forum.opennet.ru - "Проблемы с IPSec тунелем." (9)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"Проблемы с IPSec тунелем."

Форумы Маршрутизаторы CISCO и др. оборудование. (VPN, VLAN, туннель)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Проблемы с IPSec тунелем."	+/–
Сообщение от tashmen (ok) on 07-Июн-10, 14:01
Есть конфигурация- 1 маршрутизатор 2801 подключен к 2 маршрутизаторам 7204 конфиги 7204 однотипные, но при этом на 2801 тунель с 1 7204 поднимается со 2-м нет Второй туннель должен подниматься при отключении интерфейса смотрящего на 1-й 7204. В логах выдает ошибку %CRYPTO-6-IKMP_MODE_FAILURE: Processing of Quick mode failed with peer at 172.28.0.5 Вот конфиги 2801 crypto isakmp policy 1 encr 3des authentication pre-share group 2 crypto isakmp key cisco123 address 0.0.0.0 0.0.0.0 crypto isakmp keepalive 10 ! crypto ipsec transform-set T1 esp-3des esp-sha-hmac ! crypto map VPNmap 1 ipsec-isakmp set peer 172.28.0.1 set transform-set T1 match address 100 crypto map VPNmap 2 ipsec-isakmp set peer 172.28.0.5 set transform-set T1 match address 100 ! interface Serial0/2/0:1 description ## to Site 1 ## ip address 172.28.0.2 255.255.255.252 ip virtual-reassembly encapsulation ppp crypto map VPNmap ! interface Serial0/2/1:1 description ## to Site 2 ## ip address 172.28.0.6 255.255.255.252 ip virtual-reassembly encapsulation ppp ip ospf cost 80 crypto map VPNmap ! access-list 100 remark IPSec_map access-list 100 permit ip 172.28.1.0 0.0.0.255 any 7204 с которым тунель нормально поднимается crypto isakmp policy 1 encr 3des authentication pre-share group 2 crypto isakmp key cisco123 address 0.0.0.0 0.0.0.0 crypto isakmp keepalive 10 crypto ipsec transform-set T1 esp-3des esp-sha-hmac crypto map VPNmap 13 ipsec-isakmp set peer 172.28.0.2 set transform-set T1 match address 113 interface Serial2/2:1 description ## to Site 13 ## ip address 172.28.0.1 255.255.255.252 encapsulation ppp ip ospf 10 area 0 crypto map VPNmap ip rtp priority 5000 6000 500 access-list 113 permit ip any 172.28.1.0 0.0.0.255 7204 с проблемами crypto isakmp policy 1 encr 3des authentication pre-share group 2 crypto isakmp key cisco123 address 0.0.0.0 0.0.0.0 crypto isakmp keepalive 10 crypto ipsec transform-set T1 esp-3des esp-sha-hmac crypto map VPNmap 13 ipsec-isakmp set peer 172.28.0.6 set transform-set T1 match address 113 interface Serial2/2:1 description ## to Site 13 ## ip address 172.28.0.5 255.255.255.252 encapsulation ppp ip ospf 10 area 0 crypto map VPNmap ip rtp priority 5000 6000 500 access-list 113 permit ip any 172.28.1.0 0.0.0.255 Дебаг выдает вот что 279482: Jun 7 15:01:05 UZB: ISAKMP (0:134217747): received packet from 172.28.0.5 dport 500 sport 500 Global (R) QM_IDLE 279483: Jun 7 15:01:05 UZB: ISAKMP: set new node 1197570411 to QM_IDLE 279484: Jun 7 15:01:05 UZB: ISAKMP:(0:19:SW:1): processing HASH payload. message ID = 1197570411 279485: Jun 7 15:01:05 UZB: ISAKMP:(0:19:SW:1): processing SA payload. message ID = 1197570411 279486: Jun 7 15:01:05 UZB: ISAKMP:(0:19:SW:1):Checking IPSec proposal 1 279487: Jun 7 15:01:05 UZB: ISAKMP: transform 1, ESP_3DES 279488: Jun 7 15:01:05 UZB: ISAKMP: attributes in transform: 279489: Jun 7 15:01:05 UZB: ISAKMP: encaps is 1 (Tunnel) 279490: Jun 7 15:01:05 UZB: ISAKMP: SA life type in seconds 279491: Jun 7 15:01:05 UZB: ISAKMP: SA life duration (basic) of 3600 279492: Jun 7 15:01:05 UZB: ISAKMP: SA life type in kilobytes 279493: Jun 7 15:01:05 UZB: ISAKMP: SA life duration (VPI) of 0x0 0x46 0x50 0x0 279494: Jun 7 15:01:05 UZB: ISAKMP: authenticator is HMAC-SHA 279495: Jun 7 15:01:05 UZB: ISAKMP:(0:19:SW:1):atts are acceptable. 279496: Jun 7 15:01:05 UZB: IPSEC(validate_proposal_request): proposal part #1, (key eng. msg.) INBOUND local= 172.28.0.6, remote= 172.28.0.5, local_proxy= 172.28.1.0/255.255.255.0/0/0 (type=4), remote_proxy= 0.0.0.0/0.0.0.0/0/0 (type=4), protocol= ESP, transform= esp-3des esp-sha-hmac (Tunnel), lifedur= 0s and 0kb, spi= 0x0(0), conn_id= 0, keysize= 0, flags= 0x2 279497: Jun 7 15:01:05 UZB: Crypto mapdb : proxy_match src addr : 172.28.1.0 dst addr : 0.0.0.0 protocol : 0 src port : 0 dst port : 0 279498: Jun 7 15:01:05 UZB: IPSEC(validate_transform_proposal): peer address 172.28.0.5 not found 279499: Jun 7 15:01:05 UZB: ISAKMP:(0:19:SW:1): IPSec policy invalidated proposal 279500: Jun 7 15:01:05 UZB: ISAKMP:(0:19:SW:1): phase 2 SA policy not acceptable! (local 172.28.0.6 remote 172.28.0.5) 279501: Jun 7 15:01:05 UZB: ISAKMP: set new node 76220685 to QM_IDLE 279502: Jun 7 15:01:05 UZB: ISAKMP:(0:19:SW:1):Sending NOTIFY PROPOSAL_NOT_CHOSEN protocol 3 spi 1662823704, message ID = 76220685 279503: Jun 7 15:01:05 UZB: ISAKMP:(0:19:SW:1): sending packet to 172.28.0.5 my_port 500 peer_port 500 (R) QM_IDLE 279504: Jun 7 15:01:05 UZB: ISAKMP:(0:19:SW:1):purging node 76220685 279505: Jun 7 15:01:05 UZB: ISAKMP:(0:19:SW:1):deleting node 1197570411 error TRUE reason "QM rejected" 279506: Jun 7 15:01:05 UZB: ISAKMP (0:134217747): Unknown Input IKE_MESG_FROM_PEER, IKE_QM_EXCH: for node 1197570411: state = IKE_QM_READY 279507: Jun 7 15:01:05 UZB: ISAKMP:(0:19:SW:1):Node 1197570411, Input = IKE_MESG_FROM_PEER, IKE_QM_EXCH 279508: Jun 7 15:01:05 UZB: ISAKMP:(0:19:SW:1):Old State = IKE_QM_READY New State = IKE_QM_READY S13-R1# 279509: Jun 7 15:01:05 UZB: %CRYPTO-6-IKMP_MODE_FAILURE: Processing of Quick mode failed with peer at 172.28.0.5 S13-R1#
Высказать мнение \| Ответить \| Правка \| Cообщить модератору

Оглавление

Проблемы с IPSec тунелем., sh_, 18:46 , 07-Июн-10, (1)

Проблемы с IPSec тунелем., tashmen, 20:15 , 07-Июн-10, (2)

Проблемы с IPSec тунелем., uasash, 22:11 , 07-Июн-10, (3)

Проблемы с IPSec тунелем., tashmen, 11:09 , 08-Июн-10, (4)

Проблемы с IPSec тунелем., uasash, 12:06 , 08-Июн-10, (5)

Проблемы с IPSec тунелем., tashmen, 15:18 , 08-Июн-10, (6)

Проблемы с IPSec тунелем., tashmen, 15:53 , 08-Июн-10, (7)

Проблемы с IPSec тунелем., uasash, 17:07 , 08-Июн-10, (8)

Проблемы с IPSec тунелем., tashmen, 09:50 , 09-Июн-10, (9)

Сообщения по теме [Сортировка по времени | RSS]

1. "Проблемы с IPSec тунелем." +/–

Сообщение от sh_ (ok) on 07-Июн-10, 18:46

А интерфейсы пингают друг друга? Софты на 72-ых одинаковые?

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

2. "Проблемы с IPSec тунелем." +/–

Сообщение от tashmen (ok) on 07-Июн-10, 20:15

>А интерфейсы пингают друг друга? Софты на 72-ых одинаковые?
Пинги между интерфейсами ходят. Софт одинаковый.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

3. "Проблемы с IPSec тунелем." +/–

Сообщение от uasash (ok) on 07-Июн-10, 22:11

так попробуй access-list 100 permit ip 172.28.1.0 0.0.255.255 any

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

4. "Проблемы с IPSec тунелем." +/–

Сообщение от tashmen (ok) on 08-Июн-10, 11:09

> так попробуй access-list 100 permit ip 172.28.1.0 0.0.255.255 any
Зачем у меня уже есть:
access-list 100 permit ip 172.28.1.0 0.0.0.255 any

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

5. "Проблемы с IPSec тунелем." +/–

Сообщение от uasash (ok) on 08-Июн-10, 12:06

>> так попробуй access-list 100 permit ip 172.28.1.0 0.0.255.255 any
>
>Зачем у меня уже есть:
> access-list 100 permit ip 172.28.1.0 0.0.0.255 any
это правило для 172.28.1.0/24 а вам нужно еще 172.28.0.5
279482: Jun 7 15:01:05 UZB: ISAKMP (0:134217747): received packet from 172.28.0.5 dport 500 sport 500 Global (R) QM_IDLE

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

6. "Проблемы с IPSec тунелем." +/–

Сообщение от tashmen (ok) on 08-Июн-10, 15:18

>это правило для 172.28.1.0/24 а вам нужно еще 172.28.0.5
>279482: Jun 7 15:01:05 UZB: ISAKMP (0:134217747): received packet from 172.28.0.5
>dport 500 sport 500 Global (R) QM_IDLE
Не нужно, потому что тунеллироваться должен только трафик 172.28.1.0/24
Кроме того первый туннель с 172.28.0.1 все нормально работает с текущим аксесс-листом.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

7. "Проблемы с IPSec тунелем." +/–

Сообщение от tashmen (ok) on 08-Июн-10, 15:53

Кстати выяснил такую вещь если на 2801 удалить 1 криптомап
crypto map VPNmap 1 ipsec-isakmp
то схема работает, второй туннель нормально поднимается.
Т.е. получается, что второй туннель не поднимается из-за первого криптомапа

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

8. "Проблемы с IPSec тунелем." +/–

Сообщение от uasash (ok) on 08-Июн-10, 17:07

>Кстати выяснил такую вещь если на 2801 удалить 1 криптомап
>
>crypto map VPNmap 1 ipsec-isakmp
>
>то схема работает, второй туннель нормально поднимается.
>
>Т.е. получается, что второй туннель не поднимается из-за первого криптомапа
У меня сделано так
gre туннель и к нему ipsec
на cryptomap только одно соединение, но вроде как для одного cryptomap можно задать несколько peer, или я неправ, может у тебя конфликт в названиях (у меня как то было). Попробуй изменить название второго cryptomap на VPNmap2 (без пробела)

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

9. "Проблемы с IPSec тунелем." +/–

Сообщение от tashmen (ok) on 09-Июн-10, 09:50

В общем разобрался- проблема была в том, что
cryptomap VPNmap 1
cryptomap VPNmap 2
это один и тот же криптомап, только с разными порядковыми номерами.
Решил проблему так:
Создал второй криптомап и повесил его на второй интерфейс, после этого все заработало.
итоговый конфиг стал таким
crypto isakmp policy 1
encr 3des
authentication pre-share
group 2
crypto isakmp key cisco123 address 0.0.0.0 0.0.0.0
crypto isakmp keepalive 10
!
!
crypto ipsec transform-set T1 esp-3des esp-sha-hmac
!
crypto map VPNmap 1 ipsec-isakmp
set peer 172.28.0.1
set transform-set T1
match address 100
!
crypto map VPNmap1 1 ipsec-isakmp
set peer 172.28.0.5
set transform-set T1
match address 100
interface Serial0/2/0:1
description ## to Site 1 ##
ip address 172.28.0.2 255.255.255.252
ip virtual-reassembly
encapsulation ppp
crypto map VPNmap
!
interface Serial0/2/1:1
description ## to Site 2 ##
ip address 172.28.0.6 255.255.255.252
ip virtual-reassembly
encapsulation ppp
ip ospf cost 80
crypto map VPNmap1

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Проблемы с IPSec тунелем."	+/–
Сообщение от sh_ (ok) on 07-Июн-10, 18:46
А интерфейсы пингают друг друга? Софты на 72-ых одинаковые?
Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	2. "Проблемы с IPSec тунелем."	+/–
	Сообщение от tashmen (ok) on 07-Июн-10, 20:15
	>А интерфейсы пингают друг друга? Софты на 72-ых одинаковые? Пинги между интерфейсами ходят. Софт одинаковый.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору

3. "Проблемы с IPSec тунелем."	+/–
Сообщение от uasash (ok) on 07-Июн-10, 22:11
так попробуй access-list 100 permit ip 172.28.1.0 0.0.255.255 any
Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	4. "Проблемы с IPSec тунелем."	+/–
	Сообщение от tashmen (ok) on 08-Июн-10, 11:09
	> так попробуй access-list 100 permit ip 172.28.1.0 0.0.255.255 any Зачем у меня уже есть: access-list 100 permit ip 172.28.1.0 0.0.0.255 any
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	5. "Проблемы с IPSec тунелем."	+/–
	Сообщение от uasash (ok) on 08-Июн-10, 12:06
	>> так попробуй access-list 100 permit ip 172.28.1.0 0.0.255.255 any > >Зачем у меня уже есть: > access-list 100 permit ip 172.28.1.0 0.0.0.255 any это правило для 172.28.1.0/24 а вам нужно еще 172.28.0.5 279482: Jun 7 15:01:05 UZB: ISAKMP (0:134217747): received packet from 172.28.0.5 dport 500 sport 500 Global (R) QM_IDLE
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	6. "Проблемы с IPSec тунелем."	+/–
	Сообщение от tashmen (ok) on 08-Июн-10, 15:18
	>это правило для 172.28.1.0/24 а вам нужно еще 172.28.0.5 >279482: Jun 7 15:01:05 UZB: ISAKMP (0:134217747): received packet from 172.28.0.5 >dport 500 sport 500 Global (R) QM_IDLE Не нужно, потому что тунеллироваться должен только трафик 172.28.1.0/24 Кроме того первый туннель с 172.28.0.1 все нормально работает с текущим аксесс-листом.
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	7. "Проблемы с IPSec тунелем."	+/–
	Сообщение от tashmen (ok) on 08-Июн-10, 15:53
	Кстати выяснил такую вещь если на 2801 удалить 1 криптомап crypto map VPNmap 1 ipsec-isakmp то схема работает, второй туннель нормально поднимается. Т.е. получается, что второй туннель не поднимается из-за первого криптомапа
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	8. "Проблемы с IPSec тунелем."	+/–
	Сообщение от uasash (ok) on 08-Июн-10, 17:07
	>Кстати выяснил такую вещь если на 2801 удалить 1 криптомап > >crypto map VPNmap 1 ipsec-isakmp > >то схема работает, второй туннель нормально поднимается. > >Т.е. получается, что второй туннель не поднимается из-за первого криптомапа У меня сделано так gre туннель и к нему ipsec на cryptomap только одно соединение, но вроде как для одного cryptomap можно задать несколько peer, или я неправ, может у тебя конфликт в названиях (у меня как то было). Попробуй изменить название второго cryptomap на VPNmap2 (без пробела)
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору


	9. "Проблемы с IPSec тунелем."	+/–
	Сообщение от tashmen (ok) on 09-Июн-10, 09:50
	В общем разобрался- проблема была в том, что cryptomap VPNmap 1 cryptomap VPNmap 2 это один и тот же криптомап, только с разными порядковыми номерами. Решил проблему так: Создал второй криптомап и повесил его на второй интерфейс, после этого все заработало. итоговый конфиг стал таким crypto isakmp policy 1 encr 3des authentication pre-share group 2 crypto isakmp key cisco123 address 0.0.0.0 0.0.0.0 crypto isakmp keepalive 10 ! ! crypto ipsec transform-set T1 esp-3des esp-sha-hmac ! crypto map VPNmap 1 ipsec-isakmp set peer 172.28.0.1 set transform-set T1 match address 100 ! crypto map VPNmap1 1 ipsec-isakmp set peer 172.28.0.5 set transform-set T1 match address 100 interface Serial0/2/0:1 description ## to Site 1 ## ip address 172.28.0.2 255.255.255.252 ip virtual-reassembly encapsulation ppp crypto map VPNmap ! interface Serial0/2/1:1 description ## to Site 2 ## ip address 172.28.0.6 255.255.255.252 ip virtual-reassembly encapsulation ppp ip ospf cost 80 crypto map VPNmap1
	Высказать мнение \| Ответить \| Правка \| ^ \| Наверх \| Cообщить модератору