Newsgroup: it.comp.reti.cisco
Titolo: CISCO server VPN.. solo 1 client attivo su 2...

Salve ragazzi... ho problema con le VPN.. ho configurato un CISCO 857
come server VPN (ip pubb. 1.1.1.1) che dovrebbe accettare due tunnel
IPSEC dai client, sempre CISCO 857, con ip pubb. 2.2.2.2 e 3.3.3.3.
Le configurazioni sui client sono identiche.. ma sul server una
connessione e' attiva e l altra e' in IDLE...
Come faccio a renderle attive entrambe?
Di sguito  vi riporto un "sh crypto session detail" e la
configurazione del server VPN..(ho eliminato le acl per capire dov'e'
il problema..)
ciao e grazie a tutti...
Interface: Dialer0
Session status: UP-IDLE
Peer: 3.3.3.3 port 500 fvrf: (none) ivrf: (none)
      Phase1_id: 3.3.3.3
      Desc: (none)
  IKE SA: local 
1.1.1.1/500
 remote 
3.3.3.3/500
 Active
          Capabilities:(none) connid:2011 lifetime:08:21:52
  IPSEC FLOW: permit ip 
10.0.10.0/255.255.255.0
10.0.40.0/255.255.255.0
        Active SAs: 0, origin: crypto map
        Inbound:  #pkts dec'ed 1378 drop 55 life (KB/Sec) 0/0
        Outbound: #pkts enc'ed 1339 drop 0 life (KB/Sec) 0/0
  IPSEC FLOW: permit ip 
10.0.10.0/255.255.255.0
10.0.40.0/255.255.255.0
        Active SAs: 0, origin: crypto map
        Inbound:  #pkts dec'ed 1378 drop 55 life (KB/Sec) 0/0
        Outbound: #pkts enc'ed 1339 drop 0 life (KB/Sec) 0/0
Interface: Dialer0
Session status: UP-ACTIVE
Peer: 2.2.2.2 port 500 fvrf: (none) ivrf: (none)
      Phase1_id: 2.2.2.2
      Desc: (none)
  IKE SA: local 
1.1.1.1/500
 remote 
2.2.2.2/500
 Active
          Capabilities:(none) connid:2008 lifetime:04:50:05
  IPSEC FLOW: permit ip 
10.0.10.0/255.255.255.0
10.0.50.0/255.255.255.0
        Active SAs: 2, origin: crypto map
        Inbound:  #pkts dec'ed 645 drop 0 life (KB/Sec) 4517017/3056
        Outbound: #pkts enc'ed 774 drop 0 life (KB/Sec) 4516981/3056
  IPSEC FLOW: permit ip 
10.0.10.0/255.255.255.0
10.0.50.0/255.255.255.0
        Active SAs: 2, origin: crypto map
        Inbound:  #pkts dec'ed 645 drop 0 life (KB/Sec) 4517017/3056
        Outbound: #pkts enc'ed 774 drop 0 life (KB/Sec) 4516981/3056
SERVER VPN Conf.
!
version 12.4
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname CiscoAdarshi
!
boot-start-marker
boot-end-marker
!
logging buffered 51200 warnings
!
aaa new-model
!
!
aaa authentication ppp default local
!
aaa session-id common
!
resource policy
!
no ip dhcp use vrf connected
ip dhcp excluded-address 10.0.10.1 10.0.10.49
ip dhcp excluded-address 10.0.10.101 10.0.10.254
!
ip dhcp pool A_SRLAN
   import all
   network 10.0.10.0 255.255.255.0
   dns-server 194.72.0.98 194.72.9.38 10.0.10.1
   default-router 10.0.10.254
   lease 2
!
!
ip cef
ip inspect name IDS tcp
ip inspect name IDS udp alert on
ip inspect name IDS tftp
ip domain name 
domain.com
ip name-server 194.72.0.98
ip name-server 194.72.9.38
ip name-server 10.0.10.1
vpdn enable
!
vpdn-group dial-in-client
! Default PPTP VPDN group
 accept-dialin
  protocol pptp
  virtual-template 1
!
!
!
crypto pki trustpoint TP-self-signed-3996847148
*************
!
!
crypto pki certificate chain TP-self-signed-3996847148
 **********
  quit
username ********** privilege 15 secret *********
username vpn****** password **********
!
!
!
crypto isakmp policy 1
 encr 3des
 authentication pre-share
 group 2
crypto isakmp key ******** address 2.2.2.2
crypto isakmp key ******** address 3.3.3.3
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
!
crypto map ipsec-maps 20 ipsec-isakmp
 description Adarshi-Butterfly
 set peer 3.3.3.3
 set transform-set ESP-3DES-SHA
 match address Adarshi-Butterfly
crypto map ipsec-maps 30 ipsec-isakmp
 description Adarshi-Fourways
 set peer 2.2.2.2
 set transform-set ESP-3DES-SHA
 match address Adarshi-Fourways
!
bridge irb
!
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 dsl operating-mode auto
!
interface ATM0.1 point-to-point
 descriptionES_WAN
 no snmp trap link-status
 pvc 0/38
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface Virtual-Template1
 ip unnumbered BVI1
 peer default ip address pool dial-in-pool
 ppp encrypt mppe auto
 ppp authentication chap ms-chap-v2
!
interface Dot11Radio0
 no ip address
 !
 broadcast-key vlan 1 change 45
 !
 !
 encryption vlan 1 mode ciphers tkip
 !
 ssid SRWiFi
    vlan 1
    authentication open
    authentication key-management wpa
    guest-mode
    wpa-psk ascii **********
 !
 speed basic-1.0 basic-2.0 basic-5.5 6.0 9.0 basic-11.0 12.0 18.0 24.0
36.0 48.0 54.0
 station-role root
!
interface Dot11Radio0.1
 encapsulation dot1Q 1 native
 no snmp trap link-status
 no cdp enable
 bridge-group 1
 bridge-group 1 subscriber-loop-control
 bridge-group 1 spanning-disabled
 bridge-group 1 block-unknown-source
 no bridge-group 1 source-learning
 no bridge-group 1 unicast-flooding
!
interface Vlan1
 description A_SRVLAN
 no ip address
 ip tcp adjust-mss 1452
 bridge-group 1
!
!
interface Dialer0
 ip address 1.1.1.1 255.255.255.254
 ip inspect IDS out
 ip nat outside
 ip virtual-reassembly
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 no cdp enable
 ppp authentication chap pap callin
 ppp chap hostname ***********
 ppp chap password *********
 ppp pap sent-username ************************
 crypto map ipsec-maps
!
interface BVI1
 description A_SRBVI
 ip address 10.0.10.254 255.255.255.0
 ip nat inside
 ip virtual-reassembly
!
ip local pool dial-in-pool 10.0.10.200 10.0.10.220
ip route 0.0.0.0 0.0.0.0 Dialer0
!
ip http server
ip http authentication local
ip http secure-server
ip http timeout-policy idle 5 life 86400 requests 10000
ip nat translation timeout 300
ip nat translation tcp-timeout 120
ip nat translation syn-timeout 120
ip nat translation icmp-timeout 180
ip nat translation max-entries 5000
ip nat inside source route-map A_RMAP interface Dialer0 overload
!
ip access-list extended Adarshi-Butterfly
 permit ip 10.0.10.0 0.0.0.255 10.0.40.0 0.0.0.255
ip access-list extended Adarshi-Fourways
 permit ip 10.0.10.0 0.0.0.255 10.0.50.0 0.0.0.255
!
access-list 100 remark ****  denat  ****
access-list 100 deny   ip 10.0.10.0 0.0.0.255 10.0.20.0 0.0.0.255
access-list 100 deny   ip 10.0.10.0 0.0.0.255 10.0.40.0 0.0.0.255
access-list 100 deny   ip 10.0.10.0 0.0.0.255 10.0.50.0 0.0.0.255
access-list 100 permit ip 10.0.10.0 0.0.0.255 any
dialer-list 100 protocol ip permit
no cdp run
route-map A_RMAP permit 1
 match ip address 100
!
!
control-plane
!
bridge 1 protocol ieee
bridge 1 route ip
!
line con 0
 no modem enable
line aux 0
line vty 0 4
 privilege level 15
 transport input telnet ssh
!
scheduler max-task-time 5000
end

 il problema..)
Non sono abituato ad usare quel comando per cui potrei sbagliarmi, la mia 
impressione è che semplicemente la parola IDLE indica che quella vpn non ha 
fatto traffico da un po' di tempo e quindi i router non hanno rinnovato le 
security associations relative, se è come dico io basta generare del 
traffico e dovresti vedere sparire la tanto temuta parola IDLE.
Dico questo anche perchè vedo che quel tunnel ha fatto traffico in passato, 
quindi sembra funzionare regolarmente.
Ciao,
         Tosh. 

          Tosh.
ciao... grazie per la risposta..
vedi del trafico perche' prima di istanziare due crypto map ... le ho
configurate una alla volta..
Con un solo tunnel.. tutto funziona.. ma qunado le abilito
insime..qulcosa non funza..
secondo me e' qualcosa legato a
crypto isakmp key ******** address 2.2.2.2
crypto isakmp key ******** address 3.3.3.3
forse dovrei creare due crypto isakmp policy tipo questa conf che ho
trovato in giro..
crypto isakmp enable
crypto isakmp policy 10
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 28800 (default)
crypto isakmp identity address (specifies use of remote WAN IP)
crypto isakmp key 1234 address 22.23.24.25 (Remote WAN IP)
crypto isakmp keepalive 3600 (max. default)
crypto ipsec df-bit clear (helps guard against packet loss)
crypto isakmp enable
crypto isakmp policy 20
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 28800 (default)
crypto isakmp identity address (specifies use of remote WAN IP)
crypto isakmp key 4321 address 25.24.23.22 (Remote WAN IP)
crypto isakmp keepalive 3600 (max. default)
crypto ipsec df-bit clear (helps guard against packet loss)
che  ne pensi?
Ciao

>che  ne pensi?
Penso che non c'è nulla di assoluto e che tutto potrebbe essere, ma le tue 
config sembrano a posto.
Comunque se hai un problema ce l'hai nell'ipsec, non nell'isakmp.
Se hai la possibilità prova a cambiare ios, magari ti sei imbattuto in un 
bug.
Ciao,
         Tosh. 


A parte alcune modifiche cmq non rilevanti ai fini della connessione
VPN...
era tutto corretto... e come dicevi tu..dovevo solo creare traffico..
io effettuavo senza esito positivo, dei ping direttamente da router a
router..  del tipo:
dal router server vpn (10.0.10.254) pingavo il router client vpn
(10.0.40.254)...
effettuando invece, ping direttamente dagli host.. tutto funziona alla
grande...
Veramnte non ho capito perche' direttamente dal router (client o
server vpn che sia) non riesco a pingare il router remoto (server o
client vpn che sia)..
Forse perche' direttamente dal router segue la route di default..
ma! ..non saprei..
Cmq grazie Tosh per il supporto.
Ciao

client vpn che sia)..
Semplicemente perchè i ping prendono come ip sorgente quello 
dell'interfaccia di uscita, nel tuo caso la dialer0, traffico che non 
soddisfa le regole che hai creato e quindi viene ignorato.
Prova con "ping ip x.x.x.x source bvi1"
Ciao,
         Tosh. 


figo...hai ragione!!!funziona..
be'..grz mille per il supporto e alla prox :)