VPN Client tramite IOS.....si può ma come!!??
Inviato: mar 10 mar , 2009 5:15 pm
Debbo mettere su una VPN tra un PIX ed un 877 IOs advance ip.Il problema è che il PIX ha già un botto di VPN ed ha anche abilitato un Server VPN Client .Il problema è che nessuno ci sa/vuole mettere le mani sul PIX...mi hano detto "vabè,ti diamo la password e lo configuri tu".....seee aspetta che mo vengo......
Ho pensato di risolvere sfruttando la possibilità di IOS di fare da client VPN....male che va dovrò aggiungere sul PIX una regola per lo split tunnel...
Per testare stà cosa che non ho mai provato sto sfruttando un 1812 che ha configurato un Server VPN Client ed il mio 877 di casa...solo che non và...so che dovrò fare qualche operazone di nat ma il problema è proprio che non parte la negoziazione cioè dal mio 877 ottengo:
mentre dal 1841:
Quel "Phase1 id: VPNCLIENT" è di un client che non centra nulla che in quel momento era connesso.Da tutto ciò deduco chiaramente che il tunnel non viene neppure lanciato.Ho conferma di ciò dal fatto di aver messo in debug sull'877 debug crypto ipsec client ezvpn e non ricevo nessun messaggio.
Ho provato anche la connessione manuale cry ipsec client ezvpn connect ma sempre nulla,neanche il debug riporta qualcosa.
Se qualche anima pia.....
Configurazione del Server VPN Client
Configurazione del router client
Ho pensato di risolvere sfruttando la possibilità di IOS di fare da client VPN....male che va dovrò aggiungere sul PIX una regola per lo split tunnel...
Per testare stà cosa che non ho mai provato sto sfruttando un 1812 che ha configurato un Server VPN Client ed il mio 877 di casa...solo che non và...so che dovrò fare qualche operazone di nat ma il problema è proprio che non parte la negoziazione cioè dal mio 877 ottengo:
Codice: Seleziona tutto
ilmondoemio#show cry ipsec client ezvpn
Easy VPN Remote Phase: 8
Tunnel name : TEST
Inside interface list:
Outside interface: Dialer0
Current State: IDLE
Last Event: CRYPTO_SS_UNUSED
Save Password: Allowed
Current EzVPN Peer: YY.YY.YY.YY
Codice: Seleziona tutto
team-centro#sh cry isakmp peer
Peer: XX.XX.XX.XX Port: 500 Local: YY.YY.YY.YY
Phase1 id: XX.XX.XX.XX
Peer: CC.CC.CC.CC Port: 9851 Local: YY.YY.YY.YY
Phase1 id: VPNCLIENT
Peer: HH.HH.HH.HH Port: 500 Local: YY.YY.YY.YY
Phase1 id: HH.HH.HH.HH
Peer: TT.TT.TT.TT Port: 500 Local: YY.YY.YY.YY
Phase1 id: TT.TT.TT.TT
Peer: QQ.QQ.QQ.QQ Port: 500 Local: YY.YY.YY.YY
Phase1 id: QQ.QQ.QQ.QQ
Ho provato anche la connessione manuale cry ipsec client ezvpn connect ma sempre nulla,neanche il debug riporta qualcosa.
Se qualche anima pia.....
Configurazione del Server VPN Client
Codice: Seleziona tutto
aaa group server radius IAS
server 192.168.0.2 auth-port 1812 acct-port 1813
!
aaa authentication login default group IAS local
aaa authentication login userauthen group IAS local
aaa authorization network VPNCLIENT local
!
crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
group 2
!
crypto isakmp client configuration group VPNCLIENT
key **********
pool remote-pool
acl 199
max-users 5
max-logins 3
banner ^C
..............................
^C
!
crypto ipsec transform-set VPN-CLI esp-3des esp-md5-hmac
!
crypto dynamic-map remote-dyn 10
set transform-set VPN-CLI
!
!
crypto map VPN local-address Loopback0
crypto map VPN client authentication list userauthen
crypto map VPN isakmp authorization list VPNCLIENT
crypto map VPN client configuration address respond
crypto map VPN 65535 ipsec-isakmp dynamic remote-dyn
!
interface Loopback0
ip address XX.XX.XX.XX 255.255.255.255
no ip redirects
no ip unreachables
no ip proxy-arp
ip accounting access-violations
ip virtual-reassembly
no ip mroute-cache
no snmp trap link-status
!
interface ATM0.1 point-to-point
ip address YY.YY.YY.YY 255.255.255.252
ip access-group 131 in
no ip redirects
no ip unreachables
no ip proxy-arp
ip accounting access-violations
ip nat outside
ip virtual-reassembly
no ip mroute-cache
pvc 8/35
encapsulation aal5snap
!
crypto map VPN
!
interface FastEthernet0
ip address 192.168.0.1 255.255.255.0
ip nat inside
ip virtual-reassembly
ip route-cache flow
ip tcp adjust-mss 1350
no ip mroute-cache
duplex auto
speed auto
!
ip local pool remote-pool 192.168.30.240 192.168.30.254
ip route 0.0.0.0 0.0.0.0 ATM0.1
!
ip nat inside source route-map NAT0-RM interface Loopback0 overload
!
access-list 100 remark ****ACL NAT0-RM****
access-list 100 remark --vpn client--
access-list 100 deny ip 192.168.0.0 0.0.0.255 192.168.30.0 0.0.0.255
access-list 100 remark --to translate--
access-list 100 permit ip 192.168.0.0 0.0.0.255 any
access-list 199 permit ip 192.168.30.0 0.0.0.255 any
!
route-map NAT0-RM permit 1
match ip address 100
Codice: Seleziona tutto
crypto isakmp policy 10
encr 3des
authentication pre-share
group 2
!
crypto ipsec client ezvpn TEST
connect auto
group VPNCLIENT key *********
local-address Vlan1
mode client
peer XX.XX.XX.XX
username ********* password **********
xauth userid mode local
!
interface Vlan1
ip address 192.168.1.1 255.255.255.0
ip nat inside
ip virtual-reassembly
no ip route-cache cef
no ip route-cache
ip tcp adjust-mss 1350
no ip mroute-cache
hold-queue 100 out
!
interface Dialer0
ip nat outside
ip virtual-reassembly
encapsulation ppp
dialer pool 1
dialer-group 1
ppp chap hostname **********
ppp chap password **********
ppp pap sent-username ********** password ************
crypto ipsec client ezvpn TEST
!
ip route 0.0.0.0 0.0.0.0 Dialer0
ip route 192.168.0.0 255.255.255.0 Dialer0
!
ip nat inside source route-map NAT0 interface Dialer0 overload
!
access-list 100 remark #############################################
access-list 100 remark **NAT 0**
access-list 100 remark --vpn client--
access-list 100 deny ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255
access-list 100 remark --to translate--
access-list 100 permit ip 192.168.1.0 0.0.0.255 any
