Cisco en vpn

[frankv1971]

Hoi misschien dat me hier iemand kan helpen.

Ik heb hier een cisco pix501 die gebruikt wordt voor een vaste vpn verbinding met een ander kantoor. Nu is mij gevraagd om hier ook de vpn toegang voor clients op te zetten. In eerste instantie met de Cisco VPN client zitten rommelen maar ik kwam er al snel achter dat die "bijt" met verschillende configuraties bij ons op kantoor (mn bij developpers) dus heb ik hem voor pptp toegang geconfigureerd.

De VPN connectie heb ik voor elkaar, dus ik kan connecten maar ik kan dan nog niets. De interne server die bereikt moet worden is niet te bereiken.

Ik neem haast aan dat dit met de ACL te maken heeft of er moet een stuk NAT plaats vinden.

Ik kan wel een stuk van de configuratie hier posten als dat zou helpen.

Het gaat erom dat een pptp client die connect met het ip adres 172.16.31.x naar een server kan met het ip nr 192.168.1.2. voor een remote desktop.

Iemand tips?

mvg

Frank

[Mikey!]

Je geeft zelf eigenlijk al aan waar de problemen liggen: Als er een access-list op de inside is geplaatst moet je verkeer (ip en icmp) van het inside netwerk toestaan naar netwerk 172.16.31.0/24 en je moet er voor zorgen dat het verkeer van de inside naar netwerk 172.16.31.0/24 niet geNAT wordt.

Edit: een configuratie helpt altijd, let er wel op dat je de wachtwoorden en publieke ipadressen eruit haalt

[ Voor 16% gewijzigd door Mikey! op 25-09-2006 17:01 ]

[frankv1971]

Mikey schreef op maandag 25 september 2006 @ 17:00:
Je geeft zelf eigenlijk al aan waar de problemen liggen: Als er een access-list op de inside is geplaatst moet je verkeer (ip en icmp) van het inside netwerk toestaan naar netwerk 172.16.31.0/24 en je moet er voor zorgen dat het verkeer van de inside naar netwerk 172.16.31.0/24 niet geNAT wordt.

Edit: een configuratie helpt altijd, let er wel op dat je de wachtwoorden en publieke ipadressen eruit haalt

Bedankt alvast voor de uitleg. Hieronder staat de running config van de pix. Ik heb eea aan ip adressen eruit gehaald en vervangen door xx. Zoals ik al aangaf is er een vaste vpn verbinding met een andere locatie. Die mag absoluut niet uitvallen.

Building configuration...
: Saved
:
PIX Version 6.3(5)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password xxxx encrrypted
passwd xxxx encrypted
hostname pixprod
domain-name corp.xxx.nl
clock timezone CEST 1
clock summer-time CEDT recurring last Sun Mar 2:00 last Sun Oct 3:00
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
access-list 100 permit ip host xx.xxx.202.147 host xxx.xxx.175.1
access-list 100 permit ip host xx.xxx.202.147 host xxx.xxx.175.2
pager lines 24
logging on
icmp permit any outside
mtu outside 1500
mtu inside 1500
ip address outside xx.xxx.202.146 255.255.255.248
ip address inside 192.168.1.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
ip local pool VPNnew 172.16.31.1-172.16.31.25 mask 255.255.255.0
pdm location 192.168.1.2 255.255.255.255 inside
pdm location xxx.xxx.175.1 255.255.255.255 outside
pdm location xxx.xxx.175.2 255.255.255.255 outside
pdm location xxx.xxx.175.44 255.255.255.255 outside
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) xx.xxx.202.147 192.168.1.2 netmask 255.255.255.255 0 0
route outside 0.0.0.0 0.0.0.0 xx.xxx.202.145 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout sip-disconnect 0:02:00 sip-invite 0:03:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
sysopt connection permit-pptp
sysopt connection permit-l2tp
crypto ipsec transform-set filiaal esp-3des esp-md5-hmac
crypto map vpn 10 ipsec-isakmp
crypto map vpn 10 match address 100
crypto map vpn 10 set peer xxx.xxx.175.145
crypto map vpn 10 set transform-set filiaal
crypto map vpn interface outside
isakmp enable outside
isakmp key ******** address xxx.xxx.175.145 netmask 255.255.255.255
isakmp identity address
isakmp keepalive 30
isakmp policy 10 authentication pre-share
isakmp policy 10 encryption 3des
isakmp policy 10 hash md5
isakmp policy 10 group 2
isakmp policy 10 lifetime 86400
telnet 192.168.1.0 255.255.255.0 inside
telnet timeout 5
ssh xxx.xxx.175.44 255.255.255.255 outside
ssh timeout 5
console timeout 0
vpdn group MSVPN accept dialin pptp
vpdn group MSVPN ppp authentication mschap
vpdn group MSVPN ppp encryption mppe auto required
vpdn group MSVPN client configuration address local VPNnew
vpdn group MSVPN client configuration dns 194.109.6.66 194.109.9.99
vpdn group MSVPN pptp echo 60
vpdn group MSVPN client authentication local
vpdn username dailupuser password *********
vpdn enable outside
terminal width 80
Cryptochecksum:55c28d5fe2b96e66763ccb2c0684ba94
: end
[OK]

[Mikey!]

Je hebt geen access-list op de inside, dus die hoef je ook niet aan te passen NAT moet wel worden aangepast, je NAT nu al het verkeer wat de PIX in gaat, dit moet uiteraard veranderen.

Probeer eens onderstaande commando's toe te voegen (dit heeft voor zover ik weet geen invloed op de bestaande Lan2Lan VPN Tunnel).

code:

access-list nonat permit ip 192.168.1.0 255.255.255.0 172.16.31.0 255.255.255.0
nat (inside) 0 access-list nonat
icmp permit any inside

[frankv1971]

Mikey schreef op dinsdag 26 september 2006 @ 12:49:
Je hebt geen access-list op de inside, dus die hoef je ook niet aan te passen NAT moet wel worden aangepast, je NAT nu al het verkeer wat de PIX in gaat, dit moet uiteraard veranderen.

Probeer eens onderstaande commando's toe te voegen (dit heeft voor zover ik weet geen invloed op de bestaande Lan2Lan VPN Tunnel).

code:

access-list nonat permit ip 192.168.1.0 255.255.255.0 172.16.31.0 255.255.255.0
nat (inside) 0 access-list nonat
icmp permit any inside

Thnx dit was het...

Het werkt nu..