내가 원하는 대로 작동하고 작동하는 사이트 간 VPN 터널을 구성했습니다. 나는 PC의 양쪽 끝에서 서로 대화해야 하는 지속적인 경로를 구성했습니다. 서브넷은 다음과 같습니다.
사이트 1: 10.0.0.0/11 사이트 2: 192.168.200.0/24
10.0.xx 이외의 IP로 시작하는 PC에서 사이트 1에서 사이트 2에 액세스하려고 하면 문제가 발생합니다. 예를 들어 내 PC가 IP 10.0.0.77/11로 구성된 경우 사이트 2에 액세스할 수 있습니다. 10.1.100.1/11로 구성되어 있는데 할 수 없습니다. 제가 보기에는 pix가 사이트 1의 서브넷 마스크를 255.224.0.0 대신 255.255.0.0으로 강제하는 것 같습니다.
이것이 사실이고 이를 해결하는 방법을 알고 있는 사람이 있습니까?
내 실행 구성은 다음과 같습니다
구성 사이트 1 실행 중:
PIX 버전 6.3(4)
인터페이스 ethernet0 자동
인터페이스 ethernet1 100전체
이름if ethernet0 외부 보안0
nameif ethernet1 내부 security100
비밀번호 활성화 sdf4536gdsfgsd 암호화된
비밀번호 3425sdfsdfg2345 암호화된
호스트 이름 당사 측
도메인 이름 domain.com
수정 프로토콜 dns 최대 길이 512
수정 프로토콜 ftp 21
수정 프로토콜 h323 h225 1720
수정 프로토콜 h323 ras 1718-1719
수정 프로토콜 http 80
수정 프로토콜 rsh 514
수정 프로토콜 rtsp 554
수정 프로토콜 sip 5060
수정 프로토콜 sip udp 5060
수정 프로토콜 skinny 2000
수정 프로토콜 smtp 25 수정
프로토콜 sqlnet 1521
수정 프로토콜 tftp 69
이름
이름 192.168 .200.0 their_network
이름 10.0.0.8 svr1
이름 10.0.0.245 svr2
이름 10.0.0.248 svr3
이름 10.0.0.235 프린터
액세스 목록 inside_outbound_nat0_acl 허용 IP 10.0.0.0 255.224.0.0 their_network 255.255.25 5.0 액세스 목록 Outside_cryptomap_20 허용 IP 10.0.0.0 255.224. 0.0 their_network 255.255.255.0
액세스 목록 외부_access_in 허용 tcp their_network 255.255.255.0 모든 eq www
액세스 목록 외부_액세스_in 허용 tcp their_network 255.255.255.0 모든 eq https
액세스 목록 외부_access_in 허용 tcp their_network 255.255.255.0 호스트 s vr2 eq 도메인
액세스 목록 Outside_access_in 허가 udp their_network 255.255.255.0 호스트 svr2 eq 도메인
액세스 목록 external_access_in 허가 udp their_network 255.255.255.0 모든 eq ntp
액세스 목록 외부_access_in 허용 tcp their_network 255.255.255.0 호스트 svr3 eq ssh
액세스 목록 외부_access_in 허용 icmp their_network 2 55.255.255.0 모든
액세스 목록 inside_access_in 허용 tcp any their_network 255.255.255.0 eq ftp
액세스 목록 inside_access_in 허용 icmp 모든 their_network 255.255.255.0
액세스 목록 inside_access_in 허용 tcp 호스트 svr2 their_network 255.255.255.0 eq 도메인
액세스 목록 inside_access_in 허용 udp 호스트 their_network 255.255.255.0 eq 도메인
액세스 -list inside_access_in 허가 tcp 호스트 svr1 their_network 255.255.255.0 eq ssh
access-list inside_access_in 허가 udp any eq ntp their_network 255.255.255.0
access-list inside_access_in 원격 관리를 위해 요청됨
access-list inside_access_in 허가 tcp any their_network 255.255.255.0 eq 3 389
접속- list inside_access_in 설명 rsync svr1 서버 구축
액세스 목록 inside_access_in 허용 tcp 호스트 svr1 their_network 255.255.255.0 eq 873
호출기 라인 24
icmp 외부 허용
icmp 내부 허용
1500 외부의 모든 외부 mtu 허용
mtu 내부 1500
ip 주소 외부 219.148.111.77 255.255.255.192
ip 주소 내부 10.0.0.4 255.224.0.0
ip 감사 정보 조치 경보
ip 감사 공격 조치 경보
pdm 위치 10.0.0.0 255.224.0.0 내부
pdm 위치 their_network 255.255 255.0
pdm 위치 svr2 외부 255.255.255.255 내부
pdm 위치 svr1 255.255.255.255 내부
pdm 위치 svr3 255.255.255.255 내부
pdm 위치 awe_printer 255.255.255.255 내부
pdm 기록 활성화
arp 시간 초과 14400
전역(외부) 1 인터페이스
nat(내부) 0 액세스 목록 inside_outbound_nat0_acl
nat(내부) 1 0.0.0.0 0.0.0.0 0 0
인터페이스 외부 액세스 그룹 외부
액세스 그룹 외부 액세스 그룹 내부
경로 외부 인터페이스 내부 액세스 그룹 inside_access_in 0.0.0.0 0.0.0.0 219.148.111.77 255
시간 초과 xlate 3:00:00
시간 초과 연결 1:00:00 절반 -닫힘 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
시간 초과 h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
시간 제한 uauth 0:05:00 절대
aaa-server TACACS+ 프로토콜 tacacs+
aaa-server TACACS+ 최대 실패 시도 3
aaa-server TACACS+ 데드타임 10
aaa-server RADIUS 프로토콜 반경
aaa-server RADIUS 최대 실패 시도 3
aaa-server RADIUS 데드타임 10
aaa-server LOCAL 프로토콜 로컬
http 서버 활성화
http 10.0.0.0 255.224.0.0 내부
snmp 서버 위치 없음
snmp 서버 연락처 없음
snmp-server 커뮤니티 공개 snmp
서버 없음 트랩 활성화
플러드 가드 활성화
암호화 ipsec 변환 집합 ESP-3DES -MD5 esp-3des esp-md5-hmac
암호화 맵 Outside_map 20 ipsec-isakmp
암호화 맵 Outside_map 20 일치 주소 Outside_cryptomap_20 암호화
맵 Outside_map 20 세트 피어 219.148.111.76
암호화 맵 Outside_map 20 세트 변환 세트 ESP-3DES-MD5
암호화 맵 Outside_map 인터페이스 외부
isakmp 활성화 외부
isakmp 키 ******** 주소 219.148.111.76 넷마스크 255.255.255.255 no-xauth no-config-mode
isakmp 정책 20 인증 사전 공유
isakmp 정책 20 암호화 3des
isakmp 정책 20 해시 md5
isakmp 정책 20 그룹 2
isakmp 정책 20 수명 86400
텔넷 시간 초과 5
ssh 시간 초과 5
콘솔 시간 초과 0
사용자 이름 user1 비밀번호 asdfafddafaf 암호화된 권한 15
터미널 너비 80
Cryptochecksum:43dfhsd34fghh
: end
[OK]
구성 사이트 2 실행 중:
PIX 버전 6.3(4)
인터페이스 ethernet0 100full
인터페이스 ethernet1 100full
nameif ethernet0 외부 보안0
nameif ethernet1 내부 security100
활성화 비밀번호 iCEghfhgeC10Q80xp 암호화된
비밀번호 iCEghgfhC10Q80xp 암호화된
호스트 이름 vietnam-their-side
도메인 이름 domain1.com
수정 프로토콜 dns 최대 길이 512
수정 프로토콜 ftp 21
수정 프로토콜 h323 h225 1720
수정 프로토콜 h323 ras 1718-1719
수정 프로토콜 http 80
수정 프로토콜 rsh 514
수정 프로토콜 rtsp 554
수정 프로토콜 sip 5060
수정 프로토콜 sip udp 5060
수정 프로토콜 skinny 2000
수정 프로토콜 smtp 25
수정 프로토콜 sqlnet 1521
수정 프로토콜 tftp 69
이름
이름 10.0.0.0 our_network
액세스 목록 acl_inside 허가 tcp 192.168.200.0 255.255.255.0 호스트 219.148.111.76 eq www
액세스 목록 inside_outbound_nat0_acl 허가 ip 192.168.200.0 255.255.255.0 our_network 255.224.0.0
액세스 목록 외부_cryptomap_20 허용 IP 192.168.200.0 255.255. 255.0 our_network 255.224.0.0
access-list Outside_access_in 허용 icmp our_network 255.224.0.0 모든
호출기 회선 24
icmp 모든 외부
icmp 허용 모든 내부
mtu 외부 1500
mtu 내부 1500
ip 주소 외부 219.148.111.76 255.255.255.192
ip 주소 192.168.200.1 255.255 내부. 255.0
ip 감사 정보 작업 알람
ip 감사 공격 작업 알람
pdm 위치 192.160.0.0 255.224.0.0 내부
pdm 위치 our_network 255.224.0.0 외부
pdm 기록 활성화
arp 시간 제한 14400
전역(외부) 1 인터페이스
nat(내부) 0 액세스 목록 inside_outbound_nat0_acl
nat 내부) 1 0.0.0.0 0.0.0.0 0 0
액세스 그룹 외부
경로 외부 인터페이스의 외부_access_in 0.0.0.0 0.0.0.0 219.148.111.76 1
시간 초과 xlate 3:00:00
시간 초과 연결 1:00:00 반 닫힘 0:10 :00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
시간 초과 h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
시간 초과 uauth 0:05 :00 절대
aaa-server TACACS+ 프로토콜 tacacs+
aaa-server TACACS+ 최대 실패 시도 3
aaa-server TACACS+ 데드타임 10
aaa-server RADIUS 프로토콜 반경
aaa-server RADIUS 최대 실패 시도 3
aaa-server RADIUS 데드타임 10
aaa-server 로컬 프로토콜 로컬
aaa 인증 SSH 콘솔 로컬
http 서버 활성화
http our_network 255.224.0.0 외부
http 192.168.200.0 255.255.255.0 내부
snmp 서버 위치 없음
snmp-server 연락처 없음
snmp-server 커뮤니티 공개
없음 snmp-server 활성화
트랩 플러드 가드 활성화
sysopt 연결 허용-ipsec
암호화 ipsec 변환 세트 ESP-3DES-MD5 esp-3des esp-md5-hma
암호화 맵 Outside_map 20 ipsec-isakmp
암호화 맵 Outside_map 20 일치 주소 Outside_cryptomap_20
암호화 맵 Outside_map 20 세트 피어 219.148.111.77
암호화 맵 Outside_map 20 세트 변환 세트 ESP-3DES-MD5
암호화 맵 Outside_map 인터페이스 외부
isakmp 활성화 외부
isakmp 키 ******** 주소 219.148.111.77 넷마스크 255.255.255.255 no- xauth no-c onfig-mode
isakmp 정책 20 인증 사전 공유
isakmp 정책 20 암호화 3des
isakmp 정책 20 해시 md5
isakmp 정책 20 그룹 2
isakmp 정책 20 수명 86400
텔넷 시간 초과 5
ssh 192.168.200.0 255.255.255.0 내부
SSH 시간 초과 60
콘솔 시간 초과 0
사용자 이름 user1 비밀번호 tjqqn/L/teN49dfsgsdfgZbw 암호화된 권한 15
터미널 너비 80
Cryptochecksum:bf200a9175be27sdfgsfdgdb91320d6df7ce5b21
: end
잘못된 마스크는 볼 수 없지만 눈이 멀 수도 있습니다.
감사해요
캐미
답변1
나는 PIXes에 대해 많이 언급하지 않았지만 양쪽에 "ip classless"가 필요한지 궁금합니다. 나는 과거에 누락으로 인해 이상한 클래스 전체(또는 적어도 옥텟 경계) 넷마스크를 결정하는 IOS 장치와 관련하여 호기심 많은 문제를 겪었습니다.
답변2
얼핏 보면 괜찮아 보입니다. 내 Pic(515E) 구성과 비교했는데 두 가지가 매우 유사해 보입니다. their_network에서는 sysopt 연결 허가-ipsec을 사용했지만 our_network에서는 사용하지 않았습니다. 아마도 원격 끝에서 중앙 LAN에 대한 액세스를 제한하고 싶을 것입니다. 테스트처럼 sysopt 연결 허용-ipsec을 추가하는 것이 좋습니다.
이 문제를 진단하는 일반적인 방법은 로깅 출력을 보는 것입니다. Pix는 10.1.100.* 주소에서 또는 원격 사이트에서 10.1.100.* 주소로 ping할 때 유용한 정보를 보고합니까? VPN 설정 로그를 볼 수 있도록 핑을 보내기 전에 VPN을 해제하는 것이 흥미로울 것입니다.
JR