URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 17292
[ Назад ]
Исходное сообщение
"Как настроить 871 циску чтоб поднять впн с zyxel zywall 5???"
Отправлено ipat , 02-Окт-08 13:18 
Собственно zywall просто даже не видит как циска к нему стучится... всё перепробовали.
Содержание
Сообщения в этом обсуждении
"Как настроить 871 циску чтоб поднять впн с zyxel zywall 5???"
Отправлено Komrus , 02-Окт-08 18:17 
>Собственно zywall просто даже не видит как циска к нему стучится... всё
>перепробовали.

Кусок живого конфига от циски - соединяемой с ZyWall 35

crypto isakmp policy 10
encr 3des
authentication pre-share
lifetime 28800
crypto isakmp key 6 xxxx address <IP-адрес-зюхеля>
!
!
crypto ipsec transform-set myset esp-3des esp-sha-hmac
!
crypto map sklad 10 ipsec-isakmp
set peer <IP-адрес-зюхеля>
set transform-set myset
match address 100
!
!
!

interface FastEthernet4
ip address 80.xx.xx.xx 255.255.255.252
ip virtual-reassembly
speed 10
full-duplex
crypto map sklad

access-list 100 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

"Как настроить 871 циску чтоб поднять впн с zyxel zywall 5???"
Отправлено visaversa , 05-Окт-08 21:29 
>>Собственно zywall просто даже не видит как циска к нему стучится... всё >
>access-list 100 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

Мне кажется если не видит то все дело в твоем ACL
Попробуй туда прописать

access-list 100 permit host (твой внешний ip) host (внешний адрес зухеля)

Напиши потом, интересно в этом ли дело

"Как настроить 871 циску чтоб поднять впн с zyxel zywall 5???"
Отправлено Komrus , 06-Окт-08 09:48 
>>>Собственно zywall просто даже не видит как циска к нему стучится... всё >
>>access-list 100 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
>
>Мне кажется если не видит то все дело в твоем ACL
>Попробуй туда прописать

Во-первых, это кусок конфига не автора темы, а мой.
А во-вторых - он полностью рабочий :)

И с учетом того, что этот ACL используется для криптомэпа "sklad", то в нем прописаны как раз адреса с каких на какой надо таки криптовать...

А вот если на внешнем интерфейсе еще и NAT висит, то в ACL'е, описывающим что NAT'ить, а что - нет, надо запретить NAT'ить пакеты, идущие из одного в офиса в другой

Нечто вроде
interface FastEthernet4
ip nat outside

ip nat inside source list 101 interface FastEthernet4 overload

access-list 101 deny   ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
access-list 101 permit ip 192.168.2.0 0.0.0.255 any


См.
NAT Order of Operation
http://www.cisco.com/en/US/tech/tk648/tk361/technologies_tec...