[cisco 837 876] vpn opzetten lukt maar verder niets.

[Justin_Time]

Hallo,

We proberen hier een vpn (site to site) op te zetten. Dit is allemaal gelukt.

Mijn lokale netwerk is 192.168.0.0/24
peer is: 192.168.10.0/25

GW#sh crypto isakmp sa
dst src state conn-id slot status
2xx.xx.xx.xxx 8x.xx.xx.xx QM_IDLE 2 0 ACTIVE

Ik kan bijvoorbeeld een server van hem pingen 192.168.10.3 maar ik kan er niet naar ssh'en...

Als ik een tcpdump laat lopen zie ik een ack, een send maar deze send komt waarschijnlijk helemaal niet aan....

Ik snap er niets meer van. Ik kan van mijn server telnetten naar zijn ftp poort maar niet naar zijn http poort etc...

Het zijn allebei kpn verbindingen (xs4all).

Wat zouden dingen kunnen zijn waar we naar kunnen kijken... de vpn werkt blijkbaar maar niet goed...

Als er config nodig is laat het me maar weten.

[Flyduck]

Misschien omdat hij de SSH & HTTP poort genat heeft staan vanaf ze outside interface op de router?
Heb daar zelf iig wel eens problemen mee gehad...

[Mikey!]

Wat Flyduck zegt kan wel eens je probleem zijn inderdaad, zou je je configs kunnen posten voor wat meer inzicht op de situatie? Let er wel op dat je de passwords en dergelijke even weghaalt/afschermd

[Justin_Time]

Ik was er ook achter gekomen dat het inderdaad ging om de poorten die genat worden om mijn server van buitenaf bereikbaar te maken.....

De config: ps: het 192.168.0.0 is van mij de .10 is van de peer.

code:

!
!

!
crypto isakmp policy 10
 encr 3des
 authentication pre-share
 group 2
crypto isakmp key blablabla address 8x.xx.1xx.6x
!
!
crypto ipsec transform-set MEDIUM esp-3des esp-sha-hmac
!
crypto map VPN 30 ipsec-isakmp
 set peer 8x.xx.1xx.6x
 set transform-set MEDIUM
 set pfs group1
 match address 110
!
!
!
interface Ethernet0
 description ;Linkt to LAN 192.168.0.0/24
 ip address 192.168.0.99 255.255.255.0
 ip nat inside
 ip virtual-reassembly
 hold-queue 100 out
!
interface ATM0
 no ip address
 no ip route-cache cef
 no ip route-cache
 no atm ilmi-keepalive
 dsl operating-mode auto
 pvc 0 8/48
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
!
interface Dialer0
 ip address negotiated
 ip nat outside
 ip virtual-reassembly
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 ppp authentication pap callin
 ppp pap sent-username eenusername@xs4all-basic-adsl password 7 blablabla
 crypto map VPN
!
!
ip nat inside source list NAT-Internet interface Dialer0 overload
ip nat inside source static tcp 192.168.0.1 80 interface Dialer0 80
ip nat inside source static tcp 192.168.0.1 25 interface Dialer0 25
ip nat inside source static tcp 192.168.0.1 443 interface Dialer0 443
ip nat inside source static tcp 192.168.0.1 22 interface Dialer0 22
!
ip access-list extended NAT-Internet
 deny   ip 192.168.0.0 0.0.0.255 192.168.10.0 0.0.0.63
 permit ip 192.168.0.0 0.0.0.255 any
logging trap debugging
logging source-interface Ethernet0
logging 192.168.0.1
access-list 1 permit 192.168.0.0 0.0.0.255
access-list 1 deny   any log
access-list 100 permit ip 192.168.0.0 0.0.0.255 192.168.10.0 0.0.0.63
access-list 100 permit ip 192.168.10.0 0.0.0.63 192.168.0.0 0.0.0.255
access-list 110 permit ip 192.168.0.0 0.0.0.255 192.168.10.0 0.0.0.63
dialer-list 1 protocol ip permit

[Justin_Time]

Nou ik ben eruit gekomen. Een routemap en een wat exotische nat statements hebben veel geholpen... Voor de mensen met hetzelfde probleem de oplossing:

code:

!
crypto isakmp policy 10
 encr 3des
 authentication pre-share
 group 2
crypto isakmp key eengeheimestring address 82.92.141.60
!
!
crypto ipsec transform-set MEDIUM esp-3des esp-sha-hmac
!
crypto map VPN 30 ipsec-isakmp
 set peer 8x.xx.xxx.xx
 set transform-set MEDIUM
 set pfs group1
 match address 110
!

!
interface Ethernet0
 description ;Linkt to LAN 192.168.0.0/24
 ip address 192.168.0.99 255.255.255.0
 ip nat inside
 ip virtual-reassembly
 hold-queue 100 out
!
!
interface Dialer0
 ip address negotiated
 ip nat outside
 ip virtual-reassembly
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 ppp authentication pap callin
 ppp pap sent-username gebruikersnaam@xs4all-basic-adsl password 7 1blablabla1262237
 crypto map VPN
!
ip route 0.0.0.0 0.0.0.0 Dialer0 permanent
!
ip nat inside source list NAT-Internet interface Dialer0 overload
ip nat inside source static tcp 192.168.0.1 22 externipaddres 22 route-map nonat extendable
ip nat inside source static tcp 192.168.0.1 25 externipaddres 25 route-map nonat extendable
ip nat inside source static tcp 192.168.0.1 80 externipaddres 80 route-map nonat extendable
ip nat inside source static tcp 192.168.0.1 443 externipaddres 443 route-map nonat extendable

!
ip access-list extended NAT-Internet
 deny   ip 192.168.0.0 0.0.0.255 192.168.10.0 0.0.0.63
 permit ip 192.168.0.0 0.0.0.255 any
!

access-list 100 remark Except Private to Private from NAT
access-list 100 deny   ip 192.168.0.0 0.0.0.255 192.168.10.0 0.0.0.63
access-list 100 permit ip 192.168.0.0 0.0.0.255 any
access-list 110 remark ACL for CryptoMAP
access-list 110 permit ip 192.168.0.0 0.0.0.255 192.168.10.0 0.0.0.63
!
dialer-list 1 protocol ip permit
!
route-map nonat permit 10
 match ip address 100
!

[Mikey!]

Netjes opgelost en erg goed dat je de oplossing ook nog even laat zien

[Justin_Time]

Ja ik vind het alleen wel een lelijke oplossing dat je je externe ip moet gebruiken.
Wat nou als je geen vast ip adres hebt?

Het zou mooier zijn als je interface dialer0 kon opgeven maar dan is er weer geen route-map en extentable beschikbaar.... erg vreemd.