Cisco VPN over ISA2000 - Netwerken

vrijdag 22 december 2006 15:54

Acties:

Topicstarter

Ik werk bij een bedrijf waar we het beheer doen voor een groot aantal klanten. Pas geleden zijn we overgestapt van een Symantec firewall naar een Cisco ASA. Een aantal externe partijen hebben we toegang gegeven via VPN. Gaat ook helemaal goed, maar er is 1 partij die nog gebruik maakt van een ISA2000 als firewall.

Nu zijn daar op internet legio oplossingen te vinden voor hoe je aanpassingen kan maken binnen ISA zodat de VPN client verbinding kan maken met de VPN-server.

Microsoft heeft er een leuk documentje van gemaakt: Procedure: Een Cisco IPSec VPN-client verbinding laten maken met een Cisco VPN-concentrator via ISA Server 2000
Op ISAserver.org staat ook een erg goed document: http://forums.isaserver.org/m_130199300/tm.htm

Toch komt die partij er niet uit. Connectie kan maar niet gemaakt worden. Ondanks dat deze aangeven dat ze de UDP poort 500 & UDP poort 4500 (beide SEND/RECEIVE) heb ingesteld staan en ook een rule hebben aangepast.

Onderstaande is de log van de Cisco VPN client.

code:

Cisco Systems VPN Client Version 4.8.01.0300
Copyright (C) 1998-2005 Cisco Systems, Inc. All Rights Reserved.
Client Type(s): Windows, WinNT
Running on: 5.1.2600 Service Pack 2
Config file directory: C:\Program Files\Cisco Systems\VPN Client\

1      14:25:54.870  12/22/06  Sev=Info/4   CM/0x63100002
Begin connection process

2      14:25:54.964  12/22/06  Sev=Info/4   CVPND/0xE3400001
Microsoft IPSec Policy Agent service stopped successfully

3      14:25:54.964  12/22/06  Sev=Info/4   CM/0x63100004
Establish secure connection using Ethernet

4      14:25:54.964  12/22/06  Sev=Info/4   CM/0x63100024
Attempt connection with server "xx.xx.xx.xx"

5      14:25:55.980  12/22/06  Sev=Info/6   IKE/0x6300003B
Attempting to establish a connection with xx.xx.xx.xx.

6      14:25:56.011  12/22/06  Sev=Info/4   IKE/0x63000013
SENDING >>> ISAKMP OAK AG (SA, KE, NON, ID, VID(Xauth), VID(dpd), VID(Frag), VID(Nat-T), VID(Unity)) to xx.xx.xx.xx

7      14:25:56.026  12/22/06  Sev=Info/4   IPSEC/0x63700008
IPSec driver successfully started

8      14:25:56.026  12/22/06  Sev=Info/4   IPSEC/0x63700014
Deleted all keys

9      14:26:01.230  12/22/06  Sev=Info/4   IKE/0x63000021
Retransmitting last packet!

10     14:26:01.230  12/22/06  Sev=Info/4   IKE/0x63000013
SENDING >>> ISAKMP OAK AG (Retransmission) to xx.xx.xx.xx

11     14:26:06.231  12/22/06  Sev=Info/4   IKE/0x63000021
Retransmitting last packet!

12     14:26:06.231  12/22/06  Sev=Info/4   IKE/0x63000013
SENDING >>> ISAKMP OAK AG (Retransmission) to xx.xx.xx.xx

13     14:26:11.231  12/22/06  Sev=Info/4   IKE/0x63000021
Retransmitting last packet!

14     14:26:11.231  12/22/06  Sev=Info/4   IKE/0x63000013
SENDING >>> ISAKMP OAK AG (Retransmission) to xx.xx.xx.xx

15     14:26:16.232  12/22/06  Sev=Info/4   IKE/0x63000017
Marking IKE SA for deletion  (I_Cookie=15573101BAEBEA58 R_Cookie=0000000000000000) reason = DEL_REASON_PEER_NOT_RESPONDING

16     14:26:16.732  12/22/06  Sev=Info/4   IKE/0x6300004B
Discarding IKE SA negotiation (I_Cookie=15573101BAEBEA58 R_Cookie=0000000000000000) reason = DEL_REASON_PEER_NOT_RESPONDING

17     14:26:16.732  12/22/06  Sev=Info/4   CM/0x63100014
Unable to establish Phase 1 SA with server "xx.xx.xx.xx" because of "DEL_REASON_PEER_NOT_RESPONDING"

18     14:26:16.732  12/22/06  Sev=Info/5   CM/0x63100025
Initializing CVPNDrv

19     14:26:16.732  12/22/06  Sev=Info/6   CM/0x63100046
Set tunnel established flag in registry to 0.

20     14:26:16.732  12/22/06  Sev=Info/4   IKE/0x63000001
IKE received signal to terminate VPN connection

21     14:26:16.748  12/22/06  Sev=Info/4   IKE/0x63000086
Microsoft IPSec Policy Agent service started successfully

22     14:26:17.248  12/22/06  Sev=Info/4   IPSEC/0x63700014
Deleted all keys

23     14:26:17.248  12/22/06  Sev=Info/4   IPSEC/0x63700014
Deleted all keys

24     14:26:17.248  12/22/06  Sev=Info/4   IPSEC/0x63700014
Deleted all keys

25     14:26:17.248  12/22/06  Sev=Info/4   IPSEC/0x6370000A
IPSec driver successfully stopped

Aan de hand van het log te zien gaat hij echt niet goed naar buiten en dat kan in mijn ogen alleen maar komen door een foutieve configuratie van de ISA server. Jullie een idee of een verdere onderbouwing?

We maken gebruik van NAT-T. Er zijn geen poorten aangepast waardoor gewoon UDP poort 4500 gebruikt wordt. Het is overigens Ipsec over UDP (NAT /PAT). Verder heeft niemand problemen met het maken van verbindingen, alleen deze partij via de ISA2000 server.

vrijdag 22 december 2006 16:52

Acties:

flippper

bij dit soort problemen is trouble shooten meestal mogelijk door alles open te zetten ..
verbinding maken en kijken wat je allemaal hebt.

misschien heb je source en destination wel op 500 & 4500 gezet , terwijl je alleen destination op 500 en & 4500 kan zetten .

maar bij twijfel alles open en kijken wat.

op je cisco : show ip nat translations dynamic.

Flippper

zondag 24 december 2006 12:23

Acties:

avdl72

Ik heb hetzelfde probleem gehad maar ik had ook nog poort 10000 erbij staan, wellicht is dat je probleem.

zondag 24 december 2006 19:59

Acties:

Verwijderd

flippper schreef op vrijdag 22 december 2006 @ 16:52:
bij dit soort problemen is trouble shooten meestal mogelijk door alles open te zetten ..
verbinding maken en kijken wat je allemaal hebt.

misschien heb je source en destination wel op 500 & 4500 gezet , terwijl je alleen destination op 500 en & 4500 kan zetten .

maar bij twijfel alles open en kijken wat.

op je cisco : show ip nat translations dynamic.

Flippper

Klinkt leuk, maar in een productionele omgeving zie ik je niet zomaar "alles openzetten", nog los van hoe dat praktisch gezien moet. En het show command wat je geeft is voor een Cisco router, niet voor een ASA. Ik denk dat de TS meer heeft aan de logging van de ASA, dan kun je tenminste zien of de IKE requests wel binnen komen. In deze logging is eigenlijk nog niets te zien...

Probeer eens een 'debug crypto isakmp' op de ASA.

dinsdag 26 december 2006 00:12

Acties:

WaSteiL

Topicstarter

In de kerstdagen zal er weinig van komen. Ik laat jullie het weten. Bedankt alvast. Meer tips zijn natuurlijk welkom!

woensdag 27 december 2006 12:02

Acties:

Verwijderd

op de isa server kijken of er nog drops zijn naar je "cisco ip".

woensdag 27 december 2006 12:10

Acties:

Fish

How much is the fish

ik zeg dat de klant protocol 50 (esp) vergeet te forwarden

is dit jouw klant ?? VPN verbinding vanuit shared internet

Iperf

woensdag 27 december 2006 16:15

Acties:

WaSteiL

Topicstarter

fish schreef op woensdag 27 december 2006 @ 12:10:
ik zeg dat de klant protocol 50 (esp) vergeet te forwarden

is dit jouw klant ?? VPN verbinding vanuit shared internet

Nee dat is niet mijn klant zo te zien. Deze kan namelijk verbinding maken, maar dat lukt hem niet.
Ik heb zelf ook het idee dat hij iets vergeten is om open te zetten, maar zie dat maar eens te achterhalen als je zelf niet achter die ISA server kan kruipen en de informatie die je vraagt ook maar half krijgt (waarschijnlijk omdat hij er geen hond van snapt wat hij precies doet).

Verwijderd schreef op woensdag 27 december 2006 @ 12:02:
op de isa server kijken of er nog drops zijn naar je "cisco ip".

Ik kan niet op de ISA server kijken aangezien die bij de externe leverancier staat.

Ik heb geprobeerd om vandaag met hem in contact te komen, maar waarschijnlijk ben ik de enige idioot die deze week werkt.

woensdag 27 december 2006 17:19

Acties:

Verwijderd

Ik heb geprobeerd om vandaag met hem in contact te komen, maar waarschijnlijk ben ik de enige idioot die deze week werkt.

nee hoor, ik werk ook met nog 2 collega's

Ik begrijp verder je probleem wel, maar toch ben ik er van overtuigd dat er iets over het hoofd gezien is. Om erachter te komen wat er over het hoofd gezien is, is door te kijken wat er gedropt wordt op de isa.

donderdag 28 december 2006 10:18

Acties:

sanfranjake

Computers can do that?

Je kan op de Cisco natuurlijk alles testen en checken wat je wil, maar als er op de ISAserver iets niet goed staat, dan blijf je natuurlijk bezig tot je een ons weegt. Is het niet iets om desnoods samen met die leverancier eens op de isa server te kijken?

Mijn spoorwegfotografie
Somda - Voor en door treinenspotters

donderdag 28 december 2006 12:04

Acties:

WaSteiL

Topicstarter

sanfranjake schreef op donderdag 28 december 2006 @ 10:18:
Je kan op de Cisco natuurlijk alles testen en checken wat je wil, maar als er op de ISAserver iets niet goed staat, dan blijf je natuurlijk bezig tot je een ons weegt. Is het niet iets om desnoods samen met die leverancier eens op de isa server te kijken?

Dat heb ik geprobeerd, maar zoals ik al eerder zei zijn er maar een paar idioten die werken deze week waaronder ik zei de gek en iis5_rulez ...

Even afwachten dus..

donderdag 28 december 2006 12:12

Acties:

Coach4All

I'm a Coach 4 All

Weet je zeker dat op de ISA de poorten op SEND/RECEIVE staan?
Heb me een keer meer dan een dag stukgebeten op een CISCO verbinding om er daarna achter te komen dat de poort op RECEIVE/SEND stond.

Was van binnen uit geen verbinding op te zetten dus....

--- Systeembeheerdersdag --- Voedselintolerantie ---

donderdag 28 december 2006 15:30

Acties:

SteeringWheel

[H4L]

Afbeeldingslocatie: http://members.home.nl/quach/naamloos.JPG

Werkt hier wel iig...

A forum post should be like a skirt. Long enough to cover the subject material, but short enough to keep things interesting.

donderdag 4 januari 2007 09:59

Acties:

WaSteiL

Topicstarter

Coach4All schreef op donderdag 28 december 2006 @ 12:12:
Weet je zeker dat op de ISA de poorten op SEND/RECEIVE staan?
Heb me een keer meer dan een dag stukgebeten op een CISCO verbinding om er daarna achter te komen dat de poort op RECEIVE/SEND stond.

Was van binnen uit geen verbinding op te zetten dus....

Je bent mijn held. $_/-\o_$
Ze hadden het idd omgedraaid, terwijl in de handleiding van MS het toch heel duidelijk stond.

Ik ben dat als eerste maar even gaan controleren en dat bleek het geval te zijn!