Frage : Probleme, die L2L IPSec VPN von Cisco PIX auf Cisco ASA 5520, schließend von Cisco 877 verschieben an

Liebe Experten,

We hatten verschiedene Fernaufstellungsorte (Cisco 800s) an unsere Brandmauer Hauptquartier-PIX über IPSec VPN anzuschließen und sind jetzt bei dem Abweichen des Hauptquartiers zu einem neuen Internet-Stromkreis und zu Cisco ASA 5520 v8.3 (1).  

I erreichte, drei aus den vier Tunnels heraus auf die ASA, aber morgens zu verschieben gehaftet auf dem letzten, trotz der Konfiguration, die scheint, annehmbar zu sein.  Es konnte bedeutend sein, aber die 877, die gaben fraglich sind wirklich, etwas Mühe, als es zuerst an das PIX irgendeine Zeitrückseite angeschlossen wurde.  Die Störung schaute bis das gegenwärtige ähnlich, das unten geklebt wurde und wurde schließlich indem sie das PIX Geschenk sein IP address zum Ferngleichen, eher als das hostname gelöst, bildete.  Jedoch scheint dieser Trick nicht, mit ASA.

It aussehen wie ISAKMP Phase 1 zu arbeiten abschließt nicht, obgleich die Parameter für den Antrag match.

Cisco 877 ausprüfen sample
Log Puffer tun (100000 Bytes):

21. Juli 20: 10: 32: ISAKMP: (0): Eingang = IKE_MESG_INTERNAL, IKE_PROCESS_MAIN_MODE
21. Juli 20: 10: 32: ISAKMP: (0): Alter Zustand = neuer Zustand IKE_R_MM1 = IKE_R_MM1

21. Juli 20: 10: 32: ISAKMP: (0): Senden IKE_FRAG Verkäufer ID
des 21. Juli 20: 10: 32: ISAKMP: (0): konstruiertes NAT-T vendor-rfc3947 ID
21. Juli 20: 10: 32: ISAKMP: (0): Schicken des Pakets 2.2.2.2 my_port 500 peer_port 500 (R) MM_SA_SETUP
zum 21. Juli 20: 10: 32: ISAKMP: (0): Senden eines IKE IPv4 Packet.
21. Juli 20: 10: 32: ISAKMP: (0): Eingang = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE
21. Juli 20: 10: 32: ISAKMP: (0): Alter Zustand = neuer Zustand IKE_R_MM1 = IKE_R_MM2

21. Juli 20: 10: 34: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP…
des 21. Juli 20: 10: 34: ISAKMP (0): Fehlerzähler auf sa erhöhend, 4 von 5 versuchen: Phase 1
21. Juli 20 erneut übertragen: 10: 34: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP
des 21. Juli 20: 10: 34: ISAKMP: (0): Schicken des Pakets 2.2.2.2 my_port 500 peer_port 500 (R) MM_SA_SETUP
zum 21. Juli 20: 10: 34: ISAKMP: (0): Senden eines IKE IPv4 Packet.
21. Juli 20: 10: 40: ISAKMP (0): empfangenes Paket 2.2.2.2 dport 500 Sport 500 vom globalen (R) MM_SA_SETUP
21. Juli 20: 10: 40: ISAKMP: (0): Paket der Phase 1 ist ein Duplikat eines vorhergehenden packet.
21. Juli 20: 10: 40: ISAKMP: (0): Erneut übertragen passend, Phase 1
21. Juli 20 erneut zu übertragen: 10: 41: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP…
des 21. Juli 20: 10: 41: ISAKMP (0): Fehlerzähler auf sa erhöhend, 1 von 5 versuchen: Phase 1
21. Juli 20 erneut übertragen: 10: 41: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP
des 21. Juli 20: 10: 41: ISAKMP: (0): Schicken des Pakets 2.2.2.2 my_port 500 peer_port 500 (R) MM_SA_SETUP
zum 21. Juli 20: 10: 41: ISAKMP: (0): Senden eines IKE IPv4 Packet.
21. Juli 20: 10: 44: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP…
des 21. Juli 20: 10: 44: ISAKMP (0): Fehlerzähler auf sa erhöhend, 5 von 5 versuchen: Phase 1
21. Juli 20 erneut übertragen: 10: 44: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP
des 21. Juli 20: 10: 44: ISAKMP: (0): Schicken des Pakets 2.2.2.2 my_port 500 peer_port 500 (R) MM_SA_SETUP
zum 21. Juli 20: 10: 44: ISAKMP: (0): Senden eines IKE IPv4 Packet.
21. Juli 20: 10: 45: ISAKMP: (0): Bereinigen von SA., sa=84F7B828, delme=84F7B828
21. Juli 20: 10: 45: ISAKMP: (0): Bereinigen von SA., sa=834553BC, delme=834553BC
21. Juli 20: 10: 45: ISAKMP: (0): Bereinigen von SA., sa=84CC8650, delme=84CC8650
21. Juli 20: 10: 48: ISAKMP (0): empfangenes Paket 2.2.2.2 dport 500 Sport 500 vom globalen (R) MM_SA_SETUP
21. Juli 20: 10: 48: ISAKMP: (0): Paket der Phase 1 ist ein Duplikat eines vorhergehenden packet.
21. Juli 20: 10: 48: ISAKMP: (0): Erneut übertragen passend, Phase 1
21. Juli 20 erneut zu übertragen: 10: 49: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP…
des 21. Juli 20: 10: 49: ISAKMP (0): Fehlerzähler auf sa erhöhend, 2 von 5 versuchen: Phase 1
21. Juli 20 erneut übertragen: 10: 49: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP
des 21. Juli 20: 10: 49: ISAKMP: (0): Schicken des Pakets 2.2.2.2 my_port 500 peer_port 500 (R) MM_SA_SETUP
zum 21. Juli 20: 10: 49: ISAKMP: (0): Senden eines IKE IPv4 Packet.
21. Juli 20: 10: 54: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP…
des 21. Juli 20: 10: 54: ISAKMP: (0): Gleicher tut nicht paranoides keepalives.

21. Juli 20: 10: 54: ISAKMP: (0): sa-Grund „Tod löschend durch erneute Übertragung P1“, (R) MM_SA_SETUP (Gleicher 2.2.2.2)
21. Juli 20 angeben: 10: 54: ISAKMP: (0): sa-Grund „Tod löschend durch erneute Übertragung P1“, (R) MM_SA_SETUP (Gleicher 2.2.2.2)
21. Juli 20 angeben: 10: 54: ISAKMP: Gleicher struct 0x84CD087C für isadb_mark_sa_deleted freisetzend (), 21. Juli 20 0
: 10: 54: ISAKMP: Löschen des Gleichnullpunktes durch peer_reap für 2.2.2.2: /> 21. Juli 20 84CD087C 21. Juli 20: 10: 54: ISAKMP: (0): Alter Zustand = neuer Zustand IKE_R_MM2 = IKE_DEST_SA

21. Juli 20: 10: 56: ISAKMP (0): empfangenes Paket 2.2.2.2 dport 500 Sport 500 vom globalen (R) MM_SA_SETUP
21. Juli 20: 10: 56: ISAKMP: (0): Paket der Phase 1 ist ein Duplikat eines vorhergehenden packet.
21. Juli 20: 10: 56: ISAKMP: (0): Erneut übertragen passend, Phase 1
21. Juli 20 erneut zu übertragen: 10: 57: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP…
des 21. Juli 20: 10: 57: ISAKMP (0): Fehlerzähler auf sa erhöhend, 3 von 5 versuchen: Phase 1
21. Juli 20 erneut übertragen: 10: 57: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP
des 21. Juli 20: 10: 57: ISAKMP: (0): Schicken des Pakets 2.2.2.2 my_port 500 peer_port 500 (R) MM_SA_SETUP
zum 21. Juli 20: 10: 57: ISAKMP: (0): Senden eines IKE IPv4 Packet.
21. Juli 20: 11: 05: ISAKMP (0): empfangenes Paket 2.2.2.2 dport 500 Sport 500 vom globalen (N) NEUEN SA
21. Juli 20: 11: 05: ISAKMP: Verursachte ein Gleicher struct für 2.2.2.2, Gleichen Port/> 21. Juli 20 500 21. Juli 20 0x80000126k
21. Juli 20: 11: 05: ISAKMP: lokaler Hafen 500, Fernhafen 500
21. Juli 20: 11: 05: ISAKMP: Verdopplung sa im avl Baum während des Benennens isadb_insert/> des 21. Juli 20 sa = 834553BC
21. Juli 20: 11: 05: ISAKMP: (0): Alter Zustand = IKE_READY neuer Zustand = IKE_R_MM1

21. Juli 20: 11: 05: ISAKMP: (0): Verarbeitung der SA-Nutzlast. Mitteilung/> 21. Juli 20 Identifikation = 0 des 21. Juli 20: 11: 05: ISAKMP: (0): Verkäufer Identifikation scheint, Unity/DPD aber major 123 mismatch
21. Juli 20: 11: 05: ISAKMP: (0): Verkäufer Identifikation ist NAT-T v2
21. Juli 20: 11: 05: ISAKMP: (0): Verarbeitung Verkäufer Identifikation payload
des 21. Juli 20: 11: 05: ISAKMP: (0): Verkäufer Identifikation scheint, Unity/DPD aber major 157 mismatch
21. Juli 20: 11: 05: ISAKMP: (0): Verkäufer Identifikation ist NAT-T v3
21. Juli 20: 11: 05: ISAKMP: (0): Verarbeitung Verkäufer Identifikation payload
des 21. Juli 20: 11: 05: ISAKMP: (0): Verkäufer Identifikation scheint, Unity/DPD aber major 69 mismatch
21. Juli 20: 11: 05: ISAKMP (0): Verkäufer Identifikation ist NAT-T RFC 3947
21. Juli 20: 11: 05: ISAKMP: (0): Verarbeitung Verkäufer Identifikation payload
des 21. Juli 20: 11: 05: ISAKMP: (0): Verarbeitung IKE frag Verkäufer Identifikation payload
des 21. Juli 20: 11: 05: ISAKMP: (0): Verkäufer Identifikation ist IKE Fragmentation
21. Juli 20: 11: 05: ISAKMP: (0): Morgens Zerteilung supported
21. Juli 20: 11: 05: ISAKMP: (0): gefundenes Gleicher pre-shared zusammenpassendes 2.2.2.2
Schlüssel21. Juli 20: 11: 05: ISAKMP: (0): lokales preshared Schlüsselfound
21. Juli 20: 11: 05: ISAKMP: Scannenprofile für xauth… isakmp isakmp_2
21. Juli 20: 11: 05: ISAKMP: (0): Überprüfend wandeln ISAKMP 1 gegen Priorität 8 policy
21. Juli 20 um: 11: 05: ISAKMP:      Ersatzgruppe 5
21. Juli 20: 11: 05: ISAKMP:      Verschlüsselung AES-CBC
21. Juli 20: 11: 05: ISAKMP:      keylength/> des 21. Juli 20 256 21. Juli 20: 11: 05: ISAKMP:      auth pre-share
21. Juli 20: 11: 05: ISAKMP:      das Leben tippen seconds
21. Juli 20 ein: 11: 05: ISAKMP:      Lebendauer (VPI) 0x1 0x51 0x80
des 21. Juli 20 0x0: 11: 05: ISAKMP: (0): Der angebotene Verschlüsselungalgorithmus bringt nicht Politik zusammen!
21. Juli 20: 11: 05: ISAKMP: (0): atts sind nicht annehmbar. Folgende Nutzlast ist/> 21. Juli 20 3 21. Juli 20 um: 11: 05: ISAKMP:      Ersatzgruppe 2
21. Juli 20: 11: 05: ISAKMP:      Verschlüsselung 3DES-CBC
21. Juli 20: 11: 05: ISAKMP:      Durcheinander MD5
21. Juli 20: 11: 05: ISAKMP:      auth pre-share
21. Juli 20: 11: 05: ISAKMP:      das Leben tippen seconds
21. Juli 20 ein: 11: 05: ISAKMP:      Lebendauer (VPI) 0x1 0x51 0x80
des 21. Juli 20 0x0: 11: 05: ISAKMP: (0): atts sind annehmbar. Folgende Nutzlast ist/> 21. Juli 20 0 21. Juli 20 0 21. Juli 20 0 21. Juli 20 4 21. Juli 20 86400 21. Juli 20 86400
21. Juli 20 86400. des 21. Juli 20: 11: 05: ISAKMP: (0): Verkäufer Identifikation scheint, Unity/DPD aber major 123 mismatch
21. Juli 20: 11: 05: ISAKMP: (0): Verkäufer Identifikation ist NAT-T v2
21. Juli 20: 11: 05: ISAKMP: (0): Verarbeitung Verkäufer Identifikation payload
des 21. Juli 20: 11: 05: ISAKMP: (0): Verkäufer Identifikation scheint, Unity/DPD aber major 157 mismatch
21. Juli 20: 11: 05: ISAKMP: (0): Verkäufer Identifikation ist NAT-T v3
21. Juli 20: 11: 05: ISAKMP: (0): Verarbeitung Verkäufer Identifikation payload
des 21. Juli 20: 11: 05: ISAKMP: (0): Verkäufer Identifikation scheint, Unity/DPD aber major 69 mismatch
21. Juli 20: 11: 05: ISAKMP (0): Verkäufer Identifikation ist NAT-T RFC 3947
21. Juli 20: 11: 05: ISAKMP: (0): Verarbeitung Verkäufer Identifikation payload
des 21. Juli 20: 11: 05: ISAKMP: (0): Verarbeitung IKE frag Verkäufer Identifikation payload
des 21. Juli 20: 11: 05: ISAKMP: (0): Verkäufer Identifikation ist IKE Fragmentation
21. Juli 20: 11: 05: ISAKMP: (0): Morgens Zerteilung supported
21. Juli 20: 11: 05: ISAKMP: (0): Eingang = IKE_MESG_INTERNAL, IKE_PROCESS_MAIN_MODE
21. Juli 20: 11: 05: ISAKMP: (0): Alter Zustand = neuer Zustand IKE_R_MM1 = IKE_R_MM1

21. Juli 20: 11: 05: ISAKMP: (0): Senden IKE_FRAG Verkäufer ID
des 21. Juli 20: 11: 05: ISAKMP: (0): konstruiertes NAT-T vendor-rfc3947 ID
21. Juli 20: 11: 05: ISAKMP: (0): Schicken des Pakets 2.2.2.2 my_port 500 peer_port 500 (R) MM_SA_SETUP
zum 21. Juli 20: 11: 05: ISAKMP: (0): Senden eines IKE IPv4 Packet.
21. Juli 20: 11: 05: ISAKMP: (0): Eingang = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE
21. Juli 20: 11: 05: ISAKMP: (0): Alter Zustand = neuer Zustand IKE_R_MM1 = IKE_R_MM2

21. Juli 20: 11: 07: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP…
des 21. Juli 20: 11: 07: ISAKMP (0): Fehlerzähler auf sa erhöhend, 4 von 5 versuchen: Phase 1
21. Juli 20 erneut übertragen: 11: 07: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP
des 21. Juli 20: 11: 07: ISAKMP: (0): Schicken des Pakets 2.2.2.2 my_port 500 peer_port 500 (R) MM_SA_SETUP
zum 21. Juli 20: 11: 07: ISAKMP: (0): Senden eines IKE IPv4 Packet.
21. Juli 20: 11: 13: ISAKMP (0): empfangenes Paket 2.2.2.2 dport 500 Sport 500 vom globalen (R) MM_SA_SETUP
21. Juli 20: 11: 13: ISAKMP: (0): Paket der Phase 1 ist ein Duplikat eines vorhergehenden packet.
21. Juli 20: 11: 13: ISAKMP: (0): Erneut übertragen passend, Phase 1
21. Juli 20 erneut zu übertragen: 11: 14: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP…
des 21. Juli 20: 11: 14: ISAKMP (0): Fehlerzähler auf sa erhöhend, 1 von 5 versuchen: Phase 1
21. Juli 20 erneut übertragen: 11: 14: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP
des 21. Juli 20: 11: 14: ISAKMP: (0): Schicken des Pakets 2.2.2.2 my_port 500 peer_port 500 (R) MM_SA_SETUP
zum 21. Juli 20: 11: 14: ISAKMP: (0): Senden eines IKE IPv4 Packet.
21. Juli 20: 11: 17: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP…
des 21. Juli 20: 11: 17: ISAKMP (0): Fehlerzähler auf sa erhöhend, 5 von 5 versuchen: Phase 1
21. Juli 20 erneut übertragen: 11: 17: ISAKMP: (0): Erneut übertragen Phase 1 MM_SA_SETUP
des 21. Juli 20: 11: 17: ISAKMP: (0): Schicken des Pakets 2.2.2.2 my_port 500 peer_port 500 (R) MM_SA_SETUP
zum 21. Juli 20: 11: 17: ISAKMP: (0): Ein IKE IPv4 Packet.

Cisco ASA 5520 sendend, sample
21. Juli 19 ausprüfen: 01: 53 [IKEv1 PRÜFEN] aus: Krug: empfing einen Schlüssel erwerben Mitteilung, spi 0x0
21. Juli 19: 01: 53 [IKEv1]: IP = 1.1.1.1, anstehende verarbeitet zu werden KEY-ACQUIRE Mitteilungen, wenn P1 SA complete.
21. Juli 19 ist: 01: 53 [IKEv1 PRÜFEN] aus: Krug: empfing einen Schlüssel erwerben Mitteilung, spi 0x0

tatsächlich dort ist wenig auf die Art von Störungen auf der ASA-Seite!

I klebt etwas sanierte configs an hier, wenn es verlangt wird.  Für Ihre Hilfe danke!

Antwort : Probleme, die L2L IPSec VPN von Cisco PIX auf Cisco ASA 5520, schließend von Cisco 877 verschieben an

die ASA und 877 Config bitte geben