Cuestión : Problemas que mueven L2L IPSec VPN desde Cisco PIX a Cisco ASA 5520, conectando de Cisco 877

Los estimados expertos,

We tenían varios sitios alejados (Cisco 800s) el conectar con nuestro cortafuego del HQ PIX vía IPSec VPN, y ahora están en curso de migración del HQ a un nuevo circuito del Internet y a Cisco ASA 5520 v8.3 (1).  el

I manejó mover tres de los cuatro túneles al ASA, pero la pegado en el pasado, a pesar de la configuración que aparecía ser aceptable.  Puede ser que sea significativo, pero los 877 en la pregunta dieron realmente un cierto apuro cuando fue conectada inicialmente con el PIX un poco de parte posterior del tiempo.  El error parecía similar el actual pegado abajo, y fue solucionado eventual haciendo el presente de PIX su IP address al par alejado, algo que el hostname.  Sin embargo, ese truco no aparece trabajar con los parecer de ASA.

It la fase 1 de ISAKMP no está terminando, aunque los parámetros para la oferta hagan el >Cisco 877 de la " raya " del class= de match.


Log (100000 octetos):

21 de julio de 20: 10: 32: ISAKMP: (0): Entrada = IKE_MESG_INTERNAL, IKE_PROCESS_MAIN_MODE
21 de julio de 20: 10: 32: ISAKMP: (0): Viejo estado = nuevo estado IKE_R_MM1 = IKE_R_MM1

21 de julio de 20: 10: 32: ISAKMP: (0): envío IKE_FRAG vendedor ID
del 21 de julio de 20: 10: 32: ISAKMP: (0): NAT-T vendor-rfc3947 ID
21 de julio de 20 construido: 10: 32: ISAKMP: (0): envío del paquete 2.2.2.2 my_port 500 peer_port 500 (r) MM_SA_SETUP
al 21 de julio de 20: 10: 32: ISAKMP: (0): Envío IKE IPv4 Packet.
del 21 de julio de 20: 10: 32: ISAKMP: (0): Entrada = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE
21 de julio de 20: 10: 32: ISAKMP: (0): Viejo estado = nuevo estado IKE_R_MM1 = IKE_R_MM2

21 de julio de 20: 10: 34: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP…
del 21 de julio de 20: 10: 34: ISAKMP (0): incrementando el contador de error en el sa, intentar 4 de 5: retransmitir fase 1
el 21 de julio de 20: 10: 34: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP
del 21 de julio de 20: 10: 34: ISAKMP: (0): envío del paquete 2.2.2.2 my_port 500 peer_port 500 (r) MM_SA_SETUP
al 21 de julio de 20: 10: 34: ISAKMP: (0): Envío IKE IPv4 Packet.
del 21 de julio de 20: 10: 40: ISAKMP (0): paquete recibido 2.2.2.2 dport 500 deporte 500 (r) MM_SA_SETUP
del 21 de julio de 20 global: 10: 40: ISAKMP: (0): el paquete de la fase 1 es un duplicado packet.
del 21 de julio de 20 anterior: 10: 40: ISAKMP: (0): retransmisión debida retransmitir fase 1
el 21 de julio de 20: 10: 41: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP…
del 21 de julio de 20: 10: 41: ISAKMP (0): incrementando el contador de error en el sa, intentar 1 de 5: retransmitir fase 1
el 21 de julio de 20: 10: 41: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP
del 21 de julio de 20: 10: 41: ISAKMP: (0): envío del paquete 2.2.2.2 my_port 500 peer_port 500 (r) MM_SA_SETUP
al 21 de julio de 20: 10: 41: ISAKMP: (0): Envío IKE IPv4 Packet.
del 21 de julio de 20: 10: 44: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP…
del 21 de julio de 20: 10: 44: ISAKMP (0): incrementando el contador de error en el sa, intentar 5 de 5: retransmitir fase 1
el 21 de julio de 20: 10: 44: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP
del 21 de julio de 20: 10: 44: ISAKMP: (0): envío del paquete 2.2.2.2 my_port 500 peer_port 500 (r) MM_SA_SETUP
al 21 de julio de 20: 10: 44: ISAKMP: (0): Envío IKE IPv4 Packet.
del 21 de julio de 20: 10: 45: ISAKMP: (0): purga del SA., sa=84F7B828, delme=84F7B828
21 de julio de 20: 10: 45: ISAKMP: (0): purga del SA., sa=834553BC, delme=834553BC
21 de julio de 20: 10: 45: ISAKMP: (0): purga del SA., sa=84CC8650, delme=84CC8650
21 de julio de 20: 10: 48: ISAKMP (0): paquete recibido 2.2.2.2 dport 500 deporte 500 (r) MM_SA_SETUP
del 21 de julio de 20 global: 10: 48: ISAKMP: (0): el paquete de la fase 1 es un duplicado packet.
del 21 de julio de 20 anterior: 10: 48: ISAKMP: (0): retransmisión debida retransmitir fase 1
el 21 de julio de 20: 10: 49: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP…
del 21 de julio de 20: 10: 49: ISAKMP (0): incrementando el contador de error en el sa, intentar 2 de 5: retransmitir fase 1
el 21 de julio de 20: 10: 49: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP
del 21 de julio de 20: 10: 49: ISAKMP: (0): envío del paquete 2.2.2.2 my_port 500 peer_port 500 (r) MM_SA_SETUP
al 21 de julio de 20: 10: 49: ISAKMP: (0): Envío IKE IPv4 Packet.
del 21 de julio de 20: 10: 54: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP…
del 21 de julio de 20: 10: 54: ISAKMP: (0): el par no hace keepalives.

el 21 de julio de 20 paranoico: 10: 54: ISAKMP: (0): suprimiendo la razón “muerte del SA por la retransmisión P1” indicar (r) MM_SA_SETUP (par 2.2.2.2)
el 21 de julio de 20: 10: 54: ISAKMP: (0): suprimiendo la razón “muerte del SA por la retransmisión P1” indicar (r) MM_SA_SETUP (par 2.2.2.2)
el 21 de julio de 20: 10: 54: ISAKMP: Abriendo el struct 0x84CD087C del par para isadb_mark_sa_deleted (), contar/> el 21 de julio de 20 0 21 de julio de 20 84CD087C 21 de julio de 20: 10: 54: ISAKMP: (0): Viejo estado = nuevo estado IKE_R_MM2 = IKE_DEST_SA

21 de julio de 20: 10: 56: ISAKMP (0): paquete recibido 2.2.2.2 dport 500 deporte 500 (r) MM_SA_SETUP
del 21 de julio de 20 global: 10: 56: ISAKMP: (0): el paquete de la fase 1 es un duplicado packet.
del 21 de julio de 20 anterior: 10: 56: ISAKMP: (0): retransmisión debida retransmitir fase 1
el 21 de julio de 20: 10: 57: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP…
del 21 de julio de 20: 10: 57: ISAKMP (0): incrementando el contador de error en el sa, intentar 3 de 5: retransmitir fase 1
el 21 de julio de 20: 10: 57: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP
del 21 de julio de 20: 10: 57: ISAKMP: (0): envío del paquete 2.2.2.2 my_port 500 peer_port 500 (r) MM_SA_SETUP
al 21 de julio de 20: 10: 57: ISAKMP: (0): Envío IKE IPv4 Packet.
del 21 de julio de 20: 11: 05: ISAKMP (0): paquete recibido 2.2.2.2 dport 500 deporte 500 (n) del NUEVO SA
21 de julio de 20 global: 11: 05: ISAKMP: Creó un struct para 2.2.2.2, par del par/> el 21 de julio de 20 portuario 500 el 21 de julio de 20 0x80000126k
el 21 de julio de 20: 11: 05: ISAKMP: puerto local 500, puerto 500
21 de julio de 20 alejado: 11: 05: ISAKMP: Encontrar duplicación sa en el árbol del avl durante la llamada del 21 de julio de 20 sa = 834553BC
: 11: 05: ISAKMP: (0): Entrada = IKE_MESG_FROM_PEER, IKE_MM_EXCH
21 de julio de 20: 11: 05: ISAKMP: (0): Viejo estado = estado de IKE_READY nuevo = IKE_R_MM1

21 de julio de 20: 11: 05: ISAKMP: (0): proceso de la carga útil del SA. mensaje/> 21 de julio de 20 identificación = 0 del 21 de julio de 20: 11: 05: ISAKMP: (0): la identificación del vendedor parece Unity/DPD pero major 123 mismatch
el 21 de julio de 20: 11: 05: ISAKMP: (0): la identificación del vendedor es NAT-T v2
el 21 de julio de 20: 11: 05: ISAKMP: (0): proceso vendedor identificación payload
del 21 de julio de 20: 11: 05: ISAKMP: (0): la identificación del vendedor parece Unity/DPD pero major 157 mismatch
el 21 de julio de 20: 11: 05: ISAKMP: (0): la identificación del vendedor es NAT-T v3
el 21 de julio de 20: 11: 05: ISAKMP: (0): proceso vendedor identificación payload
del 21 de julio de 20: 11: 05: ISAKMP: (0): la identificación del vendedor parece Unity/DPD pero major 69 mismatch
el 21 de julio de 20: 11: 05: ISAKMP (0): la identificación del vendedor es NAT-T RFC 3947
el 21 de julio de 20: 11: 05: ISAKMP: (0): proceso vendedor identificación payload
del 21 de julio de 20: 11: 05: ISAKMP: (0): proceso IKE frag vendedor identificación payload
del 21 de julio de 20: 11: 05: ISAKMP: (0): la identificación del vendedor es IKE Fragmentation
el 21 de julio de 20: 11: 05: ISAKMP: (0): fragmentación supported
21 de julio de 20: 11: 05: ISAKMP: (0): par 2.2.2.2
el 21 de julio de 20 que empareja dominante pre-shared encontrado: 11: 05: ISAKMP: (0): found
21 de julio de 20 dominante preshared local: 11: 05: ISAKMP: Perfiles de la exploración para xauth… isakmp isakmp_2
el 21 de julio de 20: 11: 05: ISAKMP: (0): Comprobando ISAKMP transforman 1 contra la prioridad 8 policy
el 21 de julio de 20: 11: 05: ISAKMP:      defecto grupo 5
21 de julio de 20: 11: 05: ISAKMP:      encripción AES-CBC
21 de julio de 20: 11: 05: ISAKMP:      keylength/> del 21 de julio de 20 256 21 de julio de 20: 11: 05: ISAKMP:      auth pre-share
21 de julio de 20: 11: 05: ISAKMP:      la vida mecanografía adentro seconds
el 21 de julio de 20: 11: 05: ISAKMP:      duración de la vida (VPI) 0x1 0x51 0x80
del 21 de julio de 20 0x0: 11: 05: ISAKMP: (0): ¡El algoritmo de encripción ofrecido no empareja la política!
21 de julio de 20: 11: 05: ISAKMP: (0): los atts no son aceptables. La carga útil siguiente es/> el 21 de julio de 20 3 el 21 de julio de 20: 11: 05: ISAKMP:      defecto grupo 2
21 de julio de 20: 11: 05: ISAKMP:      encripción 3DES-CBC
21 de julio de 20: 11: 05: ISAKMP:      picadillo MD5
21 de julio de 20: 11: 05: ISAKMP:      auth pre-share
21 de julio de 20: 11: 05: ISAKMP:      la vida mecanografía adentro seconds
el 21 de julio de 20: 11: 05: ISAKMP:      duración de la vida (VPI) 0x1 0x51 0x80
del 21 de julio de 20 0x0: 11: 05: ISAKMP: (0): los atts son aceptables. La carga útil siguiente es/> el 21 de julio de 20 0 21 de julio de 20 0 21 de julio de 20 0 21 de julio de 20 4 21 de julio de 20 86400 21 de julio de 20 86400
21 de julio de 20 86400. del 21 de julio de 20: 11: 05: ISAKMP: (0): la identificación del vendedor parece Unity/DPD pero major 123 mismatch
el 21 de julio de 20: 11: 05: ISAKMP: (0): la identificación del vendedor es NAT-T v2
el 21 de julio de 20: 11: 05: ISAKMP: (0): proceso vendedor identificación payload
del 21 de julio de 20: 11: 05: ISAKMP: (0): la identificación del vendedor parece Unity/DPD pero major 157 mismatch
el 21 de julio de 20: 11: 05: ISAKMP: (0): la identificación del vendedor es NAT-T v3
el 21 de julio de 20: 11: 05: ISAKMP: (0): proceso vendedor identificación payload
del 21 de julio de 20: 11: 05: ISAKMP: (0): la identificación del vendedor parece Unity/DPD pero major 69 mismatch
el 21 de julio de 20: 11: 05: ISAKMP (0): la identificación del vendedor es NAT-T RFC 3947
el 21 de julio de 20: 11: 05: ISAKMP: (0): proceso vendedor identificación payload
del 21 de julio de 20: 11: 05: ISAKMP: (0): proceso IKE frag vendedor identificación payload
del 21 de julio de 20: 11: 05: ISAKMP: (0): la identificación del vendedor es IKE Fragmentation
el 21 de julio de 20: 11: 05: ISAKMP: (0): fragmentación supported
21 de julio de 20: 11: 05: ISAKMP: (0): Entrada = IKE_MESG_INTERNAL, IKE_PROCESS_MAIN_MODE
21 de julio de 20: 11: 05: ISAKMP: (0): Viejo estado = nuevo estado IKE_R_MM1 = IKE_R_MM1

21 de julio de 20: 11: 05: ISAKMP: (0): envío IKE_FRAG vendedor ID
del 21 de julio de 20: 11: 05: ISAKMP: (0): NAT-T vendor-rfc3947 ID
21 de julio de 20 construido: 11: 05: ISAKMP: (0): envío del paquete 2.2.2.2 my_port 500 peer_port 500 (r) MM_SA_SETUP
al 21 de julio de 20: 11: 05: ISAKMP: (0): Envío IKE IPv4 Packet.
del 21 de julio de 20: 11: 05: ISAKMP: (0): Entrada = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE
21 de julio de 20: 11: 05: ISAKMP: (0): Viejo estado = nuevo estado IKE_R_MM1 = IKE_R_MM2

21 de julio de 20: 11: 07: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP…
del 21 de julio de 20: 11: 07: ISAKMP (0): incrementando el contador de error en el sa, intentar 4 de 5: retransmitir fase 1
el 21 de julio de 20: 11: 07: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP
del 21 de julio de 20: 11: 07: ISAKMP: (0): envío del paquete 2.2.2.2 my_port 500 peer_port 500 (r) MM_SA_SETUP
al 21 de julio de 20: 11: 07: ISAKMP: (0): Envío IKE IPv4 Packet.
del 21 de julio de 20: 11: 13: ISAKMP (0): paquete recibido 2.2.2.2 dport 500 deporte 500 (r) MM_SA_SETUP
del 21 de julio de 20 global: 11: 13: ISAKMP: (0): el paquete de la fase 1 es un duplicado packet.
del 21 de julio de 20 anterior: 11: 13: ISAKMP: (0): retransmisión debida retransmitir fase 1
el 21 de julio de 20: 11: 14: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP…
del 21 de julio de 20: 11: 14: ISAKMP (0): incrementando el contador de error en el sa, intentar 1 de 5: retransmitir fase 1
el 21 de julio de 20: 11: 14: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP
del 21 de julio de 20: 11: 14: ISAKMP: (0): envío del paquete 2.2.2.2 my_port 500 peer_port 500 (r) MM_SA_SETUP
al 21 de julio de 20: 11: 14: ISAKMP: (0): Envío IKE IPv4 Packet.
del 21 de julio de 20: 11: 17: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP…
del 21 de julio de 20: 11: 17: ISAKMP (0): incrementando el contador de error en el sa, intentar 5 de 5: retransmitir fase 1
el 21 de julio de 20: 11: 17: ISAKMP: (0): retransmisión fase 1 MM_SA_SETUP
del 21 de julio de 20: 11: 17: ISAKMP: (0): envío del paquete 2.2.2.2 my_port 500 peer_port 500 (r) MM_SA_SETUP
al 21 de julio de 20: 11: 17: ISAKMP: (0): Enviando un >Cisco ASA 5520 de la " raya " del class= de IKE IPv4 Packet.


del 21 de julio de 19: 01: 53 [IKEv1 ELIMINAN ERRORES]: Jarra: recibió una llave adquieren el mensaje, spi 0x0
21 de julio de 19: 01: 53 [IKEv1]: IP = 1.1.1.1, mensajes de espera de KEY-ACQUIRE que se procesarán cuando P1 SA es complete.
el 21 de julio de 19: 01: 53 [IKEv1 ELIMINAN ERRORES]: Jarra: ¡recibió una llave adquieren el mensaje, spi 0x0

de hecho allí está poco de la manera de errores en el lado del ASA! el

I pegará algunos configs esterilizados encendido aquí si está pedido.  ¡Gracias por su ayuda! class= del

Respuesta : Problemas que mueven L2L IPSec VPN desde Cisco PIX a Cisco ASA 5520, conectando de Cisco 877

dar por favor el ASA y 877 config