我已經配置了一個站點到站點 VPN 隧道，該隧道已啟動並按我的意願工作。我已經在需要相互通訊的兩端的電腦上配置了持久性路由。子網路如下：
站點 1：10.0.0.0/11 站點 2：192.168.200.0/24
當我嘗試從 ip 以 10.0.xx 開頭的電腦上的站點 1 訪問站點 2 時，我遇到了問題 例如，如果我的電腦配置了 ip 10.0.0.77/11，我可以訪問站點 2。 .100.1/11，我不能。在我看來，pix 強制站點 1 的子網路遮罩為 255.255.0.0，而非 255.224.0.0。
有誰知道這種情況以及如何解決它？
我的運行配置是：
運行配置站點 1：
PIX 版本 6.3(4)
介面 ethernet0 自動
介面 ethernet1 100full nameif
ethernet0 外部 security0 nameif
ethernet1 內部 security100 啟用
密碼 sdf4536gdsfgsd 加密的
passwd 342555dfgdf2345
136gd h323 h225 1720 修復協議 h323 ras 1718-1719 修復協議 http 80 修復協議 rsh 514 修復協議 rtsp 554 修復 協議 sip 5060 修復協議 sip udp 5060 修復協議 Skinny 2000 修復協議 smtp 25256960 修復協議 Skinny 20000 修復協議 252519696075196000 修復協議 。 200.0 他們的網路 名稱 10.0.0.8 svr1 名稱 10.0.0.245 svr2 名稱 10.0.0.248 svr3名稱 10.0.0.235 印表機存取清單inside_outbound_nat0_acl 允許ip 10.235 印表機存取清單inside_outbound_nat0_acl 允許ip 10.0. 0 存取清單Outside_cryptomap_20 允許ip 10.0.0.0 255.224。 your_network 255.255.255.0 主機 svr2 eq 網域 存取清單 Outside_access_in 授權udp your_network 255.255.255.0 主機svr2 eq 網域 存取清單 Outside_access_in 允許 udp your_network 255.255.255.0 任何 eq ntp 存取清單 Outside_access_in 允許 tcp your_network 255.255. our_network 255 .255.255.0 任何 存取清單inside_access_in 允許tcp 任何your_network 255.255.255.0 eq ftp 存取清單 inside_access_in 允許 icmp 任何 your_network 255.255.255.0 存取清單 inside_access_in 允許 tcp 主機 svr2 他們的網路主機 255.2555. 2 55.255.255.0 eq網域 存取-list inside_access_in 允許tcp 主機svr1 他們的網路255.255.255.0 eq ssh 存取清單 inside_access_in 允許 udp 任何 eq ntp 他們的網路 255.255.255.0 存取清單 inside_access_in 請求他們 的網路 255.255.255.0存取清單 inside_access_in. 3 89 訪問- list inside_access_in 備註rsync svr1 建置伺服器 存取清單 inside_access_in 允許 tcp 主機 svr1 他們的網路 255.255.255.0 eq 873 尋呼機線路 24 icmp 允許任何外部 icmp 允許任何內部
mtu 外部 1500
mtu 內部 1500
外部 IP 位址 219.148.111.77 255.255.255.192
內部 IP 位址 10.0.0.4 255.224.0.0 ip
稽核資訊操作
警報 內部稽核 位置our_network 2 55.255.255.0外部 pdm 位置 svr2 255.255.255.255 內部 pdm 位置 svr1 255.255.255.255 內部pdm 位置 svr3 255.255.255.255 內部 pdm 位置 svr3 255.255.255.255 內部pdm 位置 svr3 255.255.255.255 內部 pdm 位置 awe_printer 255. 0 全 域) 1 介面 nat（內部） 0 存取清單 inside_outbound_nat0_acl nat （內部） 1 0.0.0.0 0.0.0.0 0 0 介面外部存取群組 inside_access_in 介面外部 存取群組 inside_access_in 介面內部 路由外部 0.0.0.0 0.0.0.0 219.148.111.77 2550:00:00 時 xlaten 0:00: 00:00 半時 conlaten 0:00:00:00 時 n關閉0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 逾 時 h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0: 02:0000 sip 0:30:00 sip_media 0: 02:000 uauth 0:05:00 絕對 aaa-伺服器 TACACS+ 協定 tacacs+ aaa-伺服器 TACACS+ 最大失敗嘗試次數 3 aaa-伺服器 TACACS+ 死區時間 10 aaa-伺服器 RADIUS 協定半徑 aaaUS 伺服器 RADIUS 最大失敗嘗試次數 3 aaa -server RADIUS dedtime 10 aaa-server LOCAL 協定本地 http 伺服器啟用 http 10.0.0.0 255.224.0.0 inside 沒有 snmp-server 位置 沒有 snmp-server 聯絡 snmp-server 社群公共 沒有 snmp-server 啟用洪水防護 集MD5 esp-3des esp-md5-hmac 加密映射outside_map 20 ipsec-isakmp 加密映射outside_map 20 匹配地址outside_cryptomap_20加密映射 outside_map 20 設定 對等點219.148.111.76加密映射 outside_map 20021202020 2013 月外部 isakmp 啟用外部 isakmp 金鑰 ******** 位址 219.148.111.76 網路遮罩 255.255.255.255 no-xauth no-config-mode isakmp 策略 20 驗證預先共用 isakmp 策略 20 加密雜 湊策略 20isakmp md5 isakmp 政策 20 群組 2 isakmp 策略 20 生命週期 86400 telnet 逾時 5 ssh 逾時 5 控制台 超時 0 用戶名 user1 密碼 asdfafddafaf 加密權限 15 終端寬度 80 Cryptochecksum:43dfdecksumsum :43df
運行配置站點 2：
PIX 版本 6.3(4)
介面 ethernet0 100full
介面 ethernet1 100full
nameif ethernet0 外部 security0
nameif ethernet1 內部 security100
啟用密碼 iCEghfhgeC10Q80xp 加密
密碼 iCEghmC10 809707000 4ft
成本
p 21
修復 協議 h323 h225 1720 修復協定h323 ras 1718-1719 修復協定 http 80 修復協定 rsh 514 修復協定 rtsp 554 修復 協定 sip 5060 修復協定 sip udp 5060 修復協定 Skinny 2000 修復 協定 smtp 25550750 程式碼 修復 協定. 存取清單acl_inside 允許tcp 192.168.200.0 255.255.255.0 主機219.148.111.76 eq www 訪問清單 inside_outbound_nat0_acl 允許 ip 192.168.200.0存取清單 Outside_cryptomap_20 允許 ip 192.168.200.0 255.255 。 list Outside_access_in 允許icmp our_network 255.224.0.0 任何 尋呼線路 24 icmp 允許任何外部 icmp 允許任何內部 mtu 外部 1500 mtu 內部 1500 ip 位址外部 219.148.111.76 ip . .1 255.255。 ip 審核攻擊操作警報 pdm 位置 192.160.0.0 255.224.0.0 內部 pdm 位置 our_network 255.224.0.0 外部 pdm 歷史記錄 啟用 arp 超時 14400 全局（外部） 1 接口 nat（內部） 0 訪問列表 inside_outbound_nat0_acl nat ( inside) 1 0.0.0.0 0.0.0.0 0 0 介面外部路由中的存取群組 Outside_access_in 外部 0.0.0.0 0.0.0.0 219.148.111.76 1 timeout xlate 3:00:00 timeout conn 1:00:00 半關閉 00:010:00 半00 rpc 0:10:00 h225 1:00:00 逾時 h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 逾時 uauth 0:05 :00 絕對 aaa tacacs+ aaa 伺服器 TACACS+ 最大失敗嘗試次數 3 aaa 伺服器 TACACS+ 死時間 10 aaa 伺服器 RADIUS 協定半徑aaa 伺服器 RADIUS 最大失敗嘗試次數 3 aaa 伺服器 RADIUS 死時間 10 aaa 伺服器 本our_network 255.224.0.0 外部 http 192.168.200.0 255.255.255.0 內部 沒有 snmp 伺服器位置
no snmp-server 聯繫
snmp-server 社群公共
no snmp-server 啟用陷阱
洪水防護啟用
sysopt 連線允許-ipsec
加密 ipsec 轉換設定 ESP-3DES-MD5 esp-3des esp-md5-hma
加密映射 Outside_map 20 ipsec-isakmp
加密映射Outside_map 20
設定對等 219.148.111.77
加密映射 Outside_map 20 設定轉換集 ESP-3DES-MD5
加密映射 Outside_map 介面 外部
isakmp
******外部isakmp .網路遮罩255.255.255.255 no-xauth no-c onfig-mode
isakmp 策略 20 身份驗證預先共享
isakmp 策略 20 加密 3des
isakmp 策略 20 哈希 md5
isakmp 策略 20 組 2
isakmp 策略 20
0mp
. 200.0 255.255.255。裡面有0個
ssh 超時 60 控制台
超時 0
用戶名 user1 密碼 tjqqn/L/teN49dfsgsdfgZbw 加密
權限 15df
我看不到任何不正確的面具，但我可能對此視而不見。
謝謝
卡米
答案1
我沒有對 PIX 進行太多研究，但我想知道雙方是否都需要「ip classless」？由於缺失，我在過去對 IOS 設備決定奇怪的全類別（或至少八位元組邊界）網路遮罩時遇到了奇怪的問題。
答案2
乍看之下還不錯。我將它與我的 Pic (515E) 配置進行了比較，兩者看起來非常相似。我注意到您在“他們的網路”但沒有在“我們的網路”中使用了 sysopt 連接允許 ipsec。大概您想限制遠端對中央 LAN 的存取。可能值得新增 sysopt 連線允許 ipsec 作為測試。
診斷這個問題的常用方法是查看日誌輸出。當您從 10.1.100.* 位址或從遠端站點 ping 到 10.1.100.* 位址時，Pix 是否會報告任何有用的信息？在 ping 之前拆除 VPN 會很有趣，這樣您就可以看到任何 VPN 設定日誌。
JR