec ikev1 transform-set ESP-AES-192-SHA-TRANS esp-aes-192 esp-sha-hmac
crypto ipsec ikev1 transform-set ESP-AES-192-SHA-TRANS mode transport
crypto ipsec ikev1 transform-set ESP-AES-192-MD5-TRANS esp-aes-192 esp-md5-hmac
crypto ipsec ikev1 transform-set ESP-AES-192-MD5-TRANS mode transport
crypto ipsec ikev1 transform-set ESP-AES-256-SHA-TRANS esp-aes-256 esp-sha-hmac
crypto ipsec ikev1 transform-set ESP-AES-256-SHA-TRANS mode transport
crypto ipsec ikev1 transform-set ESP-AES-256-MD5-TRANS esp-aes-256 esp-md5-hmac
crypto ipsec ikev1 transform-set ESP-AES-256-MD5-TRANS mode transport
crypto ipsec ikev1 transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
crypto ipsec ikev1 transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac
crypto ipsec ikev1 transform-set ESP-3DES-SHA-TRANS esp-3des esp-sha-hmac
crypto ipsec ikev1 transform-set ESP-3DES-SHA-TRANS mode transport
crypto ipsec ikev1 transform-set ESP-3DES-MD5-TRANS esp-3des esp-md5-hmac
crypto ipsec ikev1 transform-set ESP-3DES-MD5-TRANS mode transport
crypto ipsec ikev1 transform-set ESP-DES-SHA esp-des esp-sha-hmac
crypto ipsec ikev1 transform-set ESP-DES-MD5 esp-des esp-md5-hmac
crypto ipsec ikev1 transform-set ESP-DES-SHA-TRANS esp-des esp-sha-hmac
crypto ipsec ikev1 transform-set ESP-DES-SHA-TRANS mode transport
crypto ipsec ikev1 transform-set ESP-DES-MD5-TRANS esp-des esp-md5-hmac
crypto ipsec ikev1 transform-set ESP-DES-MD5-TRANS mode transport
crypto ipsec ikev2 ipsec-proposal DES
protocol esp encryption des
protocol esp integrity sha-1 md5
crypto ipsec ikev2 ipsec-proposal 3DES
protocol esp encryption 3des
protocol esp integrity sha-1 md5
crypto ipsec ikev2 ipsec-proposal AES
protocol esp encryption aes
protocol esp integrity sha-1 md5
crypto ipsec ikev2 ipsec-proposal AES192
protocol esp encryption aes-192
protocol esp integrity sha-1 md5
crypto ipsec ikev2 ipsec-proposal AES256
protocol esp encryption aes-256
protocol esp integrity sha-1 md5
crypto ipsec security-association pmtu-aging infinite
crypto map outside_map 1 match address outside_cryptomap
crypto map outside_map 1 set pfs
crypto map outside_map 1 set peer 222.223.224.225
crypto map outside_map 1 set ikev1 transform-set ESP-AES-128-SHA ESP-AES-128-MD5 ESP-AES-192-SHA ESP-AES-192-MD5 ESP-AES-256-SHA ESP-AES-256-MD5 ESP-3DES-SHA ESP-3DES-MD5 ESP-DES-SHA ESP-DES-MD5
crypto map outside_map 1 set ikev2 ipsec-proposal AES256 AES192 AES 3DES DES
crypto map outside_map interface outside
crypto ca trustpool policy
crypto ikev2 policy 1
encryption aes-256
integrity sha
group 5 2
prf sha
lifetime seconds 86400
crypto ikev2 policy 10
encryption aes-192
integrity sha
group 5 2
prf sha
lifetime seconds 86400
crypto ikev2 policy 20
encryption aes
integrity sha
group 5 2
prf sha
lifetime seconds 86400
crypto ikev2 policy 30
encryption 3des
integrity sha
group 5 2
prf sha
lifetime seconds 86400
crypto ikev2 policy 40
encryption des
integrity sha
group 5 2
prf sha
lifetime seconds 86400
crypto ikev2 enable outside
crypto ikev1 enable outside
crypto ikev1 policy 10
authentication crack
encryption aes-256
hash sha
group 2
lifetime 86400
crypto ikev1 policy 20
authentication rsa-sig
encryption aes-256
hash sha
group 2
lifetime 86400
crypto ikev1 policy 30
authentication pre-share
encryption aes-256
hash sha
group 2
lifetime 86400
crypto ikev1 policy 40
authentication crack
encryption aes-192
hash sha
group 2
lifetime 86400
crypto ikev1 policy 50
authentication rsa-sig
encryption aes-192
hash sha
group 2
lifetime 86400
crypto ikev1 policy 60
authentication pre-share
encryption aes-192
hash sha
group 2
lifetime 86400
crypto ikev1 policy 70
authentication crack
encryption aes
hash sha
group 2
lifetime 86400
crypto ikev1 policy 80
authentication rsa-sig
encryption aes
hash sha
group 2
lifetime 86400
crypto ikev1 policy 90
authentication pre-share
encryption aes
hash sha
group 2
lifetime 86400
crypto ikev1 policy 100
authentication crack
encryption 3des
hash sha
group 2
lifetime 86400
crypto ikev1 policy 110
authentication rsa-sig
encryption 3des
hash sha
group 2
lifetime 86400
crypto ikev1 policy 120
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 86400
crypto ikev1 policy 130
authentication crack
encryption des
hash sha
group 2
lifetime 86400
crypto ikev1 policy 140
authentication rsa-sig
encryption des
hash sha
group 2
lifetime 86400
crypto ikev1 policy 150
authentication pre-share
encryption des
hash sha
group 2
lifetime 86400
telnet timeout 5
ssh 192.168.30.0 255.255.255.240 inside
ssh 1.2.3.4 255.255.255.255 outside
ssh 222.223.224.225 255.255.255.255 outside
ssh timeout 5
console timeout 0

dhcpd address 192.168.30.2-192.168.30.12 inside
dhcpd dns 8.8.8.8 interface inside
dhcpd option 3 ip 192.168.30.1 interface inside
dhcpd enable inside
!
threat-detection basic-threat
threat-detection statistics access-list
no threat-detection statistics tcp-intercept
ntp server 91.226.136.136 source outside
ntp server 88.147.254.232 source outside
group-policy GroupPolicy_222.223.224.225 internal
group-policy GroupPolicy_222.223.224.225 attributes
vpn-tunnel-protocol ikev1 ikev2
username admin password password encrypted
tunnel-group 222.223.224.225 type ipsec-l2l
tunnel-group 222.223.224.225 general-attributes
default-group-policy GroupPolicy_222.223.224.225
tunnel-group 222.223.224.225 ipsec-attributes
ikev1 pre-shared-key *******
ikev2 remote-authentication pre-shared-key *******
ikev2 local-authentication pre-shared-key *******
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum client auto
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect ip-options
inspect netbios
inspect rsh
inspect rtsp
inspect skinny
inspect esmtp
inspect sqlnet
inspect sunrpc
inspect tftp
inspect sip
inspect xdmcp
!
service-policy global_policy global
prompt hostname context
no call-home reporting anonymous
call-home
profile CiscoTAC-1
no active
destination address http https://tools.cisco.com/its/se... DCEService
destination address email callhome@cisco.com
destination transport-method http
subscribe-to-alert-group diagnostic
subscribe-to-alert-group environment
subscribe-to-alert-group inventory periodic monthly
subscribe-to-alert-group configuration periodic monthly
subscribe-to-alert-group telemetry periodic daily
Cryptochecksum:dc11a12225876123cb84d419dc471ca2
: end
asdm image disk0:/asdm-711.bin
no asdm history enable

Вот конфиг. Не подскажите, где косяк? Хочу скопировать конфиг на сервер который находится по ту сторону туннеля, для тестирования - идет ли что-нить через туннель. Но мне это не удается. Чего я тут не сделал?(

Комментарий модератора

Уважаемые модераторы, не проставляйте теги под спойлером - вызывает внутреннюю ошибку

Вернуться к обсуждению:
Cisco ASA, отваливается Site-to-Site VPN Cisco

Следующий ответ

Другие темы раздела
Cisco Cisco asa 5505 Здравствуйте товарищи! Я совсем новичек в cisco, подскажите пжл-та, должна ли по дефолту циска пинговаиться снаружи? В данный момент она не пингуется, Какие настройки за это отвечают? В данный момент она выключена ее пинговать не стоит. Привожу настройки: ciscoasa# sh run : Saved : ASA Version 8.4(4)1 ! https://www.cyberforum.ru/ cisco/ thread908690.html	Cisco ASA 5510 подскажите по конфигу Cisco Добрый день. Есть вышеописанная циска и есть конфиг, доставшийся от кучи людей, которые его в свое время правили. На текущий момент он выглядит так: Result of the command: "show conf" : Saved : Written by enable_15 at 00:56:36.329 MSK/MDD Thu Apr 25 2013 ! ASA Version 8.2(2) ! hostname ciscoasa
Cisco Site to Site IPSec VPN CIsco 800 & Cisco SRP 500 series Доброго времени суток. Есть филиал на котором установлена Cisco 881 и есть удаленная точка на которой стоит Cisco SRP 527W. Задача настроить между ними безопасный канал связи. Для реализации задачи в Cisco SRP 527W имеется Site to Site IPSec VPN. В руководстве был пример настройки канала с использованием Cryptomap который я не смог реализовать в полной мере из за отсутствия физического... https://www.cyberforum.ru/ cisco/ thread907446.html	Cisco Cisco sg300-10 - voice vlan Кто-нибудь пытался на cisco small business настраивать voice vlan? на коммутаторах типа 2960 всё просто и понятно. interface FastEthernet0/1 switchport access vlan 500 switchport voice vlan 400 на коммутаторе sg300-10 не понятно как назначить голосовой VLAN TMH-AS128(config)#int GigabitEthernet 1 https://www.cyberforum.ru/ cisco/ thread907436.html
Cisco Регистрация на Cisco.com Здравствуйте, никак не могу зарегистрироваться на сайте Cisco.com. То пишет "Введенные данные адреса содержат следующие ошибки: Город проживания Повторите ввод адреса." то тоже самое про индекс спрашивает. Ввожу вроде все верно. Может кто сталкивался?	Cisco Dial-peer до ASTERISK Всем привет проблема такова - не проходят звонки с СИП номеров на номера АТС находящейся за ЦИСКО пример - звоню с СИП номера 500 на номер 365 который за ЦИСКО, набираю 28046365 и ошибка 503 на аппарате (2 в диалплане астера выход на циско), на СИП номера звоню 770500, звонок проходит отлично (7 это выход на ЦИСКУ с моей АТС) конфиг ЦИСКО https://www.cyberforum.ru/ cisco/ thread905628.html
Cisco Cisco881 настройка Привет всем! Только начинаю изучать cisco-оборудование(я не сисадмин(уволился), с другой службы ИТ). Подскажите с настройкой vlan на cisco881. Есть удаленный офис с 30 машинами. Под них выделена сеть 10.10.118.0/24 vlan 1143. Vlan 1143 приходит на тэгированный порт в trunk на управляемый коммутатор D-Link 3200-24. DHCP-сервер находится в Центральном офисе. Необходимо поставить между железом... https://www.cyberforum.ru/ cisco/ thread904282.html	Cisco sg300-10 - подключение по telnet Cisco Добрый день!!! Имеется свитч cisco sg300-10. Не могу настроить подключение к нему по telnet. Имеет IP, 192.168.1.254, подключаю ноут через патч, через ноут ip пингуется. через консольный провод подключаюсь, изначально создан пользователь cisco c паролем cisco. switch5f08f6(config)#line console Console terminal line ssh Virtual terminal for secured remote...
Cisco Доступ из интернета в локалку packet tracer Привет ребята :) дали задания такое задание, что бы лэптоп мог пользоваться сетевым принтером в локальной сети, уже всё перепробовала, может у кого есть варианты? :) https://www.cyberforum.ru/ cisco/ thread903922.html	Cisco ACL - "established" Только начинаю осваивать основы cisco. С маршрутизацией и тд разобрался. Встал вопрос по поводу настройки расширенного списка контроля доступа (со стандартным вроде разобрался). Допустим есть несколько подсетей: подстети разных отделов и одна директорская, как сделать так, чтобы из директорской подсети был доступ во все остальные, а в остальных доступа в директорскую не было. Если не ошибаюсь тут... https://www.cyberforum.ru/ cisco/ thread903356.html
CME + SIP (Настройка Call Manager Express для работы с sip телефонами) Cisco Делаю диплом на тему создания IP-телефонии на циске, диплом горит:help:. В Packet Tracer-е все четко с настройкой SCCP, однако в лаборатории имеются только SIP-телефоны. Что имеем: Роутер 2801, залил на него прошивку c2801-ipvoice_ivs-mz.124-24.T3 Свитч цисковский, модель не помню SIP-телефоны Yealink SIP-T20P Схема соединений: с роутера fa0/0 на свитч fa0/24, на свиче fa0/1 и fa0/2 к...	Cisco Трафик между виланами возникла ещё одна проблема...в нижней части схемы настроил vlan'ы, так, чтобы Центральная станция мониторинга (vlan20) и Станция локального наблюдения (vlan30) не могли общаться между собой, но почему то они всё равно пингуются... https://www.cyberforum.ru/ cisco/ thread902426.html

	23.06.2013, 00:42