[VPN] Configuratie vraag

[Fragbeestje]

We hebben hier een situatie voor waar ik even geen raad mee weet. Voornamelijk omdat mijn VPN kennis nog zo goed als nihil is

We hebben hier op het werk een Cisco Pix 515 staan, waar onze vertegenwoordigers op connecteren. Dit zonder problemen.
Nu is er echter een probleem met een bepaalde leverancier die vanaf een werkstation vanaf ons lokaal netwerk wil connecteren naar hun VPN server. De VPN verbinding wordt gemaakt, maar er worden op het werkstation geen pakketjes ontvangen.

WS - CISCO PIX 515 - router - inet - router - Cisco ASA 5520

werkstation : 192.168.0.100
onze cisco pix : 60.1.1.1
hun cisco asa : 70.1.1.1

In de pix logs zie ik het volgende als ik wil connecteren :

305006: portmap translation creation failed for protocol 50 src inside: 192.168.0.100 dst outside:62.123.146.241
302015: Built outbound UDP connection 23406520 for outside: 70.1.1.1/500 (70.1.1.1/500) to inside: 192.168.0.100/500 (60.1.1.1/243)

Wat is nu de aangewezen oplossing?
- Portforwarding toepassen voor dit werkstation? en zo ja, kunnen onze medewerkers dan nog connecteren naar onze vpn? Heb weinig tot geen testruimte aangezien er bijna doorlopend medewerkers geconnecteerd zijn...
- een VPN site-to-site tunnel opzetten?

Het probleem lijkt dus hetzelfde als in het onderstaande topic maar ben dus niet zeker of de huidige vertegenwoordigers dan nog fatsoenlijk kunnen connecteren...
http://gathering.tweakers.net/forum/list_messages/765965///cisco%2Cvpn

[ Voor 11% gewijzigd door Fragbeestje op 28-08-2007 10:47 ]

[chromeeh]

Ik weet dat een remote acces VPN van Cisco soms tot bijna een minuut nodig heeft op m'n PIX501 voordat deze 'bruikbaar' is na het verbinding maken.

Site-to-Site kan een oplossing bieden mits je beide locaties beheerd

[TrailBlazer]

Die UDP sessie is ISAKMP die heb je nodig voor IPSec. IPsec is dus geen TCP of UDP maar een apart protocol en wel protocol nummer 50. Dit werkt vaak niet lekker met NAT firewalls. Je kan in principe wel IPSec over UDP doen maar dan moeten ze wel wat aanpassen in de VPN client. Als je meerdere private ip adressen heb zou je nog een statische NAT entry kunnen maken voor deze enkele PC.

[Fragbeestje]

Ik heb het opgelost met een site-to-site VPN verbinding.
Ik beheer niet de beide sites, maar de communicatie tussen de 2 admins verliep vrij vlot
Wel eerst een host group aangemaakt zodat de fabrikant enkel aan de workstations kan waar hij toegang tot moest hebben.

Werkt perfect! Bedankt voor de replies!