:fill(white):strip_exif()/i/1402901394.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/1223976128.jpg?f=thumbmini)
Smogges!
Ik ben gevraagd om een Cisco 877 in te stellen voor een site to site VPN naar een site waar een USG 100 van Zyxel staat..
Nu kom ik een heel end en zie ik dat ie verbonden is. Maar er gaat geen verkeer overheen.
nu zie ik in de USG een melding NO_Proposal_Chosen
maar alles lijkt gelijk te zijn:
[cisco config]
Op de USG heb ik:
Phase 1:
Shared key = test123456
SA-Lifetime 86400
Negotiation mode: Main
Proposal: 3DES SHA1
DH: 1
NAT Traversal: UIT
DPD: UIT
Phase 2:
Local en remote policies op de juiste netwerkadressen
SA Lifetime: 86400
Active protocol: ESP
Encapsulation: Tunnel
Proposal: 3DES SHA1
PFS: None
het lijkt mij te kloppen.. Andere IPSEC connecties naar de USG werken naar behoren.
Maar de melding lijkt te zeggen dat er mogelijk encryptie instellingen niet goed staan.. maar ik kan het effe niet meer zien..
Debug output
Iemand misschien wat tips?? Of een slimme vraag?
Ik ben gevraagd om een Cisco 877 in te stellen voor een site to site VPN naar een site waar een USG 100 van Zyxel staat..
Nu kom ik een heel end en zie ik dat ie verbonden is. Maar er gaat geen verkeer overheen.
nu zie ik in de USG een melding NO_Proposal_Chosen
maar alles lijkt gelijk te zijn:
[cisco config]
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
| crypto isakmp policy 1 encr 3des authentication pre-share group 1 crypto isakmp key test123456 address <WAN IP TARGET> ! crypto ipsec transform-set 3DESSHA esp-3des esp-sha-hmac ! crypto ipsec profile IPSEC-VPN set transform-set 3DESSHA ! ! ! crypto map WORKVPN 20 ipsec-isakmp set peer <WAN IP TARGET> set transform-set 3DESSHA match address 110 interface Tunnel0 description --- IPSec Tunnel to Office --- no ip address load-interval 30 tunnel source Vlan2 tunnel destination <WAN IP TARGET> tunnel mode ipsec ipv4 tunnel protection ipsec profile IPSEC-VPN interface FastEthernet3 switchport access vlan 2 ! interface Vlan2 description WAN TEST ip address <MY WAN> 255.255.255.248 ip nat outside ip virtual-reassembly ! ! ip forward-protocol nd ip route 0.0.0.0 0.0.0.0 <Internet Gateway> ip route 10.0.0.0 255.255.255.0 Tunnel0 ! access-list 102 deny ip 10.11.12.0 0.0.0.255 10.0.0.0 0.0.0.255 access-list 102 permit ip 10.11.12.0 0.0.0.255 any access-list 110 permit ip 10.11.12.0 0.0.0.255 10.0.0.0 0.0.0.255 |
Op de USG heb ik:
Phase 1:
Shared key = test123456
SA-Lifetime 86400
Negotiation mode: Main
Proposal: 3DES SHA1
DH: 1
NAT Traversal: UIT
DPD: UIT
Phase 2:
Local en remote policies op de juiste netwerkadressen
SA Lifetime: 86400
Active protocol: ESP
Encapsulation: Tunnel
Proposal: 3DES SHA1
PFS: None
het lijkt mij te kloppen.. Andere IPSEC connecties naar de USG werken naar behoren.
Maar de melding lijkt te zeggen dat er mogelijk encryptie instellingen niet goed staan.. maar ik kan het effe niet meer zien..
Debug output
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
| #show crypto ipsec sa
interface: Tunnel0
Crypto map tag: Tunnel0-head-0, local addr MY WAN
protected vrf: (none)
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
current_peer REMOTE WAN port 500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
#pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: MY WAN, remote crypto endpt.: REMOTE WAN
path mtu 1500, ip mtu 1500, ip mtu idb Vlan2
current outbound spi: 0x0(0)
inbound esp sas:
inbound ah sas:
inbound pcp sas:
outbound esp sas:
outbound ah sas:
outbound pcp sas:
protected vrf: (none)
local ident (addr/mask/prot/port): (10.11.12.0/255.255.255.0/0/0)
remote ident (addr/mask/prot/port): (10.0.0.0/255.255.255.0/0/0)
current_peer REMOTE WAN port 500
PERMIT, flags={}
#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
#pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0
local crypto endpt.: MY WAN, remote crypto endpt.: REMOTE WAN
path mtu 1500, ip mtu 1500, ip mtu idb Vlan2
current outbound spi: 0xF051592E(4031863086)
inbound esp sas:
spi: 0xF7178CA1(4145515681)
transform: esp-3des esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 19, flow_id: Motorola SEC 1.0:19, crypto map: Tunnel0-head-0
sa timing: remaining key lifetime (k/sec): (4538703/755)
IV size: 8 bytes
replay detection support: Y
Status: ACTIVE
inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0xF051592E(4031863086)
transform: esp-3des esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 20, flow_id: Motorola SEC 1.0:20, crypto map: Tunnel0-head-0
sa timing: remaining key lifetime (k/sec): (4538703/755)
IV size: 8 bytes
replay detection support: Y
Status: ACTIVE
outbound ah sas:
outbound pcp sas:
#show crypto engine connection active
Crypto Engine Connections
ID Interface Type Algorithm Encrypt Decrypt IP-Address
19 Vl2 IPsec 3DES+SHA 0 0 MY WAN
20 Vl2 IPsec 3DES+SHA 0 0 MY WAN
2011 Vl2 IKE SHA+3DES 0 0 MY WAN
#debug crypto isakmp
Crypto ISAKMP debugging is on
#debug crypto ipsec
Crypto IPSEC debugging is on |
Iemand misschien wat tips?? Of een slimme vraag?
[ Voor 42% gewijzigd door RoRoo op 06-09-2011 12:07 ]
It's not DNS. There's no way it's DNS. It was DNS. --The Sysadmin haiku
