Newsgroup: it.comp.reti.cisco
Titolo: ipsec-spoof detect

Salve,
su un asa 5005 ho creato una vpn ipsec ra.
Quando sul client provo a connettermi il lucchetto si chiude, riesco a 
pingare le macchine remote, ma non riesco in nessum modo a connettermi 
con un qualche servizio (http,rdp ecc ecc).
Con il packet tracer dell'ADSM ho provato a simulare il percorso ed in 
tutti gli step ho risultato positivo, nell'ultimo mi viene detto che il 
pacchetto è stato droppato l'info è ipsec-spoof detect.
Somo anduato sul sito della cisco ed non ho trovato molto, il consiglio 
che danno è d'indagare sulla conformazione della rete ...
Avete avuto già problemi di questo tipo ?
Grazie
Simone


Problemi di questo tipo no, ed io uso i router per terminare le VPN, ma il
suggerimento "generico" trovato sul sito Cisco mi pare azzeccatissimo.
I tunnel li fa e Il routing per i client VPN è OK (se pinga...)
Il tipo di errore mi sugerisce che del traffico che dovrebbe essere
criptato, non viene criptato.
Questo mi suggerisce una discrepanza tra le tabelle di routing e lo
spit-tunnel.
Immagno che tu ti ritrovi una tabella di routing corretta in quanto il
client automaticamente inserisce la propria rotta all'atto della creazione
del tunnel...
Quando i pacchetti vengono indirizzati verso il client però, lo split-tunnel
determina che solo i pacchetti di un certo tipo vengano criptati (magari
solo il ping...). Traffici come http o rdp magari non vengono criptati...
Un pacchetto routato correttamente ma non cryptato sulla rotta della VPN non
ci passa...
"ipsec-spoof detect" mi suona proprio come "mi aspettavo un pacchetto
cryptato, ma questo non lo è".
Quindi, il mio suggerimento è: controlla lo split-tunnel, le crypto-acl.
Non avendo mai avuto il problema, non so essere più specifico.
Spero che possa essere utile a risolvere il tuo problema.
JOSabor
p.s.: non è che per caso sulla interfaccia dove terminano le VPN c'è anche
un NAT? Se si, cià che ci sei prova a rivedere la route-map...
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

Se applichi un 'capture' sull'interfaccia inside, cosa vedi?
conf t
cap pippo int inside
e poi,
sh cap pippo
ciao
Assice

 un NAT? Se si, cià che ci sei prova a rivedere la route-map...
Cosa intendi ?
Grazie
Simone
PS:
Dimenticavo di dire che sull'apparato è configurata una vpn site-to-site
che funziona bene,

assice ha scritto:

Ho fatto qulcosa di simile sul PC con installato il vpnclient
con uno sniffer;
il risultato è che quando apro una connessione il client
manda il SYN e non riceve niente di ritorno, dopo 3 volte va in
timeout
Ciao
Simone

riesci a fare anche una cattura sull'inside dell'ASA?

 riesci a fare anche una cattura sull'inside dell'ASA?
Ciao,
ecco un capture sull'interfaccia inside dell'asa,
come vedi il ping va benissimo rdp no ... ;-(
Ciao
Simone
   3: 16:11:20.154548 802.1Q vlan#1 P0 192.168.10.1.50472 > 
10.213.42.144.3389: S 1852722149:1852722149(0) win 5264 <mss 
1316,sackOK,timestamp 7043688 0,nop,wscale 2>
    4: 16:11:23.153815 802.1Q vlan#1 P0 192.168.10.1.50472 > 
10.213.42.144.3389: S 1852722149:1852722149(0) win 5264 <mss 
1316,sackOK,timestamp 7046688 0,nop,wscale 2>
    5: 16:11:29.153037 802.1Q vlan#1 P0 192.168.10.1.50472 > 
10.213.42.144.3389: S 1852722149:1852722149(0) win 5264 <mss 
1316,sackOK,timestamp 7052688 0,nop,wscale 2>
    6: 16:11:41.149680 802.1Q vlan#1 P0 192.168.10.1.50472 > 
10.213.42.144.3389: S 1852722149:1852722149(0) win 5264 <mss 
1316,sackOK,timestamp 7064688 0,nop,wscale 2>
    7: 16:12:05.144340 802.1Q vlan#1 P0 192.168.10.1.50472 > 
10.213.42.144.3389: S 
3434191727
:
3434191727
(0) win 5264 <mss 
1316,sackOK,timestamp 7088688 0,nop,wscale 2>
    8: 16:12:53.132347 802.1Q vlan#1 P0 192.168.10.1.50472 > 
10.213.42.144.3389: S 
3035369602
:
3035369602
(0) win 5264 <mss 
1316,sackOK,timestamp 7136688 0,nop,wscale 2>
    9: 16:14:37.935666 802.1Q vlan#1 P0 192.168.10.1 > 
10.213.42.144
: 
icmp: echo request
   10: 16:14:37.935864 802.1Q vlan#1 P0 10.213.42.144 > 
192.168.10.1
: 
icmp: echo reply
   11: 16:14:38.935544 802.1Q vlan#1 P0 192.168.10.1 > 
10.213.42.144
: 
icmp: echo request
   12: 16:14:38.935681 802.1Q vlan#1 P0 10.213.42.144 > 
192.168.10.1
: 
icmp: echo reply
   13: 16:14:39.935605 802.1Q vlan#1 P0 192.168.10.1 > 
10.213.42.144
: 
icmp: echo request
   14: 16:14:39.935742 802.1Q vlan#1 P0 10.213.42.144 > 
192.168.10.1
: 
icmp: echo reply

Secondo me il packet tracer ti ha portato fuori strada,
Come si vede dal capture, il client non ti risponde, riceve il SYN e se 
ne sta zitto.
Tieni presente che il capture lavora a livello molto basso 
sull'interfaccia, quindi darei per certo che effettivamente non torna 
indietro nulla dal PC. Non credo che ci possano essere altri processi 
sull'ASA, che possano intercettare la risposta del PC.
A questo punto investiga sul client. Escludendo problemi di routing, 
visto che il ping funziona, mi viene in mente un personal firewall, che 
non accetta sessioni RDP da reti diverse dalla propria o cose del genere.
ciao
Assice
Simone Stanzani ha scritto:
