Вопрос : Проблемы двигая L2L IPSec VPN от Cisco PIX к Cisco ASA 5520, соединяясь от Cisco 877

Дорогие специалисты,

We имели различные дистанционные места (Cisco 800s) соединиться к нашему брандмауэру HQ PIX через IPSec VPN, и теперь в процессе проникать HQ к новым цепи интернета и Cisco ASA 5520 v8.3 (1).  

I управляло двинуть 3 из 4 тоннелей к ASA, но am вставленному на последний одном, несмотря на конфигурацию кажась, что было приемлемо.  Оно могл быть значительно, но 877 в вопросе фактическ дали некоторую тревогу когда она первоначально была подключена к PIX некоторая задняя часть времени.  Ошибка посмотрела подобной до в настоящее время ошибк наклеенная ниже, и окончательн была разрешена путем делать настоящим моментом PIX свой адрес IP к дистанционному пэру, довольно чем именя ведущего.  Однако, не кажется, что работает та выходка с взглядами ASA.

It как участок 1 ISAKMP не завершает, хотя параметры для предложения делают >Cisco 877 " underline " class= match.


Log (100000 байт):

21-ое июля 20: 10: 32: ISAKMP: (0): Входной сигнал = IKE_MESG_INTERNAL, IKE_PROCESS_MAIN_MODE
21-ое июля 20: 10: 32: ISAKMP: (0): Старое положение = новое положение IKE_R_MM1 = IKE_R_MM1

21-ое июля 20: 10: 32: ISAKMP: (0): посылка поставщика ID
21-ое июля 20 IKE_FRAG: 10: 32: ISAKMP: (0): построенное NAT-T vendor-rfc3947 ID
21-ое июля 20: 10: 32: ISAKMP: (0): посылка пакета к peer_port 500 (r) MM_SA_SETUP
21-ое июля 20 my_port 500 2.2.2.2: 10: 32: ISAKMP: (0): Посылка IKE IPv4 Packet.
21-ое июля 20: 10: 32: ISAKMP: (0): Входной сигнал = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE
21-ое июля 20: 10: 32: ISAKMP: (0): Старое положение = новое положение IKE_R_MM1 = IKE_R_MM2

21-ое июля 20: 10: 34: ISAKMP: (0): ретранслировать
21-ое июля 20 участка 1 MM_SA_SETUP…: 10: 34: ISAKMP (0): инкрементирующ счетчик ошибки на sa, попытайте 4 из 5: ретранслируйте участок 1
21-ое июля 20: 10: 34: ISAKMP: (0): ретранслировать участок 1 MM_SA_SETUP
21-ое июля 20: 10: 34: ISAKMP: (0): посылка пакета к peer_port 500 (r) MM_SA_SETUP
21-ое июля 20 my_port 500 2.2.2.2: 10: 34: ISAKMP: (0): Посылка IKE IPv4 Packet.
21-ое июля 20: 10: 40: ISAKMP (0): полученный пакет от спорта 500 глобального (r) MM_SA_SETUP
21-ое июля 20 dport 500 2.2.2.2: 10: 40: ISAKMP: (0): пакет участка 1 будет дубликатом ранее packet.
21-ое июля 20: 10: 40: ISAKMP: (0): ретранслировать должный для того чтобы ретранслировать участок 1
21-ое июля 20: 10: 41: ISAKMP: (0): ретранслировать
21-ое июля 20 участка 1 MM_SA_SETUP…: 10: 41: ISAKMP (0): инкрементирующ счетчик ошибки на sa, попытайте 1 из 5: ретранслируйте участок 1
21-ое июля 20: 10: 41: ISAKMP: (0): ретранслировать участок 1 MM_SA_SETUP
21-ое июля 20: 10: 41: ISAKMP: (0): посылка пакета к peer_port 500 (r) MM_SA_SETUP
21-ое июля 20 my_port 500 2.2.2.2: 10: 41: ISAKMP: (0): Посылка IKE IPv4 Packet.
21-ое июля 20: 10: 44: ISAKMP: (0): ретранслировать
21-ое июля 20 участка 1 MM_SA_SETUP…: 10: 44: ISAKMP (0): инкрементирующ счетчик ошибки на sa, попытайте 5 из 5: ретранслируйте участок 1
21-ое июля 20: 10: 44: ISAKMP: (0): ретранслировать участок 1 MM_SA_SETUP
21-ое июля 20: 10: 44: ISAKMP: (0): посылка пакета к peer_port 500 (r) MM_SA_SETUP
21-ое июля 20 my_port 500 2.2.2.2: 10: 44: ISAKMP: (0): Посылка IKE IPv4 Packet.
21-ое июля 20: 10: 45: ISAKMP: (0): продувать SA., sa=84F7B828, delme=84F7B828
21-ое июля 20: 10: 45: ISAKMP: (0): продувать SA., sa=834553BC, delme=834553BC
21-ое июля 20: 10: 45: ISAKMP: (0): продувать SA., sa=84CC8650, delme=84CC8650
21-ое июля 20: 10: 48: ISAKMP (0): полученный пакет от спорта 500 глобального (r) MM_SA_SETUP
21-ое июля 20 dport 500 2.2.2.2: 10: 48: ISAKMP: (0): пакет участка 1 будет дубликатом ранее packet.
21-ое июля 20: 10: 48: ISAKMP: (0): ретранслировать должный для того чтобы ретранслировать участок 1
21-ое июля 20: 10: 49: ISAKMP: (0): ретранслировать
21-ое июля 20 участка 1 MM_SA_SETUP…: 10: 49: ISAKMP (0): инкрементирующ счетчик ошибки на sa, попытайте 2 из 5: ретранслируйте участок 1
21-ое июля 20: 10: 49: ISAKMP: (0): ретранслировать участок 1 MM_SA_SETUP
21-ое июля 20: 10: 49: ISAKMP: (0): посылка пакета к peer_port 500 (r) MM_SA_SETUP
21-ое июля 20 my_port 500 2.2.2.2: 10: 49: ISAKMP: (0): Посылка IKE IPv4 Packet.
21-ое июля 20: 10: 54: ISAKMP: (0): ретранслировать
21-ое июля 20 участка 1 MM_SA_SETUP…: 10: 54: ISAKMP: (0): пэр не делает параноидное keepalives.

21-ое июля 20: 10: 54: ISAKMP: (0): уничтожающ причину «смерть SA ретрансляцией P1» заявите (r)
21-ое июля 20 MM_SA_SETUP (пэра 2.2.2.2): 10: 54: ISAKMP: (0): уничтожающ причину «смерть SA ретрансляцией P1» заявите (r)
21-ое июля 20 MM_SA_SETUP (пэра 2.2.2.2): 10: 54: ISAKMP: Открывающ struct 0x84CD087C пэра для isadb_mark_sa_deleted (), подсчитайте 0
21-ое июля 20: 10: 54: ISAKMP: Уничтожать узел пэра peer_reap для 2.2.2.2: 84CD087C
21-ое июля 20: 10: 54: ISAKMP: (0): Входной сигнал = IKE_MESG_INTERNAL, IKE_PHASE1_DEL
21-ое июля 20: 10: 54: ISAKMP: (0): Старое положение = новое положение IKE_R_MM2 = IKE_DEST_SA

21-ое июля 20: 10: 56: ISAKMP (0): полученный пакет от спорта 500 глобального (r) MM_SA_SETUP
21-ое июля 20 dport 500 2.2.2.2: 10: 56: ISAKMP: (0): пакет участка 1 будет дубликатом ранее packet.
21-ое июля 20: 10: 56: ISAKMP: (0): ретранслировать должный для того чтобы ретранслировать участок 1
21-ое июля 20: 10: 57: ISAKMP: (0): ретранслировать
21-ое июля 20 участка 1 MM_SA_SETUP…: 10: 57: ISAKMP (0): инкрементирующ счетчик ошибки на sa, попытайте 3 из 5: ретранслируйте участок 1
21-ое июля 20: 10: 57: ISAKMP: (0): ретранслировать участок 1 MM_SA_SETUP
21-ое июля 20: 10: 57: ISAKMP: (0): посылка пакета к peer_port 500 (r) MM_SA_SETUP
21-ое июля 20 my_port 500 2.2.2.2: 10: 57: ISAKMP: (0): Посылка IKE IPv4 Packet.
21-ое июля 20: 11: 05: ISAKMP (0): полученный пакет от спорта 500 глобального (n) НОВОГО SA
21-ое июля 20 dport 500 2.2.2.2: 11: 05: ISAKMP: Создал struct для 2.2.2.2, пэра port 500
21-ое июля 20 пэра: 11: 05: ISAKMP: Новый пэр создал пэра = peer_handle 0x84CD087C = 0x80000126
21-ое июля 20: 11: 05: ISAKMP: Фиксировать struct 0x84CD087C пэра, refcount 1 для crypto_isakmp_process_block
21-ое июля 20: 11: 05: ISAKMP: местный порт 500, дистанционный порт 500
21-ое июля 20: 11: 05: ISAKMP: Находите dup sa в вале avl во время вызывать isadb_insert sa = 834553BC
21-ое июля 20: 11: 05: ISAKMP: (0): Входной сигнал = IKE_MESG_FROM_PEER, IKE_MM_EXCH
21-ое июля 20: 11: 05: ISAKMP: (0): Старое положение = положение IKE_READY новое = IKE_R_MM1

21-ое июля 20: 11: 05: ISAKMP: (0): обрабатывать полезную нагрузку SA. сообщение удостоверение личности = 0
21-ое июля 20: 11: 05: ISAKMP: (0): обрабатывать payload
21-ое июля 20 удостоверения личности поставщика: 11: 05: ISAKMP: (0): удостоверение личности поставщика кажется Unity/DPD но major 123 mismatch
21-ое июля 20: 11: 05: ISAKMP: (0): удостоверением личности поставщика будет NAT-T v2
21-ое июля 20: 11: 05: ISAKMP: (0): обрабатывать payload
21-ое июля 20 удостоверения личности поставщика: 11: 05: ISAKMP: (0): удостоверение личности поставщика кажется Unity/DPD но major 157 mismatch
21-ое июля 20: 11: 05: ISAKMP: (0): удостоверением личности поставщика будет NAT-T v3
21-ое июля 20: 11: 05: ISAKMP: (0): обрабатывать payload
21-ое июля 20 удостоверения личности поставщика: 11: 05: ISAKMP: (0): удостоверение личности поставщика кажется Unity/DPD но major 69 mismatch
21-ое июля 20: 11: 05: ISAKMP (0): удостоверением личности поставщика будет RFC 3947
21-ое июля 20 NAT-T: 11: 05: ISAKMP: (0): обрабатывать payload
21-ое июля 20 удостоверения личности поставщика: 11: 05: ISAKMP: (0): обрабатывать payload
21-ое июля 20 удостоверения личности поставщика frag IKE: 11: 05: ISAKMP: (0): удостоверением личности поставщика будет IKE Fragmentation
21-ое июля 20: 11: 05: ISAKMP: (0): Supported
21-ое июля 20 разртва AM: 11: 05: ISAKMP: (0): ое
21-ое июля 20 2.2.2.2 пэра pre-shared ключевое сопрягая: 11: 05: ISAKMP: (0): местное preshared ключевое found
21-ое июля 20: 11: 05: ISAKMP: Профили скеннирования для isakmp isakmp_2
21-ое июля 20 xauth…: 11: 05: ISAKMP: (0): Проверяющ ISAKMP преобразовывают 1 против policy
21-ое июля 20 приоритета 8: 11: 05: ISAKMP:      группа невыполнения обязательства 5
21-ое июля 20: 11: 05: ISAKMP:      шифрование AES-CBC
21-ое июля 20: 11: 05: ISAKMP:      keylength 256
21-ое июля 20: 11: 05: ISAKMP:      хэш SHA
21-ое июля 20: 11: 05: ISAKMP:      pre-share
21-ое июля 20 auth: 11: 05: ISAKMP:      жизнь печатает внутри seconds
21-ое июля 20: 11: 05: ISAKMP:      продолжительность жизни (VPI) 0x0 0x1 0x51 0x80
21-ое июля 20: 11: 05: ISAKMP: (0): Предложенный алгоритм шифрования не сопрягает политику!
21-ое июля 20: 11: 05: ISAKMP: (0): atts не приемлемо. Следующая полезная нагрузка будет 3
21-ое июля 20: 11: 05: ISAKMP: (0): Проверяющ ISAKMP преобразовывают 2 против policy
21-ое июля 20 приоритета 8: 11: 05: ISAKMP:      группа невыполнения обязательства 2
21-ое июля 20: 11: 05: ISAKMP:      шифрование 3DES-CBC
21-ое июля 20: 11: 05: ISAKMP:      хэш MD5
21-ое июля 20: 11: 05: ISAKMP:      pre-share
21-ое июля 20 auth: 11: 05: ISAKMP:      жизнь печатает внутри seconds
21-ое июля 20: 11: 05: ISAKMP:      продолжительность жизни (VPI) 0x0 0x1 0x51 0x80
21-ое июля 20: 11: 05: ISAKMP: (0): atts приемлемо. Следующая полезная нагрузка будет 0
21-ое июля 20: 11: 05: ISAKMP: (0): Приемлемо atts: фактическая жизнь: 0
21-ое июля 20: 11: 05: ISAKMP: (0): Приемлемо atts: жизнь: 0
21-ое июля 20: 11: 05: ISAKMP: (0): Заполните atts в vpi_length sa: 4
21-ое июля 20: 11: 05: ISAKMP: (0): Заполните atts в life_in_seconds sa: 86400
21-ое июля 20: 11: 05: ISAKMP: (0): Возвращающ фактическая продолжительность жизни: 86400
21-ое июля 20: 11: 05: ISAKMP: (0):: Начатый отметчик времени продолжительности жизни: 86400.

21-ое июля 20: 11: 05: ISAKMP: (0): обрабатывать payload
21-ое июля 20 удостоверения личности поставщика: 11: 05: ISAKMP: (0): удостоверение личности поставщика кажется Unity/DPD но major 123 mismatch
21-ое июля 20: 11: 05: ISAKMP: (0): удостоверением личности поставщика будет NAT-T v2
21-ое июля 20: 11: 05: ISAKMP: (0): обрабатывать payload
21-ое июля 20 удостоверения личности поставщика: 11: 05: ISAKMP: (0): удостоверение личности поставщика кажется Unity/DPD но major 157 mismatch
21-ое июля 20: 11: 05: ISAKMP: (0): удостоверением личности поставщика будет NAT-T v3
21-ое июля 20: 11: 05: ISAKMP: (0): обрабатывать payload
21-ое июля 20 удостоверения личности поставщика: 11: 05: ISAKMP: (0): удостоверение личности поставщика кажется Unity/DPD но major 69 mismatch
21-ое июля 20: 11: 05: ISAKMP (0): удостоверением личности поставщика будет RFC 3947
21-ое июля 20 NAT-T: 11: 05: ISAKMP: (0): обрабатывать payload
21-ое июля 20 удостоверения личности поставщика: 11: 05: ISAKMP: (0): обрабатывать payload
21-ое июля 20 удостоверения личности поставщика frag IKE: 11: 05: ISAKMP: (0): удостоверением личности поставщика будет IKE Fragmentation
21-ое июля 20: 11: 05: ISAKMP: (0): Supported
21-ое июля 20 разртва AM: 11: 05: ISAKMP: (0): Входной сигнал = IKE_MESG_INTERNAL, IKE_PROCESS_MAIN_MODE
21-ое июля 20: 11: 05: ISAKMP: (0): Старое положение = новое положение IKE_R_MM1 = IKE_R_MM1

21-ое июля 20: 11: 05: ISAKMP: (0): посылка поставщика ID
21-ое июля 20 IKE_FRAG: 11: 05: ISAKMP: (0): построенное NAT-T vendor-rfc3947 ID
21-ое июля 20: 11: 05: ISAKMP: (0): посылка пакета к peer_port 500 (r) MM_SA_SETUP
21-ое июля 20 my_port 500 2.2.2.2: 11: 05: ISAKMP: (0): Посылка IKE IPv4 Packet.
21-ое июля 20: 11: 05: ISAKMP: (0): Входной сигнал = IKE_MESG_INTERNAL, IKE_PROCESS_COMPLETE
21-ое июля 20: 11: 05: ISAKMP: (0): Старое положение = новое положение IKE_R_MM1 = IKE_R_MM2

21-ое июля 20: 11: 07: ISAKMP: (0): ретранслировать
21-ое июля 20 участка 1 MM_SA_SETUP…: 11: 07: ISAKMP (0): инкрементирующ счетчик ошибки на sa, попытайте 4 из 5: ретранслируйте участок 1
21-ое июля 20: 11: 07: ISAKMP: (0): ретранслировать участок 1 MM_SA_SETUP
21-ое июля 20: 11: 07: ISAKMP: (0): посылка пакета к peer_port 500 (r) MM_SA_SETUP
21-ое июля 20 my_port 500 2.2.2.2: 11: 07: ISAKMP: (0): Посылка IKE IPv4 Packet.
21-ое июля 20: 11: 13: ISAKMP (0): полученный пакет от спорта 500 глобального (r) MM_SA_SETUP
21-ое июля 20 dport 500 2.2.2.2: 11: 13: ISAKMP: (0): пакет участка 1 будет дубликатом ранее packet.
21-ое июля 20: 11: 13: ISAKMP: (0): ретранслировать должный для того чтобы ретранслировать участок 1
21-ое июля 20: 11: 14: ISAKMP: (0): ретранслировать
21-ое июля 20 участка 1 MM_SA_SETUP…: 11: 14: ISAKMP (0): инкрементирующ счетчик ошибки на sa, попытайте 1 из 5: ретранслируйте участок 1
21-ое июля 20: 11: 14: ISAKMP: (0): ретранслировать участок 1 MM_SA_SETUP
21-ое июля 20: 11: 14: ISAKMP: (0): посылка пакета к peer_port 500 (r) MM_SA_SETUP
21-ое июля 20 my_port 500 2.2.2.2: 11: 14: ISAKMP: (0): Посылка IKE IPv4 Packet.
21-ое июля 20: 11: 17: ISAKMP: (0): ретранслировать
21-ое июля 20 участка 1 MM_SA_SETUP…: 11: 17: ISAKMP (0): инкрементирующ счетчик ошибки на sa, попытайте 5 из 5: ретранслируйте участок 1
21-ое июля 20: 11: 17: ISAKMP: (0): ретранслировать участок 1 MM_SA_SETUP
21-ое июля 20: 11: 17: ISAKMP: (0): посылка пакета к peer_port 500 (r) MM_SA_SETUP
21-ое июля 20 my_port 500 2.2.2.2: 11: 17: ISAKMP: (0): Посылающ >Cisco ASA 5520 " underline " class= IKE IPv4 Packet.


21-ое июля 19: 01: 53 [IKEv1 ОТЛАЖИВАЮТ]: Питчер: получил ключа приобретите сообщение, spi 0x0
21-ое июля 19: 01: 53 [IKEv1]: IP = 1.1.1.1, Queuing сообщения KEY-ACQUIRE, котор нужно обрабатывать когда P1 SA будет complete.
21-ое июля 19: 01: 53 [IKEv1 ОТЛАЖИВАЮТ]: Питчер: получил ключа приобретите сообщение, spi 0x0

в действительности там будет немногой в дороге ошибок на стороне ASA!

I наклеит некоторые санированные configs дальше здесь если спрошено.  Вы для вашей помощи! class=

Ответ : Проблемы двигая L2L IPSec VPN от Cisco PIX к Cisco ASA 5520, соединяясь от Cisco 877

пожалуйста дайте ASA и 877 config