Tengo varios Cisco ASA 5505 y PIX 506e en todo el mundo que actúan como puntos finales de VPN. Se conectan a un Cisco VPN Concentrator 3000 en la sede. Estoy usando Easy VPN para configurar la VPN (es decir, la mayor parte de la configuración es central en el concentrador VPN). La mayoría de los puntos finales funcionan absolutamente bien.
Sin embargo, hay tres que no lo hacen. 2 ASA y 1 PIX se desconectan de una de las VLAN de nuestra red. Esta es la VLAN en la que se ejecuta mi servidor de monitoreo, por lo que parece que esos puntos finales se han caído. Sin embargo, todavía puedo hacer ping a los puntos finales desde nuestra VLAN de usuario. Si luego hago SSH en el punto final y hago un ping a mi servidor de monitoreo, la conexión se restablece. Luego, después de unos 10 minutos, deja de funcionar nuevamente.
Revisé la configuración de mis puntos finales y no veo ninguna diferencia significativa. Una característica común es que los puntos finales afectados se conectan a Internet a través de enrutadores de calidad minorista. Sin embargo, no veo cómo esto podría afectar el tráfico dentro de un túnel VPN.
¿Alguna idea o sugerencia? También tengo un hilo en los foros de Cisco enhttps://supportforums.cisco.com/thread/344638. Otra persona ha informado del mismo problema.
Respuesta1
Creo que quieres decir "subred" en cada lugar donde tengas "vlan". No creo que vpn3k ni siquiera admita la asignación de túneles vpn a vlan. Si está utilizando un túnel dividido y generando 2 rutas diferentes para cada una de esas subredes, entonces en la imagen terminará con 1 asociación de seguridad ipsec por subred.
Parece que estos se están agotando por alguna razón...
No estoy seguro de por qué sucedería eso, pero sí sé que he estado usando esta configuración durante años sin problemas:
vpnclient server server1 server2
vpnclient mode network-extension-mode
vpnclient nem-st-autoconnect
vpnclient vpngroup group password ********
vpnclient username user password ********
vpnclient management tunnel mana.geme.nt.subnet 255.255.255.0
vpnclient enable
¿Es diferente de la configuración que estás ejecutando?