Newsgroup: it.comp.reti.cisco
Titolo: Problema VPN ASA

Vorrei solo far partire la vpn di Cisco.
La configurazione è quella riportata sotto :
Tutto funziona ed il client di connette, ma una volta connesso non
riesco a pingare nessun ip della rete locale.
Da quello che ho pottuto verificare sul client mi viene assegnato un
gateway sbagliato :
10.1.0.1 invece del gateway di default della mia inside, ovvero
10.1.1.4.
Credo che in autonomia l'asa assegni il primo ip disponibile della
classe di appartenza della pool della vpn :
ip local pool connexia-vpn 10.1.7.1-10.1.7.254 mask 255.255.0.0
Come risolvo questa rottura ???? HELPPP!! !
interface Ethernet0/0
 nameif outside
 security-level 0
 ip address 85.46.127.100 255.255.255.240 standby 85.46.127.110
!
interface Ethernet0/1
 nameif inside
 security-level 100
 ip address 10.1.1.4 255.255.0.0 standby 10.1.1.5
!
ip local pool connexia-vpn 10.1.7.1-10.1.7.254 mask 255.255.0.0
crypto ipsec transform-set xform-3des-md5 esp-3des esp-md5-hmac
crypto dynamic-map dcmap-vpnclient 1 set transform-set xform-3des-md5
crypto map cmap-vpncient 65535 ipsec-isakmp dynamic dcmap-vpnclient
crypto map cmap-vpncient interface outside
crypto isakmp enable outside
crypto isakmp identity address
crypto isakmp nat-traversal 20
crypto isakmp policy 1 authentication pre-share
crypto isakmp policy 1 encryption 3des
crypto isakmp policy 1 hash md5
crypto isakmp policy 1 group 2
crypto isakmp policy 1 lifetime 86400
group-policy group-policy-default internal
group-policy group-policy-default attributes
 banner value Welcome to Connexia
 dns-server value 10.1.3.6 10.1.3.7
 vpn-tunnel-protocol IPSec
 password-storage disable
 re-xauth disable
 pfs disable
 split-tunnel-policy tunnelspecified
 default-domain value 
cnx.com
tunnel-group connexia type ipsec-ra
tunnel-group connexia general-attributes
 address-pool connexia-vpn
 default-group-policy group-policy-default
tunnel-group connexia ipsec-attributes
 pre-shared-key connexia123


Ciao OwL,
di solito configuro un pool di indirizzi dedicato alla vpn in modo che
la subnet inside sia diversa dalla subnet della vpn.
Ad esempio nel tuo caso puoi fare cosi':
Inside Subnet 
10.1.0.0/16
VPN Pool 
10.2.0.0/24
quindi...
ip local pool connexia-vpn 10.2.0.1-10.2.0.254 mask 255.255.255.0
Poi crei una acl e una regola di nat zero per evitare evitare che il
traffico 
10.1.0.0/16
 - 
10.2.0.0/24
 sia nattato.
access-list nonatvpn extended permit ip 10.1.0.0 255.255.0.0 10.2.0.0
255.255.255.0
access-list nonatvpn extended permit ip 10.2.0.0 255.255.255.0
10.1.0.0 255.255.0.0
nat (inside) 0 access-list nonatvpn
ciao...


Ciao Grazie,
avendo settato come global
global (outside) 1 interface
devo mettere:
nat (inside) 1 access-list nonatvpn ?
Grazie 1000
Luigi


Ok funziona, riesco a pingare i miei host interni.... mi dai una
piccola mano per fare uscire i client anche su itnernet ? Grazie
*.* :)


Avrei trovato questo documento :
http://www.cisco.com/en/US/products/ps6120/products_configuration_example09186a00805734ae.shtml
ma ho paura di utilizzarlo nella mi configurazione che al momento
vede :
nat (inside) 0 access-list nonatvpn
nat (inside) 1 10.1.0.0 255.255.0.0
nat (inside) 1 10.11.0.0 255.255.0.0
nat (videonet) 1 10.4.0.0 255.255.0.0
global (outside) 1 interface
Grazie :)

 Luigi

 *.* :)
Vuoi permettere ai client di uscire in internet dopo essersi connessi in 
vpn?

 Grazie :)
Se queste sono le uniche regole di nat non *dovresti* avere problemi 
(fai comunque attenzione!):
nat (outside) 5 10.2.0.0 255.255.255.0
global (outside) 5 ip_pubblico
same-security-traffic permit intra-interface
In più, se hai a disposizione un pool con alcuni indirizzi pubblici 
liberi, ti consiglio di usare diversi indirizzi global (uno per inside, 
un altro per videonet, un altro ancora per nattare i vpn client).
ciao

 ciao
Ecco, funziona tutto !
Grazie Marco, veramente.... sono troppo felice.
:) :) :) :)

 :) :) :) :)
bene!
ciao e a presto