Ficaria feliz em publicar a configuração ou os logs como referência, mas estou tendo problemas para fazer com que minha VPN de acesso remoto funcione na mesma interface que meu site para o site IPSEC VPN. Estou usando um mapa de criptografia dinâmico para o acesso remoto à VPN, mas parece que está falhando ao tentar fazer a fase um. Alguém seria capaz de me dar um exemplo simples de configuração para trabalhar?
EDITAR:
Aqui está um despejo de depuração que falha após a implementação de perfis ISAKMP por sugestão abaixo. É solicitado o nome de usuário e a senha, mas o tempo limite é excedido. Parece que a autorização do isakmp está falhando. Atualmente, a autorização do isakmp é apenas definida para a lista de usuários locais. Isso parece ser o problema para vocês?
Jul 3 16:40:44.297: ISAKMP/aaa: unique id = 29277
Jul 3 16:40:44.297: ISAKMP:(0):Proposed key length does not match policy
Jul 3 16:40:44.297: ISAKMP:(0):atts are not acceptable. Next payload is 3
Jul 3 16:40:44.313: ISAKMP:(0):ISAKMP/tunnel: setting up tunnel REMOTEACCESS pw request
Jul 3 16:40:44.313: ISAKMP:(0):ISAKMP/tunnel: Tunnel REMOTEACCESS PW Request successfully sent to AAA
Jul 3 16:40:44.317: ISAKMP:(0):ISAKMP/tunnel: received callback from AAA
AAA/AUTHOR/IKE: Processing AV tunnel-password
AAA/AUTHOR/IKE: Processing AV addr-pool
AAA/AUTHOR/IKE: Processing AV inacl
AAA/AUTHOR/IKE: Processing AV dns-servers
AAA/AUTHOR/IKE: Processing AV wins-servers
AAA/AUTHOR/IKE: Processing AV route-metric
Jul 3 16:40:44.317: ISAKMP/tunnel: received tunnel atts
Jul 3 16:40:44.341: ISAKMP AAA: Deleting old aaa_uid = 29277
Jul 3 16:40:44.341: ISAKMP AAA: NAS Port Id is already set to 174.98.136.27
Jul 3 16:40:44.341: ISAKMP:(0):AAA: Nas Port ID set to 174.98.136.27.
Jul 3 16:40:44.341: ISAKMP AAA: Allocated new aaa_uid = 29278
Jul 3 16:40:44.341: ISAKMP AAA: Accounting is not enabled
Jul 3 16:40:48.337: ISAKMP AAA: NAS Port Id is already set to 174.98.136.27
Jul 3 16:40:48.337: ISAKMP/Authen: unique id = 29278
Jul 3 16:40:48.337: ISAKMP:(2110):AAA Authen: setting up authen_request
Jul 3 16:40:48.337: ISAKMP:(2110):AAA Authen: Successfully sent authen info to AAA
Jul 3 16:40:48.337: ISAKMP:(2110):AAA Authen: Local Authentication or no RADIUS atts recvd
Jul 3 16:40:48.349: ISAKMP:(2110):ISAKMP/author: setting up the authorization request for REMOTEACCESS
Jul 3 16:40:48.349: ISAKMP:(0):ISAKMP/author: received callback from AAA
AAA/AUTHOR/IKE: Processing AV tunnel-password
AAA/AUTHOR/IKE: Processing AV addr-pool
AAA/AUTHOR/IKE: Processing AV inacl
AAA/AUTHOR/IKE: Processing AV dns-servers
Jul 3 16:40:48.349:
AAA/AUTHOR/IKE: no DNS addresses
AAA/AUTHOR/IKE: Processing AV wins-servers
Jul 3 16:40:48.349:
AAA/AUTHOR/IKE: no WINS addresses
AAA/AUTHOR/IKE: Processing AV route-metric
Jul 3 16:40:48.349: ISAKMP:(2110):ISAKMP/author: No Class attributes
Jul 3 16:40:48.349: ISAKMP:FSM error - Message from AAA grp/user.
Também vejo esses erros quando depuro erros isakmp e ipsec e retiro os logs:
Jul 3 16:32:33.949: insert of map into mapdb AVL failed, map + ace pair already exists on the mapdb
Jul 3 16:32:57.557: ISAKMP:(0):Proposed key length does not match policy
Jul 3 16:32:57.557: ISAKMP:(0):atts are not acceptable. Next payload is 3
Jul 3 16:33:00.637: ISAKMP:FSM error - Message from AAA grp/user.
Respostas:
Tirar uma foto no escuro aqui porque há muitas variáveis que você não mencionou. Atualize a pergunta para incluir as tecnologias específicas que você está usando, sua configuração do currnet e o erro que está recebendo. Mas se você estiver usando, por exemplo, DMVPN + EZVPN, provavelmente precisará usar porta-chaves e vários perfis ISAKMP. Como você aponta para as questões da fase 1, eu verificaria isso. Os links a seguir fornecem configurações de referência para DMVPN e EZVPN e L2L + EZVPN . Você deve poder modificar para atender às suas necessidades.
Aqui está uma referência do perfil ISAKMP para algumas leituras na hora do almoço.
fonte
Sem ver qual é a sua configuração, este exemplo não será totalmente preciso. No entanto, aqui está como eu configuraria o Site A. O Site B seria semelhante, menos as partes remotas da VPN e as partes do site A e do site B. Qualquer coisa entre parênteses precisa ser preenchida com suas próprias informações.
Além disso, para este exemplo específico, a VPN remota seria através do Cisco VPN Client e não do AnyConnect Client. O ShrewSoft VPN Client também funciona.
fonte
Aqui está outro excelente recurso para DMVPN:
https://nwktimes.blogspot.com/search/label/DMVPN
fonte