[VPN] werkt een klein beetje? (Cisco 1721)

[tim-w]

Ik heb een Cisco1721, met ADSL module.
De adsl verbinding werkt perfect, en ik ben nu al een tijdje bezig een VPN op te zetten met een andere locatie.
Op die andere locatie staat een Netscreen firewall die de tunnel verzorgd. Deze heeft al meerdere VPN's draaien met meerdere locaties.

Echter met mijn locatie gaat er steeds iets fout.
Ik heb zowel Cisco SDM gebruikt als de gewone terminal om de verbinding in te stellen,
maar telkens krijg ik hetzelfde resultaat:
(lokale subnet: 192.168.16.0/24, subnet aan andere zijde: 192.168.12.0/24)

Als ik een ping verstuur vanaf een computer vanaf het locale netwerk (met natuurlijk de router als gateway ingesteld) krijg ik maar eens in de zoveel tijd een respons:

code:

Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Reply from 192.168.12.100: bytes=32 time=49ms TTL=126
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Reply from 192.168.12.100: bytes=32 time=55ms TTL=126
Request timed out.

[*knip* heleboel timeouts]

Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Reply from 192.168.12.100: bytes=32 time=50ms TTL=126
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.

Ping statistics for 192.168.12.100:
    Packets: Sent = 382, Received = 3, Lost = 379 (99% loss),
Approximate round trip times in milli-seconds:
    Minimum = 49ms, Maximum = 55ms, Average = 51ms
Control-C
^C

Als ik in de SDM kijk, krijg ik duidelijk te zien dat de verbinding 'up' is.
Een client aan de andere kant kan wel het interne adres van mijn router (192.168.16.1) pingen zonder problemen, maar geen clients in mijn netwerk.
Eerst dacht ik dat dat dan aan NAT zou liggen, maar daar staat een juiste Route-Map ingesteld, die ervoor zorgd dat er geen NAT plaatsvind voor verkeer naar subnet 192.168.12.0/24.

Natuurlijk heb ik ook mijn ACL's nagekeken, en uit wanhoop zelfs op Allow All All gezet (voor beide zijden) maar dit ook zonder enig resultaat.

Ik heb alle instellingen nagelopen ook met deze handleiding van Cisco:
http://www.cisco.com/en/U...pter09186a008032a106.html
Maar ook zonder resultaat.

We gebruiken aan beide zijden dezelfde encryptiemethode (3Des), en dezelfde transform-set
(esp-3des esp-sha-hmac).

Kent iemand dit probleem, of misschien de oplossing?

[edit] kleine aanvulling:

Als ik via SDM de vpnTest uitvoer, krijg ik deze melding:
A ping with data size of this VPN interface MTU size and 'Do not Fragment' bit set to the other end VPN device is failing. This may happen is there is a lesser MTU network which drops the 'Do not Fragment' packets.

Oplossing die wordt gegeven:

Issue the command 'crypto ipsec df-bit clear' under the VPN interface to avoid packets drop due to fragmentation.

ook dat heb ik geprobeerd, zonder resultaat...

[ Voor 40% gewijzigd door tim-w op 22-12-2004 10:38 . Reden: kleine aanvulling ]

[Steven]

Post is de uitslag van een trace naar dat IP adres (tracert in Windows toch?) en de uitslag van ping -w 5000 -t <ip-adres>.

[tim-w]

code:

Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\Tim>ping -w 5000 192.168.12.100 -t

Pinging 192.168.12.100 with 32 bytes of data:

Request timed out.
Reply from 192.168.12.100: bytes=32 time=59ms TTL=126
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Request timed out.

Ping statistics for 192.168.12.100:
    Packets: Sent = 9, Received = 1, Lost = 8 (88% loss),
Approximate round trip times in milli-seconds:
    Minimum = 59ms, Maximum = 59ms, Average = 59ms
Control-C
^C
C:\Documents and Settings\Tim>tracert 192.168.12.100

Tracing route to 192.168.12.100 over a maximum of 30 hops

  1     1 ms     1 ms     1 ms  192.168.16.1
  2     *        *        *     Request timed out.
  3     *        *        *     Request timed out.
  4     *        *        *     Request timed out.
  5     *        *        *     Request timed out.
  6     *        *        *     Request timed out.
  7     *        *        *     Request timed out.
  8  ^C
C:\Documents and Settings\Tim>

ik zie in de ping geen verschil, ook niet met deze langere timeout...
tracert komt niet verder dan 192.168.16.1, dat is het interne adres van mijn router.

[ Voor 8% gewijzigd door tim-w op 22-12-2004 11:01 ]

[PsychoG]

MTU size misschien!? Laatst ook wat narigheid mee gehad.

[Verwijderd]

Ik zou maar eens gaan debuggen op de cisco, mogenlijk kun je zichtbaar maken waar het fout gaat op de heen of de terug weg.

[Verwijderd]

Een gewone ping is maar 32bytes oid. MTU problemen treden bij die packet size niet op.

Je kan wel de router aan de overkant pingen=> De VPN tunnel is dus op

Staat de DG echt goed ingesteld aan beide kanten?
Doet een van je tunnel endpoints niet toevallig NAT voor verkeer over de tunnel?

[tim-w]

MTU size voor externe interface op 1492 gezet, nu krijg ik iets meer ping resultaten...
enig idee wat de juiste waarde hiervoor is?

Default Gateway staat bij beiden ingesteld op externe interface.
Extra route aangemaakt voor de VPN netwerken, ook naar ext. interface.

[ Voor 35% gewijzigd door tim-w op 22-12-2004 14:29 ]

[Verwijderd]

FWIW
Bij XS4all pptp adsl verbinding in combinatie met winroute4.x moest ik op de clients terug naar mtu=1372

[PsychoG]

De VPN Cliënt van Cisco zelf zet de MTU op 1300.

[tim-w]

Nog een beetje wezen spelen met MTU, maar ik kom er niet uit, het probleem blijft

[MeatGrinder]

Post je config.