Site to site VPN Fritzobox <-> ASA

[Lesilhouette]

Hallo allemaal, ik probeer een site to site vpn op te zetten tussen een Fritzbox en een ASA 5510, maar helaas lukt het mij niet om netwerkveer over en weer te krijgen. Ik heb de tunnel gemaakt d.m.v. deze handleiding op internet. De vpn tunnel is actief, dat zie ik o.a. in de Fritzbox.

De Fritzbox heeft inside ip .3.254, en de ASA .2.254. en zijn van elkaar gescheiden door een fysieke internetverbinding.

Clients op het .3.0 netwerk kunnen -niet- pingen naar clients in het .2.0 netwerk en vice versa, geeft time-outs. Ik heb in de ASA logging gekeken, maar daarin zie ik helemaal geen verkeer van het .3.0 netwerk voorbij komen, dus het lijkt misschien op een NAT-rule of zo?
Ik heb ook Anyconnect op de ASA geconfigureerd, en daarmee had ik hetzelfde probleem (verkeer van vpn netwerk kon niet naar het .2.0 netwerk pingen), maar dat heb ik uiteindelijk opgelost door een NAT-rule toe te voegen. Ik heb de desbetreffende regel gekopieerd/geplakt/aangepast naar het .3.0 netwerk, maar dat heeft helaas ook niet geholpen. Ook heb ik al geprobeerd om op de ASA een expliciete firewall regel (allow any any) te maken van het 2.0 netwerk naar het 3.0 netwerk, maar zelfs dat heeft niet geholpen.

In het kort:
- Pingen van 3.0 client naar ASA (.2.254) werkt niet
- Pingen van 2.0 client naar Fritzbos (.3.254) werkt niet
- Nat rule gemaakt op ASA, werkt niet
- Expliciete fw regel aangemaakt (allow any any 2.0 > 3.0) op inside interface ASA, werkt niet
- Logging ASA laat tijdens het pingen geen hits zien als ik filter op het .3.0 netwerk

Ik heb niet heel veel verstand van netwerken, dus weet niet zo goed waar ik het zoeken moet.

Iemand een idee?

PS: als er meer info nodig is hoor ik dat natuurlijk graag.

[z1rconium]

Wat zegt show ip route ? klinkt alsof je een route mist.

[Lesilhouette]

z1rconium schreef op zondag 23 juli 2017 @ 15:07:
Wat zegt show ip route ? klinkt alsof je een route mist.

ASA# show route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route

Gateway of last resort is 192.168.178.1 to network 0.0.0.0

C 192.168.9.240 255.255.255.240 is directly connected, Honeypot
C 192.168.178.0 255.255.255.0 is directly connected, Outside
C 192.168.2.0 255.255.255.0 is directly connected, Inside
S* 0.0.0.0 0.0.0.0 [1/0] via 192.168.178.1, Outside

[MisteRMeesteR]

Staan je NAT rules in de goede volgorde in je ASA config?

[Lesilhouette]

MisteRMeesteR schreef op zondag 23 juli 2017 @ 15:39:
Staan je NAT rules in de goede volgorde in je ASA config?

Geen idee!

Hieronder nat config:

---

ASA# sh nat
Manual NAT Policies (Section 1)
1 (any) to (any) source static inside_network inside_network destination static VPN_Clients VPN_Clients no-proxy-arp
translate_hits = 260, untranslate_hits = 264
2 (any) to (any) source static inside_network inside_network destination static NDB-Network NDB-Network no-proxy-arp
translate_hits = 69083, untranslate_hits = 69086

Auto NAT Policies (Section 2)
1 (Outside) to (Outside) source static FTP interface service tcp ftp ftp
translate_hits = 0, untranslate_hits = 291
2 (Inside) to (Outside) source static Web interface service tcp www www
translate_hits = 0, untranslate_hits = 15938
3 (Inside) to (Outside) source static Exchange interface service tcp https https
translate_hits = 0, untranslate_hits = 8336
4 (any) to (Outside) source static TMS2 interface service tcp 3389 3389
translate_hits = 0, untranslate_hits = 673535
5 (Inside) to (Outside) source static Download interface service tcp 32692 32692
translate_hits = 0, untranslate_hits = 8012931
6 (Inside) to (Outside) source static Mailcleaner interface service tcp smtp smtp
translate_hits = 0, untranslate_hits = 56919

Manual NAT Policies (Section 3)
1 (Inside) to (Outside) source dynamic any interface
translate_hits = 26913685, untranslate_hits = 6913335
2 (Honeypot) to (Outside) source dynamic any interface
translate_hits = 316227, untranslate_hits = 2441

---

[TommyboyNL]

Je ASA kent zo te zien geen route naar je 192.168.3.0/24 netwerk, voeg deze eens toe.
Grote kans dat je aan de andere kant van de tunnel ook nog een route toe moet voegen, check dit even.

[Verwijderd]

ARP tabellen?

[TommyboyNL]

Verwijderd schreef op zondag 23 juli 2017 @ 17:59:
ARP tabellen?

Wat hebben die hiermee te maken? TS probeert hosts in een ander netwerk te bereiken, die ga je dus niet terug vinden in je ARP tabellen.

[Verwijderd]

klopt, maar als jij bv. een IP adres wilt bereiken die jouw netwerk nooit gekend heeft, stuurt de PC een ARP request: "Wie o wie heeft IP 192.168.1.56". Dat doet hij op het broadcast adres. En die PC die dat adres heeft, antwoord met zijn MAC adres van "Ikke heb dat IP adres, en mijn MAC is: AA:BB:00 ....".
Dan wordt de MAC adres gekoppeld aan het IP in het ARP tabel.

Zo weet jouw PC naar welk MAC adres hij de volgende request moet sturen.

Als er dus geen antwoord komt (omdat er geen proxy arp aan staat), dan weet jouw PC dus niet met welk MAC adres hij moet communiceren.

want PC's communiceren op basis van MAC adres, en niet van IP. Wij (mensen) denken van wel, maar op L2 is dat puur MAC.

[Lesilhouette]

TommyboyNL schreef op zondag 23 juli 2017 @ 17:33:
Je ASA kent zo te zien geen route naar je 192.168.3.0/24 netwerk, voeg deze eens toe.
Grote kans dat je aan de andere kant van de tunnel ook nog een route toe moet voegen, check dit even.

Ik heb nu de 3.0 toegevoegd met als next hop de Fritzbox .3.254

---

ASA# sh route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
* - candidate default, U - per-user static route, o - ODR
P - periodic downloaded static route

Gateway of last resort is 192.168.178.1 to network 0.0.0.0

C 192.168.9.240 255.255.255.240 is directly connected, Honeypot
C 192.168.178.0 255.255.255.0 is directly connected, Outside
C 192.168.2.0 255.255.255.0 is directly connected, Inside
S 192.168.3.0 255.255.255.255 [1/0] via 192.168.3.254, Outside
S* 0.0.0.0 0.0.0.0 [1/0] via 192.168.178.1, Outside

---

Maar hiermee krijg ik nog steeds een unsuccessful ping naar de .3.254 vanaf de ASA.
Als (in asdm) de .254 als next hop probeer toe te voegen krijg ik melding "Invalid next hop address, it belongs to one of our interfaces" wat mij logisch lijkt.

Verwijderd schreef op zondag 23 juli 2017 @ 17:59:
ARP tabellen?

Voor het geval het helpt...

---

ASA(config)# sh arp
Outside 192.168.178.1 905c.44fb.c454 9
Inside 192.168.2.4 0050.5683.5532 1
Inside 192.168.2.108 7cc5.37f5.85d4 6
Inside 192.168.2.11 0050.56b2.5131 7
Inside 192.168.2.250 24a4.3ce6.3fd1 12
Inside 192.168.2.16 0050.5683.1d40 14
Inside 192.168.2.5 0050.5683.006d 20
Inside 192.168.2.102 38d5.477e.8b04 25
Inside 192.168.2.6 0050.56b2.4c4f 25
Inside 192.168.2.14 0050.56b2.4e59 28
Inside 192.168.2.104 1865.90a8.a48e 45
Inside 192.168.2.103 787e.61f2.ad4d 84
Inside 192.168.2.9 0050.5683.6823 91
Inside 192.168.2.12 0050.5683.20b0 128
Inside 192.168.2.7 000c.29ad.89e5 394
Inside 192.168.2.3 00c0.b7eb.d82d 394
Inside 192.168.2.21 d8d3.85a9.078e 829
Inside 192.168.2.15 0050.5683.68d6 2601
Inside 192.168.2.23 0050.5683.5f80 2751
Inside 192.168.2.249 60c5.a86a.24e3 2934
Inside 192.168.2.58 3c39.e720.2fb5 8604
Inside 192.168.2.18 0011.3239.b137 12954
Honeypot 192.168.9.246 0050.5683.6690 44

---

[ Voor 29% gewijzigd door Lesilhouette op 23-07-2017 19:03 ]

[Lesilhouette]

[verkeerd gepost, mag weg]

[ Voor 99% gewijzigd door Lesilhouette op 23-07-2017 19:03 ]

[laurens0619]

MBT ARP: Ik denk niet dat je het daar moet zoeken omdat het om verkeer buiten het subnet gaat, dan gaat het direct naar de Default Gateway.

Daarover, het is mij even niet duidelijk of de fritzbox en ASA in beide netwerken ook de default gateway is van de clients. Zo niet, zul je daar op clients niveau (of static routes op router niveau) moeten toevoegen.

[TommyboyNL]

Verwijderd schreef op zondag 23 juli 2017 @ 18:43:
klopt, maar als jij bv. een IP adres wilt bereiken die jouw netwerk nooit gekend heeft, stuurt de PC een ARP request: "Wie o wie heeft IP 192.168.1.56". Dat doet hij op het broadcast adres. En die PC die dat adres heeft, antwoord met zijn MAC adres van "Ikke heb dat IP adres, en mijn MAC is: AA:BB:00 ....".
Dan wordt de MAC adres gekoppeld aan het IP in het ARP tabel.

Zo weet jouw PC naar welk MAC adres hij de volgende request moet sturen.

Als er dus geen antwoord komt (omdat er geen proxy arp aan staat), dan weet jouw PC dus niet met welk MAC adres hij moet communiceren.

want PC's communiceren op basis van MAC adres, en niet van IP. Wij (mensen) denken van wel, maar op L2 is dat puur MAC.

Duik jij de boeken nog maar eens in, driekwart van jouw post is fout.
Als een host een andere host BINNEN het zelfde netwerk wil bereiken, doet hij inderdaad een ARP. Als een host een andere host BUITEN zijn netwerk wil bereiken, doet hij indien nodig een ARP voor het default gateway IP, en stuurt hij zijn data daar naartoe.

@Lesilhouette Zo werken routes niet. Je ASA weet niet hoe hij netwerk 192.168.3.0/24 kan bereiken, hem vertellen dat hij dat verkeer via 192.168.3.254 moet routeren werkt dus niet. Je moet je ASA vertellen dat hij verkeer voor 192.168.3.0/24 de tunnel in moet raggen. Geen idee hoe je dat precies moet doen, mijn VPN ervaring gaat niet verder dan Fortigate, Check Point en Strongswan.

[Verwijderd]

TommyboyNL schreef op zondag 23 juli 2017 @ 19:15:
[...]

Duik jij de boeken nog maar eens in, driekwart van jouw post is fout.
Als een host een andere host BINNEN het zelfde netwerk wil bereiken, doet hij inderdaad een ARP. Als een host een andere host BUITEN zijn netwerk wil bereiken, doet hij indien nodig een ARP voor het default gateway IP, en stuurt hij zijn data daar naartoe.

Je hebt gedeeltelijk gelijk. Je moet een proxy arp gebruiken:

Proxy ARP is a technique by which a device on a given network answers the ARP queries for an IP address that is not on that network.

Wikipedia: Proxy ARP

[ Voor 5% gewijzigd door Verwijderd op 23-07-2017 19:26 ]

[TommyboyNL]

Verwijderd schreef op zondag 23 juli 2017 @ 19:26:
[...]


Je hebt gedeeltelijk gelijk. Je moet een proxy arp gebruiken:

Proxy ARP is a technique by which a device on a given network answers the ARP queries for an IP address that is not on that network.

Wikipedia: Proxy ARP

Nee, prutser, zo hoort het OOK niet te werken. Ga jij nou maar gewoon even leren hoe routering werkt, en kom dan terug. Ik kan je het CCNA boek van Todd Lammle aanraden.

Edit: Slinger maar eens wireshark aan op je PC, en doe een request naar een random IP op het internet (dus buiten de RFC1918 adresruimte). Je zal dan zien dat er geen proxy arp aan te pas komt.

[ Voor 14% gewijzigd door TommyboyNL op 23-07-2017 19:29 ]

[Vorkie]

Dus nat achter nat en daarover een vpn tunnel?

Kan je eens de tunnelstatus op de asa bekijken of beide negotiations gelukt zijn en dus volledig up is.

Verder moeten de cliënts wel de asa als gateway hebben en niet het ziggo modem, dus alles verbonden aan de WiFi van het ziggo modem gaat nooit over de asa heen. (Verklaard misschien dat jij niets in de logging ziet)

Tipje zet dat modem van ziggo in bridge modus, alleen dan ben je wel je WiFi functie kwijt, maar krijgt je Cisco tenminste netjes een niet lokaal gereserveerd publiek ip adres.

[z1rconium]

Verwijderd schreef op zondag 23 juli 2017 @ 18:43:
...
want PC's communiceren op basis van MAC adres, en niet van IP. Wij (mensen) denken van wel, maar op L2 is dat puur MAC.

Een mac/subnet moet je zien als een straat met een postcode (bijv y.y.y.x y=postcode, x= adres).

ARP broadcast vind alleen plaats op dezelfde postcode en dat wil je graag zo houden (veel te veel arp verkeer, gezien de tabellen korte levensduur hebben), wil je naar een ander postcode/adres, dan gebruik je een postkantoor (router), tevens leeft er wat verwarring over routers - het doel van die dingen is het scheiden van netwerken, exact waar TS het dus moet zoeken: routering.

[Lesilhouette]

laurens0619 schreef op zondag 23 juli 2017 @ 19:12:
MBT ARP: Ik denk niet dat je het daar moet zoeken omdat het om verkeer buiten het subnet gaat, dan gaat het direct naar de Default Gateway.

Daarover, het is mij even niet duidelijk of de fritzbox en ASA in beide netwerken ook de default gateway is van de clients. Zo niet, zul je daar op clients niveau (of static routes op router niveau) moeten toevoegen.

Ja, dat is zo.

Vorkie schreef op zondag 23 juli 2017 @ 20:38:
Dus nat achter nat en daarover een vpn tunnel?

Kan je eens de tunnelstatus op de asa bekijken of beide negotiations gelukt zijn en dus volledig up is.

Verder moeten de cliënts wel de asa als gateway hebben en niet het ziggo modem, dus alles verbonden aan de WiFi van het ziggo modem gaat nooit over de asa heen. (Verklaard misschien dat jij niets in de logging ziet)

Tipje zet dat modem van ziggo in bridge modus, alleen dan ben je wel je WiFi functie kwijt, maar krijgt je Cisco tenminste netjes een niet lokaal gereserveerd publiek ip adres.

Hoe doe/zie ik dit op de ASA? Ik meen mij te herinneren (op het moment dat ik in de Fritzbox op apply drukte voor het maken van de tunnel) dat ik wel in de logging zag dat de tunnel correct wordt opgebouwd en de authenticatie gelukt is.
Overigens gaat het om vaste clients. Wifi van de Ziggo modem/router wordt niet gebruikt.

[ Voor 50% gewijzigd door Lesilhouette op 24-07-2017 11:05 ]

[Vorkie]

Lesilhouette schreef op maandag 24 juli 2017 @ 10:57:
[...]

Ja, dat is zo.


[...]

Hoe doe/zie ik dit op de ASA? Ik meen mij te herinneren (op het moment dat ik in de Fritzbox op apply drukte voor het maken van de tunnel) dat ik wel in de logging zag dat de tunnel correct wordt opgebouwd en de authenticatie gelukt is.
Overigens gaat het om vaste clients. Wifi van de Ziggo modem/router wordt niet gebruikt.

En welke gateway hebben die vaste clients?

Verder kan je dat opzoeken van de tunnel status wel eventjes Googlen lijkt mij

[Lesilhouette]

Vorkie schreef op maandag 24 juli 2017 @ 11:14:
[...]

En welke gateway hebben die vaste clients?

Verder kan je dat opzoeken van de tunnel status wel eventjes Googlen lijkt mij

Respectievelijk de asa en fritzbox.

---

Tunnel output:

ASA# show run crypto map
crypto map Outside_map 3 match address Outside_cryptomap
crypto map Outside_map 3 set pfs
crypto map Outside_map 3 set peer 80.101.x.x
crypto map Outside_map 3 set ikev1 transform-set ESP-3DES-SHA
crypto map Outside_map 3 set nat-t-disable
crypto map Outside_map 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP
crypto map Outside_map interface Outside

ASA# show vpn-sessiondb l2l

Session Type: LAN-to-LAN

Connection : 80.101.67.101
Index : 812 IP Addr : 80.101.x.x
Protocol : IKEv1 IPsec
Encryption : IKEv1: (1)AES256 IPsec: (1)3DES
Hashing : IKEv1: (1)SHA1 IPsec: (1)SHA1
Bytes Tx : 0 Bytes Rx : 0
Login Time : 11:18:25 CEDT Mon Jul 24 2017
Duration : 0h:05m:34s (had in asdm per ongeluk op logout i.p.v. details gedrukt, vandaar deze korte uptime.)

ASA# show crypto ipsec sa
interface: Outside
Crypto map tag: Outside_map, seq num: 3, local addr: 192.168.178.2

access-list Outside_cryptomap extended permit ip 192.168.2.0 255.255.255.0 192.168.3.0 255.255.255.0
local ident (addr/mask/prot/port): (192.168.2.0/255.255.255.0/0/0)
remote ident (addr/mask/prot/port): (192.168.3.0/255.255.255.0/0/0)
current_peer: 80.101.x.x


#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
#pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
#TFC rcvd: 0, #TFC sent: 0
#Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0
#send errors: 0, #recv errors: 0

local crypto endpt.: 192.168.178.2/0, remote crypto endpt.: 80.101.x.x/0
path mtu 1500, ipsec overhead 58(36), media mtu 1500
PMTU time remaining (sec): 0, DF policy: copy-df
ICMP error validation: disabled, TFC packets: disabled
current outbound spi: 17713CB5
current inbound spi : 4B510B90

inbound esp sas:
spi: 0x4B510B90 (1263602576)
transform: esp-3des esp-sha-hmac no compression
in use settings ={L2L, Tunnel, PFS Group 2, IKEv1, }
slot: 0, conn_id: 3325952, crypto-map: Outside_map
sa timing: remaining key lifetime (kB/sec): (4374000/3206)
IV size: 8 bytes
replay detection support: Y
Anti replay bitmap:
0x00000000 0x00000001
outbound esp sas:
spi: 0x17713CB5 (393297077)
transform: esp-3des esp-sha-hmac no compression
in use settings ={L2L, Tunnel, PFS Group 2, IKEv1, }
slot: 0, conn_id: 3325952, crypto-map: Outside_map
sa timing: remaining key lifetime (kB/sec): (4374000/3206)
IV size: 8 bytes
replay detection support: Y
Anti replay bitmap:
0x00000000 0x00000001

---