VPN op Cisco router

[Ingegno]

Hallo allen,

Worstel nu al een tijdje met dit probleem en vraag me toch echt af wat ik nou fout doe. Heb een ZyXel router waar een VPN is ingebouwd (site-to-site) naar een remote branch. Dit was redelijk makkelijk vanwege de GUI, omdat ik relatief nieuw ben met Cisco is dit toch een stuk lastiger. Wil de Zyxel router vervangen door de Cisco router (btw het is een 881 model) maar dan moet die VPN natuurlijk wel mee en dat gaat helaas niet.

Huidige configuratie op de router:

Site to site
primary peer adres: 21.xxxxxxx

Authentication
key exchange mode: auto
pre-shared key: [key]
local id type: any
remote id type: IP
Content: 21.xxxxxxx

phase 1
SA lifetime: 28800
negotiation mode: main
encryption: aes256
authentication: sha1
key group: dh2
dead peer detection

phase 2
sa lifetime: 28800
tunnel mode: esp
encapsulation: tunnel
encryption: aes256
authentication: sha1
perfect forward secrecy: DH2

En een policy aangeeft welke local netwerk contact mag leggen met het remote subnet. Dit werkt gewoon, de VPN is opgezet en nooit problemen mee. Nu wil ik de Cisco dus in de plaats van de router, alles is nagebootst behalve de VPN. Die krijg ik helaas niet werkend. Wat ik momenteel heb (video van Keith Barker gevolgd):

crypto isakmp policy 1
authentication pre-share
group 2
crypto isakmp key [key] address 21.xxxxxxxx
!
!
crypto ipsec transform-set MYSET ah-sha-hmac esp-aes 256 esp-sha-hmac
mode tunnel
!
!
!
crypto map MYMAP 1 ipsec-isakmp
set peer 21.xxxxxx
set transform-set MYSET
match address 110
!

Match address 110 is een access-list aangemaakt die overeenkomt met de policy die ik ook op de Zyxel heb. Kreeg op een gegeven moment de melding: information mode failed with peer at adres 21.xxxx, daarna enkele wijzigingen doorgevoerd (naar DH2 gezet, stond op 1) en nu krijg ik die melding niet eens maar is de VPN nog steeds niet opgezet. Wie zou mij hiermee kunnen helpen?

[kosz]

Ik zou beginnen om je encryptie niet op auto te zetten, maar fixed op een keuze van encryptie

crypto isakmp policy 1
authentication pre-share
group 2
crypto isakmp key [key] address 21.xxxxxxxx

Hier mis ik je keuze van ecryptie, bv encr aes

check met je debug commands op de cisco wat er fout gaat :
debug crypto isakmp (p1) als dat goed gaat
debug crypto ipsec (p2)

[Ingegno]

Ahh, begrijp het nu wat meer.

crypto isakmp policy 1
authentication pre-share
group 2
crypto isakmp key [key] address 21.xxxxxxxx

Bovenstaande is phase 1, terwijl onderstaande phase 2 is:

crypto ipsec transform-set MYSET ah-sha-hmac esp-aes 256 esp-sha-hmac
mode tunnel

In phase 1 moet ik dus encryption (aes256) en authentication (SHA1) vastleggen zoals op mijn Zyxel router ook is gedaan, momenteel staat die dus leeg/auto. Zal ik aanpassen. Wat betreft phase 2:

crypto ipsec transform-set MYSET ah-sha-hmac esp-aes 256 esp-sha-hmac
mode tunnel

Moet hier nog iets worden aangepast? Heb de vraagteken commando gebruikt om te kijken naar mogelijke parameters die ik kon aangeven, dit is hetgeen waar ik op uitkwam. Ik weet niet precies waar hmac voor staat en of dat invloed heeft op de negotiation.

[Ingegno]

Oke, debugging aangezet en krijg nu het volgende:

%CRYPTO-4-RECVD_PKT_INV_SPI: decaps: rec'd IPSEC packet has invalid spi for destaddr=[eigen ip], prot=50, spi=0x1EA5BCA(32136138), srcaddr=21.xxxxx, input interface=FastEthernet4

En dan drie keer deze melding:

ISAKMP-ERROR: (0):ignoring request to send delete notify (no ISAKMP sa) src [eigen ip] dst 21.xxxxx for SPI 0x1EA5BCA

Wat houdt dit in?

[Kabouterplop01]

misschien kun je met deze info verder: http://www.networking-forum.com/viewtopic.php?t=39684


clear crypto isakmp
clear crypto sa
conf t
crypto isakmp invalid-spi-recovery
end
wr

kunnen de routers elkaar zien?

show crypto isakmp sa

[ Voor 45% gewijzigd door Kabouterplop01 op 10-11-2016 23:29 ]