[Cisco] ASA5510 Remote Access VPN

[Snors]

Allen,

Ik heb een klein probleem met de Remote Access VPN functie van de ASA5510. Gebruikers kunnen met de Cisco client prima verbinding maken. Echter kan ik niet over die VPN verbinding een andere Site pingen(die verbonden is met een site-to-site vpn).

Netwerk is als volgt:
USA: ASA5510 ASDM6.3 Hier verbinden alle users naar toe met de cisco client
NL: ASA5510 ASDM5.2 Er is een directe site-to-site VPN met USA

Wat werkt wel over de VPN i.c.m. de Cisco Client:
Pingen naar netwerk USA

Wat werkt niet over de VPN i.c.m. de Cisco Client:
Pingen naar netwerk NL

In de IPsec Crypto maps is er netjes een route van het USA netwerk naar het NL netwerk.... Waar kan dit nog meer fout gaan?

Alvast bedankt!

[Vicarious]

Dan moet je echt even een stukje van de configs van beide kanten posten. Waar het o.a. mis kan gaan:
- NAT exemptie niet toegepast voor de VPN range
- VPN client IP range niet opgenomen in de tunneldefinitie
- VPN client IP range niet opgenomen in de access-list

[Verwijderd]

Ik ga er van uit dat zowel de RA VPN als de S2S vpn termineren op de outside interface van de ASA in de USA? Dan dien je in ieder geval om te beginnen al hairpinning toe te staan.
'same-security-traffic permit intra-interface'
Daarna moet je nakijken of je ACL's de traffiek toestaan, is niet nodig als 'sysopt connection permit-vpn' aanstaat.
En zoals hierboven staat NAT exemption toepassen.

[_-= Erikje =-_]

Verwijderd schreef op woensdag 23 januari 2013 @ 12:33:
Ik ga er van uit dat zowel de RA VPN als de S2S vpn termineren op de outside interface van de ASA in de USA? Dan dien je in ieder geval om te beginnen al hairpinning toe te staan.
'same-security-traffic permit intra-interface'
Daarna moet je nakijken of je ACL's de traffiek toestaan, is niet nodig als 'sysopt connection permit-vpn' aanstaat.
En zoals hierboven staat NAT exemption toepassen.

Intra is tussen 2 verschillende interface met hetzelfde security level. 1 interface aan de buitenkant waar 2 VPN's op zitten heeft daar niets mee te maken. Wel zorgen dat de ACL's kloppen (toestaan verkeer EN verkeer in de tunnel naar NL) en nat exemption goed is

[Verwijderd]

_-= Erikje =-_ schreef op woensdag 23 januari 2013 @ 19:13:
[...]


Intra is tussen 2 verschillende interface met hetzelfde security level. 1 interface aan de buitenkant waar 2 VPN's op zitten heeft daar niets mee te maken. Wel zorgen dat de ACL's kloppen (toestaan verkeer EN verkeer in de tunnel naar NL) en nat exemption goed is

Neen fout, intra interface is voor traffiek die binnenkomt op een interface en via dezelfde interface terug buiten gaat.
http://www.cisco.com/en/U...ference/s1.html#wp1444448
Dit is nodig als je RA VPN's en S2S VPN's op dezelfde interface termineren (bv de outside) interface.
Zie ook bv deze link : https://supportforums.cisco.com/thread/2165442

inter interface is voor wat jij beschrijft...

[ Voor 5% gewijzigd door Verwijderd op 24-01-2013 08:39 ]