[Cisco] Tunnel komt niet up - Netwerken

dinsdag 9 december 2008 22:54

Acties:

0 Henk 'm!

Topicstarter

Heb een probleem met een tunnel. Ik probeer een tunnel op te zetten tussen een Cisco 2851 en een Cisco 1801. Beide zijn aangesloten op het internet en voorzien van een statisch IP adres (maar dat maakt nu even niet uit).

Router 1801:

code:

Current configuration : 3568 bytes
!
....
!
ip dhcp pool VLAN11
   network 192.168.10.0 255.255.255.0
   default-router 192.168.10.1
   dns-server 212.142.28.130 212.142.28.66
!
ip dhcp pool VLAN12
   network 192.168.12.0 255.255.255.0
   default-router 192.168.12.1
   dns-server 212.142.28.130 212.142.28.66
!
ip dhcp pool LAN
   network 192.168.0.0 255.255.255.0
   default-router 192.168.0.1
   dns-server 212.142.28.130 212.142.28.66
!
ip dhcp pool VLAN10
   network 192.168.1.0 255.255.255.0
   default-router 192.168.1.1
   dns-server 212.142.28.130 212.142.28.66
!
....
!
interface Tunnel1
 description TESTVPN
 ip address 192.168.25.1 255.255.255.252
 ip mtu 1476
 keepalive 10 3
 tunnel source FastEthernet0/1.10
 tunnel destination A.B.C.D (IP Adres Router 2851)
 tunnel path-mtu-discovery
!
interface FastEthernet0/0
 description WAN$FW_OUTSIDE$
 mac-address 0000.0000.0000
 ip address dhcp client-id FastEthernet0/0
 ip nat outside
 ip virtual-reassembly
 duplex auto
 speed auto
!
interface FastEthernet0/1
 description LAN
 ip address 192.168.0.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
 duplex auto
 speed auto
!
interface FastEthernet0/1.10
 description VLAN10$FW_INSIDE$
 encapsulation dot1Q 10
 ip address 192.168.1.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
!
interface FastEthernet0/1.11
 description VLAN11$FW_INSIDE$
 encapsulation dot1Q 11
 ip address 192.168.10.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
!
interface FastEthernet0/1.12
 description VLAN12$FW_INSIDE$
 encapsulation dot1Q 12
 ip address 192.168.12.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
!
ip forward-protocol nd
!
!
ip http server
no ip http secure-server
ip nat inside source list 1 interface FastEthernet0/0 overload
!
access-list 1 permit 192.168.10.0 0.0.0.255
access-list 1 permit 192.168.11.0 0.0.0.255
access-list 1 permit 192.168.12.0 0.0.0.255
access-list 1 permit 192.168.0.0 0.0.0.255
access-list 1 permit 192.168.1.0 0.0.0.255
!
end

Router 2851

code:

Current configuration : 9918 bytes
!
....
!
ip dhcp pool LAN
   network 192.168.0.0 255.255.255.0
   default-router 192.168.0.1
   dns-server 212.142.28.66 212.142.28.130
   option 150 ip 192.168.0.1
!
....
!
interface Tunnel0
 description TESTVPN
 ip address 192.168.25.2 255.255.255.252
 ip mtu 1476
 keepalive 10 3
 tunnel source GigabitEthernet0/1
 tunnel destination A.B.C.D (IP adres Router 1801)
 tunnel path-mtu-discovery
!
interface GigabitEthernet0/0
 description WAN$ETH-WAN$
 ip dhcp client update dns server none
 ip address dhcp client-id GigabitEthernet0/0
 ip nat outside
 ip virtual-reassembly
 duplex auto
 speed auto
!
interface GigabitEthernet0/1
 ip address 192.168.0.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
 duplex auto
 speed auto
 h323-gateway voip interface
 h323-gateway voip bind srcaddr 192.168.0.1
!
no ip forward-protocol nd
!
ip nat inside source list 1 interface GigabitEthernet0/0 overload
!
access-list 1 permit 192.168.0.0 0.0.0.255
!
!
end

Uiteraard het een en ander weggelaten in de config.

Als ik op de Router 2851 een show int tunnel0 doe krijg ik het volgende:

code:

Tunnel0 is up, line protocol is down
  Hardware is Tunnel
  Description: TESTVPN
  Internet address is 192.168.25.2/30
  MTU 17916 bytes, BW 100 Kbit/sec, DLY 50000 usec,
     reliability 255/255, txload 1/255, rxload 1/255
  Encapsulation TUNNEL, loopback not set
  Keepalive set (10 sec), retries 3
  Tunnel source 192.168.0.1 (GigabitEthernet0/1), destination A.B.C.D (IP adres Router 1801)
  Tunnel protocol/transport GRE/IP
    Key disabled, sequencing disabled
    Checksumming of packets disabled
  Tunnel TTL 255
  Fast tunneling enabled
  Path MTU Discovery, ager 10 mins, min MTU 92
  Tunnel transport MTU 1476 bytes
  Tunnel transmit bandwidth 8000 (kbps)
  Tunnel receive bandwidth 8000 (kbps)
  Last input never, output 00:00:04, output hang never
  Last clearing of "show interface" counters never
  Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0
  Queueing strategy: fifo
  Output queue: 0/0 (size/max)
  5 minute input rate 0 bits/sec, 0 packets/sec
  5 minute output rate 0 bits/sec, 0 packets/sec
     0 packets input, 0 bytes, 0 no buffer
     Received 0 broadcasts, 0 runts, 0 giants, 0 throttles
     0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
     766 packets output, 36768 bytes, 0 underruns
     0 output errors, 0 collisions, 0 interface resets
     0 unknown protocol drops
     0 output buffer failures, 0 output buffers swapped out

Iemand enig idee wat ik over het hoofd zie? Waarom de verbinding niet tot stand wil komen?

woensdag 10 december 2008 08:18

Acties:

0 Henk 'm!

jvanhambelgium

Gebruik eens de tunnel debugging ofzo ??? Kan mischien net die hint geven...
Mischien ook eens debuggen op GRE
Vereiste is sowieso dat je vb al kan pingen tussen de 2 endpoints, dus tussen de IP's die jij als source-destination van de tunnel wilt gebruiken.Lukt dit met een extende ping ? Tussen 192.168.0.1 en VLAN10$FW_INSIDE$ ??
Werkt dat al ? Ik zie hier een configuratie met nat/pat,dot1q trunk, sub-interfaces, dhcp-enabled interfaces en tja, dat maakt het er allemaal niet transparanter op ;-) voor de troubleshooting

Ik zie geen routing statements staan, wat wil je eigenlijk door de tunnel jagen ?

woensdag 10 december 2008 08:30

Acties:

0 Henk 'm!

TrailBlazer

Karnemelk FTW

kan je inderdaad wel pingen en staat je provider GRE wel toe.

woensdag 10 december 2008 08:37

Acties:

0 Henk 'm!

SambalBij

We're all MAD here

Zoals ik het zie wil je via de tunnel een verbinding leggen tussen VLAN10 aan de 1801 kant (FastEthernet0/1.10) en GigabitEthernet0/1 aan de 2851 kant?

Die 1801 gaat dat waarschijnlijk echter nooit over de tunnel kunnen routeren. Je zult dan voor het LAN aan de overkant een routering naar 192.168.0.0/24 moeten gaan opgeven (GigabitEthernet0/1 op de 2851) terwijl die 1801 die range al gebruikt op zijn FastEthernet0/1 interface.
Ik denk dat als je dit aan de gang wil krijgen dat je die IP range aan een van beide zijden zal moeten gaan NATten...
Daarnaast, ik begrijp dat die tunnel over internet gaat? Weet niet wat er voor verkeer overheen moet, maar zou je niet veel beter een VPN kunnen opzetten? (crypto map)
BTW, Ook in dat geval hou je problemen met die dubbele IP range.

Sometimes you just have to sit back, relax, and let the train wreck itself

woensdag 10 december 2008 13:36

Acties:

0 Henk 'm!

Ducktape

Topicstarter

de 1801 is een 1841. Maar dat is niet zo heel erg belangrijk.

debug op tunnel geeft geen hol

(dubug int tunnel0 of tunnel1).
Pingen gaat fout.
1801-->2851 geen response
2851-->1801 wel response

edit nu wel goed pingen. UPC heeft me weer een nieuw adres gegeven. kan beide kanten op pingen.

Iemand enig idee of UPC (2x) GRE toestaat?

Het ontbreken van routing statements is geloof ik niet belangrijk. Eerst de verbinding en dan maar een keer routeren.
De dubbele IP ranges, die los ik later wel op of zit die al dwars met het maken van een verbinding?

Het verkeer is een database die vanaf 2 locaties te benaderen moet zijn. Dan heb ik geloof ik de keuze uit vpn (ezvpn) en gre over ipsec. De database server accepteerd alleen lokaal verkeer dus het liefst heb ik eigenlijk dat de afzender van het verkeer in het zelfde subnet zit (192.168.1.0/24).
Maar momenteel krijg ik helemaal niets werkend.
Dus wat is eigenlijk de beste keuze? envpn of gre? of totaal iets anders? Alleen een portforward is geen oplossing, dan blijf ik maar poorten open zetten, heb ik geen zin in.

[ Voor 16% gewijzigd door Ducktape op 10-12-2008 13:40 ]

woensdag 10 december 2008 13:38

Acties:

0 Henk 'm!

TrailBlazer

Karnemelk FTW

wat je wil kan sowieso niet op deze manier. Dan zal je moeten gaan bridgen tussen je tunnel interface en je lan interface.
Je tunnel sources moeten ook je uitgaande wan interfaces zijn. De tunnelsource geeft enkel het source IP van de GRE paketten aan. Het is dus niet zo dat als je een source interface op een bepaald interface zet dat je dan het verkeer van die interface in een keer in die tunnel gooit.
De beste oplossing voor jouw situatie is nat te gebruiken op de router waar die server achterhangt. Echter er staat al overal nat aan dus veel succes daarmee breng eerst je tunnel maar eens op

[ Voor 73% gewijzigd door TrailBlazer op 10-12-2008 13:47 ]

woensdag 10 december 2008 13:47

Acties:

0 Henk 'm!

Ducktape

Topicstarter

TrailBlazer schreef op woensdag 10 december 2008 @ 13:38:
wat je wil kan sowieso niet op deze manier. Dan zal je moeten gaan bridgen tussen je tunnel interface en je lan interface. Je tunnel sources moeten ook je uitgaande wan interfaces zijn. De tunnelsource geeft enkel het source IP van de GRE paketten aan. Het is ook niet zo dat als je een source interface op een bepaald interface zet dat je dan het verkeer van die interface in een keer in die tunnel gooit.

hehe ziet er ingewikkeld uit. uuhm als het niet kan, wat is dan de beste oplossing volgens ccsp om een server beveiligd op afstand benaderbaar te maken?

woensdag 10 december 2008 13:50

Acties:

0 Henk 'm!

TrailBlazer

Karnemelk FTW

Iemand inhuren die er wel verstand van heeft. De tunnel is wel een prima idee hoor begin daar maar mee. Verder is die database server gewoon troep dat die enkel lokaal verbindingen accepteert. Dat maakt het er niet makkelijker op zeg maar.

woensdag 10 december 2008 14:14

Acties:

0 Henk 'm!

jvanhambelgium

Ducktape schreef op woensdag 10 december 2008 @ 13:36:
de 1801 is een 1841. Maar dat is niet zo heel erg belangrijk.

debug op tunnel geeft geen hol (dubug int tunnel0 of tunnel1).
Pingen gaat fout.
1801-->2851 geen response
2851-->1801 wel response

Als je een "debug" statement hebt ingeklopt heb je ook wel het "term mon" statement ingeklopt hoop ik ? Of hang je direct met een console-cable aan de cisco ?? ...in een vty (telnet sessie) ga je zonder "term mon" niet veel output krijgen namelijk...

"debug int tunnelx"
"term mon"
vervolgens eventueel een
"shut" / "no shut" in configmode van deze tunnel-interface. zodat de Cisco hem opnieuw gaat proberen op te tuigen

woensdag 10 december 2008 14:57

Acties:

0 Henk 'm!

Ducktape

Topicstarter

jvanhambelgium schreef op woensdag 10 december 2008 @ 14:14:
[...]

Als je een "debug" statement hebt ingeklopt heb je ook wel het "term mon" statement ingeklopt hoop ik ? Of hang je direct met een console-cable aan de cisco ?? ...in een vty (telnet sessie) ga je zonder "term mon" niet veel output krijgen namelijk...

"debug int tunnelx"
"term mon"
vervolgens eventueel een
"shut" / "no shut" in configmode van deze tunnel-interface. zodat de Cisco hem opnieuw gaat proberen op te tuigen

Ook dan geen enkel resultaat.

Verder heb ik weinig invloed op de database server.

woensdag 10 december 2008 14:59

Acties:

0 Henk 'm!

TrailBlazer

Karnemelk FTW

Je moet eerst je tunnels aanpassen door de tunnel source op je uitgaande interfaces te zetten. Nu werkt het sowieso niet. Tunnelsource en tunneldestination moeten altijd gekruisd zijn op beide router. Dus src_rtr_1 = dest_rtr_2 en vice versa.

woensdag 10 december 2008 15:36

Acties:

0 Henk 'm!

Ducktape

Topicstarter

heb nu gekruist:

(1801)
Tunnel source A.B.C.D (FastEthernet0/0), destination A.D.C.B (andere router)
en
(2851)
Tunnel source A.B.C.D (GigabitEthernet0/0), destination A.B.C.D (andere router)

debug geeft (op 1801):
#shut
#no shut
*Dec 10 14:28:48.379: %LINK-5-CHANGED: Interface Tunnel1, changed state to admin istratively down
*Dec 10 14:28:50.571: %LINK-3-UPDOWN: Interface Tunnel1, changed state to up

meer niet

woensdag 10 december 2008 19:36

Acties:

0 Henk 'm!

Ducktape

Topicstarter

OK fixxed.
Ik heb het toch maar met EZVPN opgelost. Zonder problemen (zelfs met dubbel 192.168.0.0 groep) kon ik toegang krijgen tot de 192.168.1.0 groep. Zelfs de server liep niet te janken

.

Gebruikte code (alleen relevante zaken...)

server 1801

code:

!
aaa new-model
!
!
aaa authentication login default local
aaa authentication login sdm_vpn_xauth_ml_1 local
aaa authorization exec default local
aaa authorization network sdm_vpn_group_ml_1 local
!
!
aaa session-id common
!
no ip dhcp use vrf connected
ip dhcp excluded-address 192.168.0.1
ip dhcp excluded-address 192.168.12.1
ip dhcp excluded-address 192.168.11.1
ip dhcp excluded-address 192.168.10.1
ip dhcp excluded-address 192.168.1.7
!
ip dhcp pool VLAN11
   network 192.168.10.0 255.255.255.0
   default-router 192.168.10.1
   dns-server 212.142.28.130 212.142.28.66
!
ip dhcp pool VLAN12
   network 192.168.12.0 255.255.255.0
   default-router 192.168.12.1
   dns-server 212.142.28.130 212.142.28.66
!
ip dhcp pool LAN
   network 192.168.0.0 255.255.255.0
   default-router 192.168.0.1
   dns-server 212.142.28.130 212.142.28.66
!
ip dhcp pool VLAN10
   network 192.168.1.0 255.255.255.0
   default-router 192.168.1.1
   dns-server 212.142.28.130 212.142.28.66
!
crypto pki trustpoint TP-self-signed-
 enrollment selfsigned
 subject-name cn=IOS-Self-Signed-Certificate-
 revocation-check none
 rsakeypair TP-self-signed-1712302183
!
!
crypto pki certificate chain TP-self-signed-
 certificate self-signed 01
        quit
!
!
username privilege 15 secret 5 
!
crypto isakmp policy 1
 encr 3des
 authentication pre-share
 group 2
!
crypto isakmp client configuration group GroupVPNDB
 key test
 pool SDM_POOL_1
 netmask 255.255.255.0
crypto isakmp profile sdm-ike-profile-1
   match identity group GroupVPNDB
   client authentication list sdm_vpn_xauth_ml_1
   isakmp authorization list sdm_vpn_group_ml_1
   client configuration address respond
   virtual-template 1
!
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
!
crypto ipsec profile SDM_Profile1
 set transform-set ESP-3DES-SHA
 set isakmp-profile sdm-ike-profile-1
!
!
!
!
no ip rcmd domain-lookup
ip rcmd rcp-enable
ip rcmd remote-host sdmR2f816838 A.B.C.D L2f816838 enable
ip rcmd remote-username sdmR2f816838
!
!
!
interface Loopback0
 ip address 192.168.25.1 255.255.255.252
!
interface FastEthernet0/0
 description WAN$FW_OUTSIDE$$ETH-WAN$
 mac-address a.b.c
 ip dhcp client update dns server none
 ip ddns update sdm_ddns1
 ip address dhcp client-id FastEthernet0/0
 ip nat outside
 ip virtual-reassembly
 duplex auto
 speed auto
!
interface FastEthernet0/1
 description LAN
 ip address 192.168.0.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
 duplex auto
 speed auto
!
interface FastEthernet0/1.10
 description VLAN10$FW_INSIDE$
 encapsulation dot1Q 10
 ip address 192.168.1.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
!
interface FastEthernet0/1.11
 description VLAN11$FW_INSIDE$
 encapsulation dot1Q 11
 ip address 192.168.10.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
!
interface FastEthernet0/1.12
 description VLAN12$FW_INSIDE$
 encapsulation dot1Q 12
 ip address 192.168.12.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
!
interface Virtual-Template1 type tunnel
 ip unnumbered Loopback0
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile SDM_Profile1
!
ip local pool SDM_POOL_1 192.168.1.220 192.168.1.225
ip forward-protocol nd
!
ip nat inside source list 1 interface FastEthernet0/0 overload
!
access-list 1 permit 192.168.10.0 0.0.0.255
access-list 1 permit 192.168.11.0 0.0.0.255
access-list 1 permit 192.168.12.0 0.0.0.255
access-list 1 permit 192.168.0.0 0.0.0.255
access-list 1 permit 192.168.1.0 0.0.0.255
!

en client 2851

code:

!
aaa new-model
!
!
aaa authentication login default local
aaa authorization exec default local
!
!
aaa session-id common
!
!
ip dhcp pool LAN
   network 192.168.0.0 255.255.255.0
   default-router 192.168.0.1
   dns-server 212.142.28.66 212.142.28.130
   option 150 ip 192.168.0.1
!
crypto pki trustpoint TP-self-signed-
 enrollment selfsigned
 subject-name cn=IOS-Self-Signed-Certificate-
 revocation-check none
 rsakeypair TP-self-signed-3590776790
!
!
crypto pki certificate chain TP-self-signed-
 certificate self-signed 01
        quit
!
!
username privilege 15 view root secret 5 
!
!
crypto ipsec client ezvpn VPNtest
 connect auto
 group GroupVPNDB key test
 mode client
 peer A.B.C.D
 virtual-interface 1
 xauth userid mode interactive
!
!
interface GigabitEthernet0/0
 description WAN$ETH-WAN$
 ip dhcp client update dns server none
 ip ddns update hostname tinternet.homeip.net
 ip ddns update sdm_ddns1
 ip address dhcp client-id GigabitEthernet0/0
 ip nat outside
 ip virtual-reassembly
 duplex auto
 speed auto
 crypto ipsec client ezvpn VPNtest
!
interface GigabitEthernet0/1
 ip address 192.168.0.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
 duplex auto
 speed auto
 crypto ipsec client ezvpn VPNtest inside
 h323-gateway voip interface
 h323-gateway voip bind srcaddr 192.168.0.1
!
interface Virtual-Template1 type tunnel
 no ip address
 tunnel mode ipsec ipv4
!
ip nat inside source list 1 interface GigabitEthernet0/0 overload
!
access-list 1 permit 192.168.0.0 0.0.0.255
!

dinsdag 13 januari 2009 13:28

Acties:

0 Henk 'm!

Ducktape

Topicstarter

sorry, deze is al wat ouder. Maar anders moest ik alles opnieuw posten en uitleggen.

Momenteel test ik deze configuratie. Er is alleen een probleem. Het is erg traag, internet is niet mogelijk en volgens de SDM is de verbinding (VPN) down.
Als ik vervolgens de virtual-interface 1 uit de ezvpn client gooi is de verbinding volgens SDM ok (groen) en werkt internet. Verkeer dat naar de andere LAN zou moeten (192.168.1.0) komt niet meer aar. Pingen en zo is niet mogeljk.
Samengevat:

met virtual-interface 1
status volgens SDM niet OK
Pingen mogelijk
VPN traag
geen internet

zonder virtual-interface 1
Status volgens SDM OK.
Geen ping
geen VPN
wel internet

Iemand een idee wat er mis is? Het lijkt er op dat zonder virtual-interface 1 de boel wel werkt, maar dat het verkeer naar 192.168.1.0 naar de verkeerde plaats gaat (internet ipv VPN tunnel). Moet ik een static route maken? Zo ja hoe?

Er is een verschil nu. De 2851 is nu een 1801. Met verschil dat de NAT niet van gigabitethernet0/1 komt maar van VLAN1.

maandag 19 januari 2009 09:55

Acties:

0 Henk 'm!

Ducktape

Topicstarter

Niemand?? please?