Pergunta : Problemas que movem L2L IPSec VPN de Cisco PIX para Cisco ASA 5520, conetando de Cisco 877

Os caros peritos,

We tiveram vários locais remotos (Cisco 800s) conetar a nosso guarda-fogo do QG PIX através de IPSec VPN, e estão agora no processo de migrar o QG a um circuito novo do Internet e a Cisco ASA 5520 v8.3 (1).  o

I controlou mover três dos quatro túneis para o ASA, mas am furado no último, apesar da configuração que parece ser aceitável.  Pôde ser significativo, mas os 877 na pergunta deram realmente algum problema quando foi conetada inicialmente ao PIX alguma parte traseira do tempo.  O erro olhou similar ao atual colado abaixo, e foi resolvido eventualmente fazendo ao presente de PIX seu IP address ao par remoto, um pouco do que o hostname.  Entretanto, esse truque não parece trabalhar com os olhares de ASA.

It como a fase 1 de ISAKMP não está terminando, embora os parâmetros para a proposta façam o >Cisco 877 do " traço " do class= de match.


Log (100000 bytes):

21 de julho de 20: 10: 32: ISAKMP: (0): Entrada = IKE_MESG_INTERNAL, IKE_PROCESS_MAIN_MODE
21 de julho de 20: 10: 32: ISAKMP: (0): Estado velho = estado IKE_R_MM1 novo = IKE_R_MM1

21 de julho de 20: 10: 32: ISAKMP: (0): emitindo IKE_FRAG vendedor ID
o 21 de julho de 20: 10: 32: ISAKMP: (0): NAT-T vendor-rfc3947 ID
21 de julho de 20 construído: 10: 32: ISAKMP: (0): emitindo o pacote ao peer_port 500 do my_port 500 de 2.2.2.2 (R) MM_SA_SETUP
21 de julho de 20: 10: 32: ISAKMP: (0): Emitindo IKE IPv4 Packet.
um 21 de julho de 20: 10: 32: ISAKMP: (0): Entrada = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE
21 de julho de 20: 10: 32: ISAKMP: (0): Estado velho = estado IKE_R_MM1 novo = IKE_R_MM2

21 de julho de 20: 10: 34: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP…
o 21 de julho de 20: 10: 34: ISAKMP (0): incrementando o contador de erro no sa, tentar 4 de 5: retransmitir fase 1
o 21 de julho de 20: 10: 34: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP
o 21 de julho de 20: 10: 34: ISAKMP: (0): emitindo o pacote ao peer_port 500 do my_port 500 de 2.2.2.2 (R) MM_SA_SETUP
21 de julho de 20: 10: 34: ISAKMP: (0): Emitindo IKE IPv4 Packet.
um 21 de julho de 20: 10: 40: ISAKMP (0): pacote recebido do esporte 500 do dport 500 de 2.2.2.2 global (R) MM_SA_SETUP
21 de julho de 20: 10: 40: ISAKMP: (0): o pacote da fase 1 é uma duplicata packet.
de um 21 de julho de 20 precedente: 10: 40: ISAKMP: (0): retransmissão devendo retransmitir fase 1
o 21 de julho de 20: 10: 41: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP…
o 21 de julho de 20: 10: 41: ISAKMP (0): incrementando o contador de erro no sa, tentar 1 de 5: retransmitir fase 1
o 21 de julho de 20: 10: 41: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP
o 21 de julho de 20: 10: 41: ISAKMP: (0): emitindo o pacote ao peer_port 500 do my_port 500 de 2.2.2.2 (R) MM_SA_SETUP
21 de julho de 20: 10: 41: ISAKMP: (0): Emitindo IKE IPv4 Packet.
um 21 de julho de 20: 10: 44: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP…
o 21 de julho de 20: 10: 44: ISAKMP (0): incrementando o contador de erro no sa, tentar 5 de 5: retransmitir fase 1
o 21 de julho de 20: 10: 44: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP
o 21 de julho de 20: 10: 44: ISAKMP: (0): emitindo o pacote ao peer_port 500 do my_port 500 de 2.2.2.2 (R) MM_SA_SETUP
21 de julho de 20: 10: 44: ISAKMP: (0): Emitindo IKE IPv4 Packet.
um 21 de julho de 20: 10: 45: ISAKMP: (0): removendo o SA., sa=84F7B828, delme=84F7B828
21 de julho de 20: 10: 45: ISAKMP: (0): removendo o SA., sa=834553BC, delme=834553BC
21 de julho de 20: 10: 45: ISAKMP: (0): removendo o SA., sa=84CC8650, delme=84CC8650
21 de julho de 20: 10: 48: ISAKMP (0): pacote recebido do esporte 500 do dport 500 de 2.2.2.2 global (R) MM_SA_SETUP
21 de julho de 20: 10: 48: ISAKMP: (0): o pacote da fase 1 é uma duplicata packet.
de um 21 de julho de 20 precedente: 10: 48: ISAKMP: (0): retransmissão devendo retransmitir fase 1
o 21 de julho de 20: 10: 49: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP…
o 21 de julho de 20: 10: 49: ISAKMP (0): incrementando o contador de erro no sa, tentar 2 de 5: retransmitir fase 1
o 21 de julho de 20: 10: 49: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP
o 21 de julho de 20: 10: 49: ISAKMP: (0): emitindo o pacote ao peer_port 500 do my_port 500 de 2.2.2.2 (R) MM_SA_SETUP
21 de julho de 20: 10: 49: ISAKMP: (0): Emitindo IKE IPv4 Packet.
um 21 de julho de 20: 10: 54: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP…
o 21 de julho de 20: 10: 54: ISAKMP: (0): o par não faz keepalives.

o 21 de julho de 20 paranóide: 10: 54: ISAKMP: (0): suprimindo da razão “morte do SA pela retransmissão P1” indic (R) MM_SA_SETUP (par 2.2.2.2)
21 de julho de 20: 10: 54: ISAKMP: (0): suprimindo da razão “morte do SA pela retransmissão P1” indic (R) MM_SA_SETUP (par 2.2.2.2)
21 de julho de 20: 10: 54: ISAKMP: Destravando o struct 0x84CD087C do par para isadb_mark_sa_deleted (), contar/> o 21 de julho de 20 0 21 de julho de 20 84CD087C 21 de julho de 20: 10: 54: ISAKMP: (0): Estado velho = estado IKE_R_MM2 novo = IKE_DEST_SA

21 de julho de 20: 10: 56: ISAKMP (0): pacote recebido do esporte 500 do dport 500 de 2.2.2.2 global (R) MM_SA_SETUP
21 de julho de 20: 10: 56: ISAKMP: (0): o pacote da fase 1 é uma duplicata packet.
de um 21 de julho de 20 precedente: 10: 56: ISAKMP: (0): retransmissão devendo retransmitir fase 1
o 21 de julho de 20: 10: 57: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP…
o 21 de julho de 20: 10: 57: ISAKMP (0): incrementando o contador de erro no sa, tentar 3 de 5: retransmitir fase 1
o 21 de julho de 20: 10: 57: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP
o 21 de julho de 20: 10: 57: ISAKMP: (0): emitindo o pacote ao peer_port 500 do my_port 500 de 2.2.2.2 (R) MM_SA_SETUP
21 de julho de 20: 10: 57: ISAKMP: (0): Emitindo IKE IPv4 Packet.
um 21 de julho de 20: 11: 05: ISAKMP (0): pacote recebido do esporte 500 do dport 500 de 2.2.2.2 global (N) SA
21 de julho de 20 NOVO: 11: 05: ISAKMP: Criou um struct para 2.2.2.2, par do par/> o 21 de julho de 20 500
o 21 de julho de 20 0x80000126k
o 21 de julho de 20: 11: 05: ISAKMP: porto local 500, porto 500
21 de julho de 20 remoto: 11: 05: ISAKMP: Encontrar duplicação sa na árvore do avl durante a chamada do 21 de julho de 20 sa = 834553BC
: 11: 05: ISAKMP: (0): Entrada = IKE_MESG_FROM_PEER, IKE_MM_EXCH
21 de julho de 20: 11: 05: ISAKMP: (0): Estado velho = estado novo de IKE_READY = IKE_R_MM1

21 de julho de 20: 11: 05: ISAKMP: (0): processando a carga útil do SA. mensagem/> 21 de julho de 20 identificação = 0 o 21 de julho de 20: 11: 05: ISAKMP: (0): a identificação do vendedor parece Unity/DPD mas major 123 mismatch
o 21 de julho de 20: 11: 05: ISAKMP: (0): a identificação do vendedor é NAT-T v2
21 de julho de 20: 11: 05: ISAKMP: (0): processando vendedor identificação payload
o 21 de julho de 20: 11: 05: ISAKMP: (0): a identificação do vendedor parece Unity/DPD mas major 157 mismatch
o 21 de julho de 20: 11: 05: ISAKMP: (0): a identificação do vendedor é NAT-T v3
21 de julho de 20: 11: 05: ISAKMP: (0): processando vendedor identificação payload
o 21 de julho de 20: 11: 05: ISAKMP: (0): a identificação do vendedor parece Unity/DPD mas major 69 mismatch
o 21 de julho de 20: 11: 05: ISAKMP (0): a identificação do vendedor é NAT-T RFC 3947
21 de julho de 20: 11: 05: ISAKMP: (0): processando vendedor identificação payload
o 21 de julho de 20: 11: 05: ISAKMP: (0): processando IKE frag vendedor identificação payload
o 21 de julho de 20: 11: 05: ISAKMP: (0): a identificação do vendedor é IKE Fragmentation
21 de julho de 20: 11: 05: ISAKMP: (0): AM fragmentação supported
21 de julho de 20: 11: 05: ISAKMP: (0): par 2.2.2.2
21 de julho de 20 de harmonização chave pre-shared encontrado: 11: 05: ISAKMP: (0): found
21 de julho de 20 chave preshared local: 11: 05: ISAKMP: Perfis da exploração para xauth… isakmp isakmp_2
o 21 de julho de 20: 11: 05: ISAKMP: (0): Verific ISAKMP transformam 1 de encontro a prioridade 8 policy
ao 21 de julho de 20: 11: 05: ISAKMP:      defeito grupo 5
21 de julho de 20: 11: 05: ISAKMP:      cifragem AES-CBC
21 de julho de 20: 11: 05: ISAKMP:      keylength/> do 21 de julho de 20 256 21 de julho de 20: 11: 05: ISAKMP:      auth pre-share
21 de julho de 20: 11: 05: ISAKMP:      a vida datilografa dentro seconds
o 21 de julho de 20: 11: 05: ISAKMP:      duração da vida (VPI) 0x1 0x51 0x80
do 21 de julho de 20 0x0: 11: 05: ISAKMP: (0): O algoritmo de cifragem oferecido não combina a política!
21 de julho de 20: 11: 05: ISAKMP: (0): os atts não são aceitáveis. A carga útil seguinte é/> o 21 de julho de 20 3 ao 21 de julho de 20: 11: 05: ISAKMP:      defeito grupo 2
21 de julho de 20: 11: 05: ISAKMP:      cifragem 3DES-CBC
21 de julho de 20: 11: 05: ISAKMP:      mistura MD5
21 de julho de 20: 11: 05: ISAKMP:      auth pre-share
21 de julho de 20: 11: 05: ISAKMP:      a vida datilografa dentro seconds
o 21 de julho de 20: 11: 05: ISAKMP:      duração da vida (VPI) 0x1 0x51 0x80
do 21 de julho de 20 0x0: 11: 05: ISAKMP: (0): os atts são aceitáveis. A carga útil seguinte é/> o 21 de julho de 20 0 21 de julho de 20 0 21 de julho de 20 0 21 de julho de 20 4 21 de julho de 20 86400 21 de julho de 20 86400
21 de julho de 20 86400. o 21 de julho de 20: 11: 05: ISAKMP: (0): a identificação do vendedor parece Unity/DPD mas major 123 mismatch
o 21 de julho de 20: 11: 05: ISAKMP: (0): a identificação do vendedor é NAT-T v2
21 de julho de 20: 11: 05: ISAKMP: (0): processando vendedor identificação payload
o 21 de julho de 20: 11: 05: ISAKMP: (0): a identificação do vendedor parece Unity/DPD mas major 157 mismatch
o 21 de julho de 20: 11: 05: ISAKMP: (0): a identificação do vendedor é NAT-T v3
21 de julho de 20: 11: 05: ISAKMP: (0): processando vendedor identificação payload
o 21 de julho de 20: 11: 05: ISAKMP: (0): a identificação do vendedor parece Unity/DPD mas major 69 mismatch
o 21 de julho de 20: 11: 05: ISAKMP (0): a identificação do vendedor é NAT-T RFC 3947
21 de julho de 20: 11: 05: ISAKMP: (0): processando vendedor identificação payload
o 21 de julho de 20: 11: 05: ISAKMP: (0): processando IKE frag vendedor identificação payload
o 21 de julho de 20: 11: 05: ISAKMP: (0): a identificação do vendedor é IKE Fragmentation
21 de julho de 20: 11: 05: ISAKMP: (0): AM fragmentação supported
21 de julho de 20: 11: 05: ISAKMP: (0): Entrada = IKE_MESG_INTERNAL, IKE_PROCESS_MAIN_MODE
21 de julho de 20: 11: 05: ISAKMP: (0): Estado velho = estado IKE_R_MM1 novo = IKE_R_MM1

21 de julho de 20: 11: 05: ISAKMP: (0): emitindo IKE_FRAG vendedor ID
o 21 de julho de 20: 11: 05: ISAKMP: (0): NAT-T vendor-rfc3947 ID
21 de julho de 20 construído: 11: 05: ISAKMP: (0): emitindo o pacote ao peer_port 500 do my_port 500 de 2.2.2.2 (R) MM_SA_SETUP
21 de julho de 20: 11: 05: ISAKMP: (0): Emitindo IKE IPv4 Packet.
um 21 de julho de 20: 11: 05: ISAKMP: (0): Entrada = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE
21 de julho de 20: 11: 05: ISAKMP: (0): Estado velho = estado IKE_R_MM1 novo = IKE_R_MM2

21 de julho de 20: 11: 07: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP…
o 21 de julho de 20: 11: 07: ISAKMP (0): incrementando o contador de erro no sa, tentar 4 de 5: retransmitir fase 1
o 21 de julho de 20: 11: 07: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP
o 21 de julho de 20: 11: 07: ISAKMP: (0): emitindo o pacote ao peer_port 500 do my_port 500 de 2.2.2.2 (R) MM_SA_SETUP
21 de julho de 20: 11: 07: ISAKMP: (0): Emitindo IKE IPv4 Packet.
um 21 de julho de 20: 11: 13: ISAKMP (0): pacote recebido do esporte 500 do dport 500 de 2.2.2.2 global (R) MM_SA_SETUP
21 de julho de 20: 11: 13: ISAKMP: (0): o pacote da fase 1 é uma duplicata packet.
de um 21 de julho de 20 precedente: 11: 13: ISAKMP: (0): retransmissão devendo retransmitir fase 1
o 21 de julho de 20: 11: 14: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP…
o 21 de julho de 20: 11: 14: ISAKMP (0): incrementando o contador de erro no sa, tentar 1 de 5: retransmitir fase 1
o 21 de julho de 20: 11: 14: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP
o 21 de julho de 20: 11: 14: ISAKMP: (0): emitindo o pacote ao peer_port 500 do my_port 500 de 2.2.2.2 (R) MM_SA_SETUP
21 de julho de 20: 11: 14: ISAKMP: (0): Emitindo IKE IPv4 Packet.
um 21 de julho de 20: 11: 17: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP…
o 21 de julho de 20: 11: 17: ISAKMP (0): incrementando o contador de erro no sa, tentar 5 de 5: retransmitir fase 1
o 21 de julho de 20: 11: 17: ISAKMP: (0): retransmitindo fase 1 MM_SA_SETUP
o 21 de julho de 20: 11: 17: ISAKMP: (0): emitindo o pacote ao peer_port 500 do my_port 500 de 2.2.2.2 (R) MM_SA_SETUP
21 de julho de 20: 11: 17: ISAKMP: (0): Emitindo um >Cisco ASA 5520 do " traço " do class= de IKE IPv4 Packet.


do 21 de julho de 19: 01: 53 [IKEv1 ELIMINAM ERROS]: Jarro: recebeu uma chave adquirem a mensagem, spi 0x0
21 de julho de 19: 01: 53 [IKEv1]: IP = 1.1.1.1, mensagens de enfileiramento de KEY-ACQUIRE a ser processadas quando P1 SA for complete.
21 de julho de 19: 01: 53 [IKEv1 ELIMINAM ERROS]: Jarro: recebeu uma chave adquirem a mensagem, spi 0x0

de fato lá está pouco na maneira de erros no lado do ASA! o

I colará alguns configs sanitised sobre aqui se pedido.  Obrigado para sua ajuda! class= do

Resposta : Problemas que movem L2L IPSec VPN de Cisco PIX para Cisco ASA 5520, conetando de Cisco 877

dar por favor o ASA e 877 config