Vraag : Problemen die L2L IPSec VPN leiden van P.IX van Cisco tot Cisco ASA die 5520, van Cisco 877 verbinden

De beste Deskundigen,

We hadden diverse verre plaatsen die (Cisco 800s) met onze firewall van P.IX van HK via IPSec VPN verbinden, en zijn nu tijdens migrerend HK aan een nieuwe kring van Internet en Cisco ASA 5520 v8.3 (1).  

I slaagde erin om drie uit de vier tunnels naar ASA te verplaatsen, maar ben geplakt op de laatstgenoemde, ondanks de configuratie die aanvaardbaar schijnt te zijn.  Het zou significant kunnen zijn, maar 877 in kwestie gaven eigenlijk wat probleem toen het aanvankelijk met P.IX één of andere tijdrug werd verbonden.  De fout keek gelijkaardig aan huidige hieronder gekleefd, en werd uiteindelijk opgelost door het tot heden van P.IX zijn IP toespraak aan de verre edele, eerder dan hostname te maken.  Nochtans, dat de truc niet om met ASA.

It schijnt te werken kijkt als ISAKMP fase 1 niet voltooit, hoewel de parameters voor het voorstel match.

Cisco 877 Buffer sample
Log (100000 bytes) zuivert: 20:10

Jul 21: 32: ISAKMP: (0): Input = IKE_MESG_INTERNAL, het 20:10 van IKE_PROCESS_MAIN_MODE
Jul 21: 32: ISAKMP: (0): Oude Staat = Nieuwe Staat IKE_R_MM1 = 20:10 IKE_R_MM1

Jul 21: 32: ISAKMP: (0): verzendend IKE_FRAG verkoper ID
Jul 21 20:10: 32: ISAKMP: (0): het geconstrueerde 20:10 van nationaal-t verkoper-rfc3947 ID
Jul 21: 32: ISAKMP: (0): verzendend pakket naar 2.2.2.2 my_port 500 peer_port 500 (r) het 20:10 van MM_SA_SETUP
Jul 21: 32: ISAKMP: (0): Verzendend een IKE IPv4 Packet.
Jul 21 20:10: 32: ISAKMP: (0): Input = IKE_MESG_INTERNAL, het 20:10 van IKE_PROCESS_COMPLETE
Jul 21: 32: ISAKMP: (0): Oude Staat = Nieuwe Staat IKE_R_MM1 = 20:10 IKE_R_MM2

Jul 21: 34: ISAKMP: (0): opnieuw overbrengend fase 1 20:10 MM_SA_SETUP…
Jul 21: 34: ISAKMP (0): verhogend foutenteller op sa, probeer 4 van 5: breng fase1
Jul 21 20:10 opnieuw over: 34: ISAKMP: (0): opnieuw overbrengende fase 1 het 20:10 van MM_SA_SETUP
Jul 21: 34: ISAKMP: (0): verzendend pakket naar 2.2.2.2 my_port 500 peer_port 500 (r) het 20:10 van MM_SA_SETUP
Jul 21: 34: ISAKMP: (0): Verzendend een IKE IPv4 Packet.
Jul 21 20:10: 40: ISAKMP (0): ontvangen pakket van 2.2.2.2 dport 500 sport 500 het Globale (r) 20:10 van MM_SA_SETUP
Jul 21: 40: ISAKMP: (0): fase 1 pakket is een duplicaat van een vorig 20:10 packet.
Jul 21: 40: ISAKMP: (0): opnieuw overbrengen gepast om fase1
Jul 21 20:10 opnieuw over te brengen: 41: ISAKMP: (0): opnieuw overbrengende fase 1 20:10 MM_SA_SETUP…
Jul 21: 41: ISAKMP (0): verhogend foutenteller op sa, probeer 1 van 5: breng fase1
Jul 21 20:10 opnieuw over: 41: ISAKMP: (0): opnieuw overbrengende fase 1 het 20:10 van MM_SA_SETUP
Jul 21: 41: ISAKMP: (0): verzendend pakket naar 2.2.2.2 my_port 500 peer_port 500 (r) het 20:10 van MM_SA_SETUP
Jul 21: 41: ISAKMP: (0): Verzendend een IKE IPv4 Packet.
Jul 21 20:10: 44: ISAKMP: (0): opnieuw overbrengend fase 1 20:10 MM_SA_SETUP…
Jul 21: 44: ISAKMP (0): verhogend foutenteller op sa, probeer 5 van 5: breng fase1
Jul 21 20:10 opnieuw over: 44: ISAKMP: (0): opnieuw overbrengende fase 1 het 20:10 van MM_SA_SETUP
Jul 21: 44: ISAKMP: (0): verzendend pakket naar 2.2.2.2 my_port 500 peer_port 500 (r) het 20:10 van MM_SA_SETUP
Jul 21: 44: ISAKMP: (0): Verzendend een IKE IPv4 Packet.
Jul 21 20:10: 45: ISAKMP: (0): het zuiveren SA., sa=84F7B828, 20:10 delme=84F7B828
Jul 21: 45: ISAKMP: (0): het zuiveren SA., sa=834553BC, 20:10 delme=834553BC
Jul 21: 45: ISAKMP: (0): het zuiveren SA., sa=84CC8650, 20:10 delme=84CC8650
Jul 21: 48: ISAKMP (0): ontvangen pakket van 2.2.2.2 dport 500 sport 500 het Globale (r) 20:10 van MM_SA_SETUP
Jul 21: 48: ISAKMP: (0): fase 1 pakket is een duplicaat van een vorig 20:10 packet.
Jul 21: 48: ISAKMP: (0): opnieuw overbrengen gepast om fase1
Jul 21 20:10 opnieuw over te brengen: 49: ISAKMP: (0): opnieuw overbrengende fase 1 20:10 MM_SA_SETUP…
Jul 21: 49: ISAKMP (0): verhogend foutenteller op sa, probeer 2 van 5: breng fase1
Jul 21 20:10 opnieuw over: 49: ISAKMP: (0): opnieuw overbrengende fase 1 het 20:10 van MM_SA_SETUP
Jul 21: 49: ISAKMP: (0): verzendend pakket naar 2.2.2.2 my_port 500 peer_port 500 (r) het 20:10 van MM_SA_SETUP
Jul 21: 49: ISAKMP: (0): Verzendend een IKE IPv4 Packet.
Jul 21 20:10: 54: ISAKMP: (0): opnieuw overbrengend fase 1 20:10 MM_SA_SETUP…
Jul 21: 54: ISAKMP: (0): de edele doet geen paranoïde 20:10 keepalives.

Jul 21: 54: ISAKMP: (0): het schrappen van Van de sa- reden „de staats(r) MM_SA_SETUP (peer 2.2.2.2) 20:10
Jul 21 Dood door wederuitzending P1“: 54: ISAKMP: (0): het schrappen van Van de sa- reden „de staats(r) MM_SA_SETUP (peer 2.2.2.2) 20:10
Jul 21 Dood door wederuitzending P1“: 54: ISAKMP: Het openen van peer struct 0x84CD087C voor isadb_mark_sa_deleted (), tellings0
Jul 21 20:10: 54: ISAKMP: Het schrappen van peer knoop door peer_reap voor 2.2.2.2: 20:10 84CD087C
Jul 21: 54: ISAKMP: (0): Input = IKE_MESG_INTERNAL, 20:10 IKE_PHASE1_DEL
Jul 21: 54: ISAKMP: (0): Oude Staat = Nieuwe Staat IKE_R_MM2 = het 20:10/>Jul 21 van IKE_DEST_SA
Jul 21: 56: ISAKMP: (0): fase 1 pakket is een duplicaat van een vorig 20:10 packet.
Jul 21: 56: ISAKMP: (0): opnieuw overbrengen gepast om fase1
Jul 21 20:10 opnieuw over te brengen: 57: ISAKMP: (0): opnieuw overbrengende fase 1 20:10 MM_SA_SETUP…
Jul 21: 57: ISAKMP (0): verhogend foutenteller op sa, probeer 3 van 5: breng fase1
Jul 21 20:10 opnieuw over: 57: ISAKMP: (0): opnieuw overbrengende fase 1 het 20:10 van MM_SA_SETUP
Jul 21: 57: ISAKMP: (0): verzendend pakket naar 2.2.2.2 my_port 500 peer_port 500 (r) het 20:10 van MM_SA_SETUP
Jul 21: 57: ISAKMP: (0): Verzendend een IKE IPv4 Packet.
Jul 21 20:11: 05: ISAKMP (0): ontvangen pakket van 2.2.2.2 dport 500 sport 500 het Globale (n) NIEUWE 20:11 van SA
Jul 21: 05: ISAKMP: Cre�ërde peer struct voor 2.2.2.2, peer haven500
Jul 21: 05: ISAKMP: Nieuwe edele gecre�ërde edele = 0x84CD087C peer_handle = 20:11 0x80000126
Jul 21: 05: ISAKMP: Het sluiten van peer struct 0x84CD087C, refcount 1 voor crypto_isakmp_process_block
Jul 21: 05: ISAKMP: lokale haven 500, ver haven500
Jul 21: 05: ISAKMP: Vind een dup sa in de avlboom tijdens het roepen isadb_insert sa = 834553BC
Jul 21 20:11: 05: ISAKMP: (0): Input = IKE_MESG_FROM_PEER, het 20:11 van IKE_MM_EXCH
Jul 21: 05: ISAKMP: (0): Oude Staat = Nieuwe Staat IKE_READY = 20:11 IKE_R_MM1

Jul 21: 05: ISAKMP: (0): verwerkings SA nuttige lading. bericht identiteitskaart = 0
Jul 21 20:11: 05: ISAKMP: (0): identiteitskaart payload
Jul 21 van de verwerkingsverkoper: 05: ISAKMP: (0): verkopers identiteitskaart schijnt Unity/DPD maar belangrijk 123 mismatch
Jul 21 20:11: 05: ISAKMP: (0): verkopers identiteitskaart is 20:11 nationaal-t v2
Jul 21: 05: ISAKMP: (0): identiteitskaart payload
Jul 21 van de verwerkingsverkoper: 05: ISAKMP: (0): verkopers identiteitskaart schijnt Unity/DPD maar belangrijk 157 mismatch
Jul 21 20:11: 05: ISAKMP: (0): verkopers identiteitskaart is 20:11 nationaal-t v3
Jul 21: 05: ISAKMP: (0): identiteitskaart payload
Jul 21 van de verwerkingsverkoper: 05: ISAKMP: (0): verkopers identiteitskaart schijnt Unity/DPD maar belangrijk 69 mismatch
Jul 21 20:11: 05: ISAKMP (0): verkopers identiteitskaart is 20:11 nationaal-t RFC 3947
Jul 21: 05: ISAKMP: (0): identiteitskaart payload
Jul 21 van de verwerkingsverkoper: 05: ISAKMP: (0): identiteitskaart payload
Jul 21 van de verwerkingsIKE frag verkoper: 05: ISAKMP: (0): verkopers identiteitskaart is het 20:11 van IKE Fragmentation
Jul 21: 05: ISAKMP: (0): AM het 20:11/>Jul 21 van de Fragmentatie supportedJul 21: 05: ISAKMP: (0): lokaal preshared zeer belangrijk found
Jul 21 20:11: 05: ISAKMP: De profielen van het aftasten voor xauth… isakmp 20:11 isakmp_2
Jul 21: 05: ISAKMP: (0): Controlerend ISAKMP zet 1 tegen prioriteit 8 policy
Jul 21 20:11: 05: ISAKMP:      standaard groeps5
Jul 21 20:11: 05: ISAKMP:      het 20:11 van encryptie aES-CBC
Jul 21: 05: ISAKMP:      keylength van 20:11 256
Jul 21: 05: ISAKMP:      het 20:11 van knoeiboelSHA
Jul 21: 05: ISAKMP:      auth pre-shareJul 21: 05: ISAKMP:      levens type in seconds
Jul 21 20:11: 05: ISAKMP:      het levens duur (VPI) van 0x0 0x1 0x51 0x80Jul 21: 05: ISAKMP: (0): Aangeboden het algoritme van de encryptie past geen beleid aan! 20:11
Jul 21: 05: ISAKMP: (0): atts zijn niet aanvaardbaar. De volgende nuttige lading is 3
Jul 21 20:11: 05: ISAKMP: (0): Controlerend ISAKMP zet 2 tegen prioriteit 8 policy
Jul 21 20:11: 05: ISAKMP:      standaard groeps2
Jul 21 20:11: 05: ISAKMP:      encryptie 3DES-CBC
Jul 21 20:11: 05: ISAKMP:      knoeiboel MD5
Jul 21: 05: ISAKMP:      auth pre-shareJul 21: 05: ISAKMP:      levens type in seconds
Jul 21 20:11: 05: ISAKMP:      het levens duur (VPI) van 0x0 0x1 0x51 0x80Jul 21: 05: ISAKMP: (0): atts zijn aanvaardbaar. De volgende nuttige lading is 0
Jul 21 20:11: 05: ISAKMP: (0): Aanvaardbare atts: het daadwerkelijke leven: 0
Jul 21 20:11: 05: ISAKMP: (0): Aanvaardbare atts: het leven: 0
Jul 21 20:11: 05: ISAKMP: (0): Vul atts sa in vpi_length: 4
Jul 21 20:11: 05: ISAKMP: (0): Vul atts sa in life_in_seconds: 20:11 86400
Jul 21: 05: ISAKMP: (0): Het terugkeren Daadwerkelijk leven: 20:11 86400
Jul 21: 05: ISAKMP: (0):: Begonnen leventijdopnemer: 20:11 86400.

Jul 21: 05: ISAKMP: (0): identiteitskaart payload
Jul 21 van de verwerkingsverkoper: 05: ISAKMP: (0): verkopers identiteitskaart schijnt Unity/DPD maar belangrijk 123 mismatch
Jul 21 20:11: 05: ISAKMP: (0): verkopers identiteitskaart is 20:11 nationaal-t v2
Jul 21: 05: ISAKMP: (0): identiteitskaart payload
Jul 21 van de verwerkingsverkoper: 05: ISAKMP: (0): verkopers identiteitskaart schijnt Unity/DPD maar belangrijk 157 mismatch
Jul 21 20:11: 05: ISAKMP: (0): verkopers identiteitskaart is 20:11 nationaal-t v3
Jul 21: 05: ISAKMP: (0): identiteitskaart payload
Jul 21 van de verwerkingsverkoper: 05: ISAKMP: (0): verkopers identiteitskaart schijnt Unity/DPD maar belangrijk 69 mismatch
Jul 21 20:11: 05: ISAKMP (0): verkopers identiteitskaart is 20:11 nationaal-t RFC 3947
Jul 21: 05: ISAKMP: (0): identiteitskaart payload
Jul 21 van de verwerkingsverkoper: 05: ISAKMP: (0): identiteitskaart payload
Jul 21 van de verwerkingsIKE frag verkoper: 05: ISAKMP: (0): verkopers identiteitskaart is het 20:11 van IKE Fragmentation
Jul 21: 05: ISAKMP: (0): AM het 20:11/>Jul 21 van de Fragmentatie supportedJul 21: 05: ISAKMP: (0): Oude Staat = Nieuwe Staat IKE_R_MM1 = 20:11 IKE_R_MM1

Jul 21: 05: ISAKMP: (0): verzendend IKE_FRAG verkoper ID
Jul 21 20:11: 05: ISAKMP: (0): het geconstrueerde 20:11 van nationaal-t verkoper-rfc3947 ID
Jul 21: 05: ISAKMP: (0): verzendend pakket naar 2.2.2.2 my_port 500 peer_port 500 (r) het 20:11 van MM_SA_SETUP
Jul 21: 05: ISAKMP: (0): Verzendend een IKE IPv4 Packet.
Jul 21 20:11: 05: ISAKMP: (0): Input = IKE_MESG_INTERNAL, het 20:11 van IKE_PROCESS_COMPLETE
Jul 21: 05: ISAKMP: (0): Oude Staat = Nieuwe Staat IKE_R_MM1 = 20:11 IKE_R_MM2

Jul 21: 07: ISAKMP: (0): opnieuw overbrengend fase 1 20:11 MM_SA_SETUP…
Jul 21: 07: ISAKMP (0): verhogend foutenteller op sa, probeer 4 van 5: breng fase1
Jul 21 20:11 opnieuw over: 07: ISAKMP: (0): opnieuw overbrengende fase 1 het 20:11 van MM_SA_SETUP
Jul 21: 07: ISAKMP: (0): verzendend pakket naar 2.2.2.2 my_port 500 peer_port 500 (r) het 20:11 van MM_SA_SETUP
Jul 21: 07: ISAKMP: (0): Verzendend een IKE IPv4 Packet.
Jul 21 20:11: 13: ISAKMP (0): ontvangen pakket van 2.2.2.2 dport 500 sport 500 het Globale (r) 20:11 van MM_SA_SETUP
Jul 21: 13: ISAKMP: (0): fase 1 pakket is een duplicaat van een vorig 20:11 packet.
Jul 21: 13: ISAKMP: (0): opnieuw overbrengen gepast om fase1
Jul 21 20:11 opnieuw over te brengen: 14: ISAKMP: (0): opnieuw overbrengende fase 1 20:11 MM_SA_SETUP…
Jul 21: 14: ISAKMP (0): verhogend foutenteller op sa, probeer 1 van 5: breng fase1
Jul 21 20:11 opnieuw over: 14: ISAKMP: (0): opnieuw overbrengende fase 1 het 20:11 van MM_SA_SETUP
Jul 21: 14: ISAKMP: (0): verzendend pakket naar 2.2.2.2 my_port 500 peer_port 500 (r) het 20:11 van MM_SA_SETUP
Jul 21: 14: ISAKMP: (0): Verzendend een IKE IPv4 Packet.
Jul 21 20:11: 17: ISAKMP: (0): opnieuw overbrengend fase 1 20:11 MM_SA_SETUP…
Jul 21: 17: ISAKMP (0): verhogend foutenteller op sa, probeer 5 van 5: breng fase1
Jul 21 20:11 opnieuw over: 17: ISAKMP: (0): opnieuw overbrengende fase 1 het 20:11 van MM_SA_SETUP
Jul 21: 17: ISAKMP: (0): verzendend pakket naar 2.2.2.2 my_port 500 peer_port 500 (r) het 20:11 van MM_SA_SETUP
Jul 21: 17: ISAKMP: (0): Verzendend een IKE IPv4 Packet.

Cisco ASA 5520 19:01 sample
Jul 21 zuivert: 53 [IKEv1 ZUIVEREN]: Waterkruik: ontving een sleutel verwerven bericht, spi0x0
Jul 21: 53 [IKEv1]: IP = zeer belangrijk-VERWERFT 1.1.1.1, het Een rij vormen te verwerken berichten wanneer P1 SA 19:01 complete.
Jul 21 is: 53 [IKEv1 ZUIVEREN]: Waterkruik: ontving een sleutel verwerven bericht, spi 0x0

in feite er zijn weinig op de manier van fouten aan de ASA kant!

I zal gezuiverd wat configs indien hier gevraagd kleven.  Dank u voor uw hulp!

Antwoord : Problemen die L2L IPSec VPN leiden van P.IX van Cisco tot Cisco ASA die 5520, van Cisco 877 verbinden

gelieve te geven ASA en config 877