Me encantaría publicar la configuración o los registros como referencia, pero tengo problemas para que mi VPN de acceso remoto funcione en la misma interfaz que mi VPN IPSEC de sitio a sitio. Estoy usando un mapa criptográfico dinámico para la VPN de acceso remoto, pero parece que está fallando al intentar hacer la fase uno. ¿Alguien podría darme una configuración de ejemplo simple para trabajar?
EDITAR:
Aquí hay un volcado de depuración que falla después de implementar los perfiles ISAKMP según la sugerencia a continuación. Se me solicita el nombre de usuario y la contraseña, pero luego se agota el tiempo de espera. Parece que la autorización de isakmp está fallando. Actualmente, la autorización de isakmp se establece en la lista de usuarios locales. ¿Eso parece ser el problema para ustedes?
Jul 3 16:40:44.297: ISAKMP/aaa: unique id = 29277
Jul 3 16:40:44.297: ISAKMP:(0):Proposed key length does not match policy
Jul 3 16:40:44.297: ISAKMP:(0):atts are not acceptable. Next payload is 3
Jul 3 16:40:44.313: ISAKMP:(0):ISAKMP/tunnel: setting up tunnel REMOTEACCESS pw request
Jul 3 16:40:44.313: ISAKMP:(0):ISAKMP/tunnel: Tunnel REMOTEACCESS PW Request successfully sent to AAA
Jul 3 16:40:44.317: ISAKMP:(0):ISAKMP/tunnel: received callback from AAA
AAA/AUTHOR/IKE: Processing AV tunnel-password
AAA/AUTHOR/IKE: Processing AV addr-pool
AAA/AUTHOR/IKE: Processing AV inacl
AAA/AUTHOR/IKE: Processing AV dns-servers
AAA/AUTHOR/IKE: Processing AV wins-servers
AAA/AUTHOR/IKE: Processing AV route-metric
Jul 3 16:40:44.317: ISAKMP/tunnel: received tunnel atts
Jul 3 16:40:44.341: ISAKMP AAA: Deleting old aaa_uid = 29277
Jul 3 16:40:44.341: ISAKMP AAA: NAS Port Id is already set to 174.98.136.27
Jul 3 16:40:44.341: ISAKMP:(0):AAA: Nas Port ID set to 174.98.136.27.
Jul 3 16:40:44.341: ISAKMP AAA: Allocated new aaa_uid = 29278
Jul 3 16:40:44.341: ISAKMP AAA: Accounting is not enabled
Jul 3 16:40:48.337: ISAKMP AAA: NAS Port Id is already set to 174.98.136.27
Jul 3 16:40:48.337: ISAKMP/Authen: unique id = 29278
Jul 3 16:40:48.337: ISAKMP:(2110):AAA Authen: setting up authen_request
Jul 3 16:40:48.337: ISAKMP:(2110):AAA Authen: Successfully sent authen info to AAA
Jul 3 16:40:48.337: ISAKMP:(2110):AAA Authen: Local Authentication or no RADIUS atts recvd
Jul 3 16:40:48.349: ISAKMP:(2110):ISAKMP/author: setting up the authorization request for REMOTEACCESS
Jul 3 16:40:48.349: ISAKMP:(0):ISAKMP/author: received callback from AAA
AAA/AUTHOR/IKE: Processing AV tunnel-password
AAA/AUTHOR/IKE: Processing AV addr-pool
AAA/AUTHOR/IKE: Processing AV inacl
AAA/AUTHOR/IKE: Processing AV dns-servers
Jul 3 16:40:48.349:
AAA/AUTHOR/IKE: no DNS addresses
AAA/AUTHOR/IKE: Processing AV wins-servers
Jul 3 16:40:48.349:
AAA/AUTHOR/IKE: no WINS addresses
AAA/AUTHOR/IKE: Processing AV route-metric
Jul 3 16:40:48.349: ISAKMP:(2110):ISAKMP/author: No Class attributes
Jul 3 16:40:48.349: ISAKMP:FSM error - Message from AAA grp/user.
También veo estos errores cuando depuro errores de isakmp e ipsec y extraigo los registros:
Jul 3 16:32:33.949: insert of map into mapdb AVL failed, map + ace pair already exists on the mapdb
Jul 3 16:32:57.557: ISAKMP:(0):Proposed key length does not match policy
Jul 3 16:32:57.557: ISAKMP:(0):atts are not acceptable. Next payload is 3
Jul 3 16:33:00.637: ISAKMP:FSM error - Message from AAA grp/user.
Respuestas:
Tomar una foto en la oscuridad aquí porque hay muchas variables que no mencionaste. Actualice la pregunta para incluir las tecnologías específicas que está utilizando, su configuración de currnet y el error que está recibiendo. Pero si está utilizando, por ejemplo, DMVPN + EZVPN, probablemente tendrá que usar llaveros y múltiples perfiles ISAKMP. Como señala los problemas de la fase 1, comprobaría eso. Los siguientes enlaces proporcionan configuraciones de referencia para DMVPN y EZVPN y L2L + EZVPN . Debería poder modificar para satisfacer sus necesidades.
Aquí hay una referencia del perfil ISAKMP para leer a la hora del almuerzo.
fuente
Sin ver cuál es su configuración, este ejemplo no será del todo exacto. Sin embargo, así es como configuraría el sitio A. El sitio B sería similar, menos las piezas remotas de VPN y la inversión de las piezas del sitio A y del sitio B. Cualquier cosa entre paréntesis debe completarse con su propia información.
Además, para este ejemplo en particular, la VPN remota sería a través del Cliente Cisco VPN y no el Cliente AnyConnect. ShrewSoft VPN Client también funciona.
fuente
Aquí hay otro excelente recurso para DMVPN:
https://nwktimes.blogspot.com/search/label/DMVPN
fuente