Как правильно настроить IPSEC VPN Site-Site и VLAN удаленного доступа на одном внешнем интерфейсе? Cisco 891 ISR

11

Я был бы рад опубликовать конфигурацию или журналы для справки, но у меня возникли проблемы с настройкой VPN для удаленного доступа, работающей на том же интерфейсе, что и мой сайт, на сайт IPSEC VPN. Я использую динамическую криптографическую карту для удаленного доступа vpn, но похоже, что он не пытается сделать первый этап. Кто-нибудь сможет дать мне простой пример конфигурации для работы?

РЕДАКТИРОВАТЬ:

Вот дамп отладки от этого, терпящий неудачу после реализации профилей ISAKMP согласно предложению ниже. Мне предлагается ввести имя пользователя и пароль, но затем истекает время ожидания. Похоже, авторизация isakmp не удалась. В настоящее время авторизация isakmp установлена ​​только для локального списка пользователей. Это кажется вам проблемой, ребята?

Jul  3 16:40:44.297: ISAKMP/aaa: unique id = 29277
Jul  3 16:40:44.297: ISAKMP:(0):Proposed key length does not match policy
Jul  3 16:40:44.297: ISAKMP:(0):atts are not acceptable. Next payload is 3
Jul  3 16:40:44.313: ISAKMP:(0):ISAKMP/tunnel: setting up tunnel REMOTEACCESS pw request
Jul  3 16:40:44.313: ISAKMP:(0):ISAKMP/tunnel: Tunnel REMOTEACCESS PW Request successfully sent to AAA
Jul  3 16:40:44.317: ISAKMP:(0):ISAKMP/tunnel: received callback from AAA
AAA/AUTHOR/IKE: Processing AV tunnel-password
AAA/AUTHOR/IKE: Processing AV addr-pool
AAA/AUTHOR/IKE: Processing AV inacl
AAA/AUTHOR/IKE: Processing AV dns-servers
AAA/AUTHOR/IKE: Processing AV wins-servers
AAA/AUTHOR/IKE: Processing AV route-metric
Jul  3 16:40:44.317: ISAKMP/tunnel: received tunnel atts
Jul  3 16:40:44.341: ISAKMP AAA: Deleting old aaa_uid = 29277
Jul  3 16:40:44.341: ISAKMP AAA: NAS Port Id is already set to 174.98.136.27
Jul  3 16:40:44.341: ISAKMP:(0):AAA: Nas Port ID set to 174.98.136.27.
Jul  3 16:40:44.341: ISAKMP AAA: Allocated new aaa_uid = 29278
Jul  3 16:40:44.341: ISAKMP AAA: Accounting is not enabled
Jul  3 16:40:48.337: ISAKMP AAA: NAS Port Id is already set to 174.98.136.27
Jul  3 16:40:48.337: ISAKMP/Authen: unique id = 29278
Jul  3 16:40:48.337: ISAKMP:(2110):AAA Authen: setting up authen_request
Jul  3 16:40:48.337: ISAKMP:(2110):AAA Authen: Successfully sent authen info to AAA

Jul  3 16:40:48.337: ISAKMP:(2110):AAA Authen: Local Authentication or no RADIUS atts recvd
Jul  3 16:40:48.349: ISAKMP:(2110):ISAKMP/author: setting up the authorization request for REMOTEACCESS
Jul  3 16:40:48.349: ISAKMP:(0):ISAKMP/author: received callback from AAA
AAA/AUTHOR/IKE: Processing AV tunnel-password
AAA/AUTHOR/IKE: Processing AV addr-pool
AAA/AUTHOR/IKE: Processing AV inacl
AAA/AUTHOR/IKE: Processing AV dns-servers
Jul  3 16:40:48.349: 
AAA/AUTHOR/IKE: no DNS addresses
AAA/AUTHOR/IKE: Processing AV wins-servers
Jul  3 16:40:48.349: 
AAA/AUTHOR/IKE: no WINS addresses
AAA/AUTHOR/IKE: Processing AV route-metric
Jul  3 16:40:48.349: ISAKMP:(2110):ISAKMP/author: No Class attributes
Jul  3 16:40:48.349: ISAKMP:FSM error - Message from AAA grp/user.

Я также вижу эти ошибки, когда я отлаживаю ошибки isakmp и ipsec и извлекаю логи:

Jul  3 16:32:33.949: insert of map into mapdb AVL failed, map + ace pair already exists on the mapdb
Jul  3 16:32:57.557: ISAKMP:(0):Proposed key length does not match policy
Jul  3 16:32:57.557: ISAKMP:(0):atts are not acceptable. Next payload is 3
Jul  3 16:33:00.637: ISAKMP:FSM error - Message from AAA grp/user.
cisco  vpn  cisco-ios-15  cisco-isr  ipsec 
— Билл Гёрлинг
источник
2
Какой основной релиз IOS вы используете? Лучше упомянуть об этом и пометить cisco-ios-15 или что-то еще.
— Крейг Константин
Удалось ли вам заставить один или оба этих компонента функционировать должным образом независимо? Я бы начал с того, чтобы убедиться, что независимый конфиг для каждого проверен, прежде чем объединять их.
— Джереми Стретч
Что вы подразумеваете под VLAN с удаленным доступом? Я понимаю, что вы пытаетесь настроить и включить IPSEC VPN, применяя криптографическую карту к интерфейсу, но это VLAN удаленного доступа?
— Jwbensley
Извините, должен сказать VPN, я это исправлю. У меня они оба работали, но на данный момент работает только сайт VPN. ISR работает 15,1 прямо сейчас.
— Билл Гёрлинг
Вам помог какой-нибудь ответ? Если это так, вы должны принять ответ, чтобы вопрос не появлялся вечно, ища ответ. Кроме того, вы можете предоставить и принять свой собственный ответ.
— Рон Мопин

Ответы:

6

Сделайте снимок в темноте, потому что есть много переменных, которые вы не упомянули. Пожалуйста, обновите вопрос, включив в него конкретные технологии, которые вы используете, вашу конфигурацию currnet и полученную ошибку. Но если вы используете, например, DMVPN + EZVPN, вам, вероятно, придется использовать цепочки ключей и несколько профилей ISAKMP. Поскольку вы указываете на вопросы фазы 1, я бы это проверил. Следующие ссылки дают справочные конфиги для DMVPN и EZVPN и L2L + EZVPN . Вы должны быть в состоянии изменить в соответствии с вашими потребностями.

Вот ссылка на профиль ISAKMP для чтения в обеденное время.

— смитовской
источник
Я обновил свой первоначальный пост, добавив некоторые записи, которые я вижу, когда он исчезает. Где это похоже на срыв? В настоящее время используется профиль isakmp.
— Билл Герлинг
1

Не смотря на то, что вы настраиваете, этот пример не будет полностью точным. Однако вот как я бы настроил сайт A. Сайт B был бы похожим, за исключением удаленных частей VPN и реверсирования частей сайта A и сайта B. Все, что в скобках, должно быть заполнено вашей собственной информацией.

Кроме того, в этом конкретном примере удаленная VPN будет осуществляться через Cisco VPN Client, а не через AnyConnect Client. ShrewSoft VPN Client также работает.

ip local pool pool-remote-access 10.250.0.1 10.250.0.254

crypto logging ezvpn
!
crypto isakmp policy 1
 encr aes
 authentication pre-share
 group 2

crypto isakmp key <pre-shared-site-to-site-key-here> address <site-b-ip>   no-xauth

!
crypto isakmp client configuration group Remote-Users-Group
 key <pre-shared-key-for-vpn-users>
 dns <internal-domain-dns-ip>
 domain <internal-domain-fqdn>
 pool pool-remote-access
 acl acl-remote-access
 split-dns <internal-domain-fqdn>
crypto isakmp profile Remote-Users-Profile
   description Remote VPN Clients
   match identity group Remote-Users-Group
   client authentication list <inset-aaa-group-for-remote-user-authentication>
   isakmp authorization list <inset-aaa-group-for-remote-user-authorization>
   client configuration address respond
!
!
crypto ipsec transform-set esp-aes-sha esp-aes esp-sha-hmac
crypto ipsec df-bit clear
!
!
!
crypto dynamic-map dynamic-vpn-map 1
 set transform-set esp-aes-sha 
 set isakmp-profile Remote-Users-Profile
 reverse-route
 qos pre-classify
!
!
crypto map vpn-map-all 1 ipsec-isakmp 
 description VPN to Site-B
 set peer <site-b-IP>
 set transform-set esp-aes-sha 
 match address acl-vpn-site-b
crypto map vpn-map-all 65535 ipsec-isakmp dynamic dynamic-vpn-map 

ip access-list extended acl-remote-access
 permit ip <site-a-subnet> 0.0.0.255 10.250.0.0 0.0.0.255

ip access-list extended acl-vpn-site-b
 permit ip <site-a-subnet> 0.0.0.255 <site-b-subnet> 0.0.0.255


interface <outside-interface>
 crypto map vpn-map-all

! These ports need to be open on the outside interface 
! permit udp any host <public-ip-of-outside-interface> eq non500-isakmp
! permit udp any host <public-ip-of-outside-interface> eq isakmp
! permit esp any host <public-ip-of-outside-interface>
! permit ahp any host <public-ip-of-outside-interface>

!
!If doing NAT... need to block VPN-VPN connections from being NAT'd
!The following is an example setup - not definitive
!



ip access-list extended acl-block-vpn
 deny   ip <site-a-subnet> 0.0.0.255 <site-b-subnet> 0.0.0.255  !Site-B
 deny   ip <site-a-subnet> 0.0.0.255 10.250.0.0 0.0.0.255       !Remote users 
 permit ip <site-a-subnet> 0.0.0.255 any

route-map rm-block-vpn-on-nat permit 1
 match ip address acl-block-vpn

ip nat inside source route-map rm-block-vpn-on-nat interface <overloaded-interface> overload
— some_guy_long_gone
источник
Большое спасибо, я сравню это с моим конфигом и посмотрю, где разбивка. Я думаю, что мой конфиг, вероятно, в основном правильный, но у меня точно нет записей ACL, так что это может быть моей проблемой. Ценю ответ.
— Билл Гёрлинг
Используя наш сайт, вы подтверждаете, что прочитали и поняли нашу Политику в отношении файлов cookie и Политику конфиденциальности.
Licensed under cc by-sa 3.0 with attribution required.