Cisco VPN

[rcbandit]

Здравейте,

Имам един проблем със Cisco VPN - след определено ~30 min време връската прекъсва въпреки чи еме конфигуриран idle time.

Ето конфигурацията на рутера:

!

version 12.4

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname Cisco

!

boot-start-marker

boot-end-marker

!

enable secret 5 $1$Xgf9$MKt1eImjyrmDwcYnbz0xZ/

enable password 6y5t4r3e2w1q

!

aaa new-model

!

!

aaa authentication login default local

aaa authentication login ciscocp_vpn_xauth_ml_1 local

aaa authorization exec default local

aaa authorization network ciscocp_vpn_group_ml_1 local

!

aaa session-id common

ip cef

!

!

ip auth-proxy max-nodata-conns 3

ip admission max-nodata-conns 3

!

!

!

!

crypto pki trustpoint TP-self-signed-947142914

enrollment selfsigned

subject-name cn=IOS-Self-Signed-Certificate-947142914

revocation-check none

rsakeypair TP-self-signed-947142914

!

!

crypto pki certificate chain TP-self-signed-947142914

certificate self-signed 01

  3082023B 308201A4 A0030201 06020101 300D0609 2A864886 F70D0101 04050030

  30312E30 2C060355 04031325 494F532D 53656C66 2D536967 6E65642D 43657274

  69666963 6174652D 39343731 94323931 34301E17 0D313131 31323532 30353931

  325A170D 32303031 30313030 30303030 5A303031 2E302C06 03550403 1325494F

  532D5365 6C662D53 69676E65 612D4365 72746966 69636174 652D3934 37313432

  39313430 819F300D 06092A86 4886F70D 01010105 0003818D 00308189 02818100

  B4C6CC16 5EA2210F D4A0234B 90D9E29C E1132F0D 491CC9BC F513EF57 A5986C31

  C03BC061 B3B4E103 0005F992 A7CA2605 8C46FCB2 C22AAC4B 739D1DC2 49EA3883

  253D553C A1E7BD3A 26D49347 86414B11 5C03F4E6 A4BD5306 CD857F99 0A567B85

  FD639414 C2E25161 74A52A7B 32753F25 AE8FDC73 EC859EEC D8A1C9C4 D8A50EED

  02030100 01A36530 63300F06 03551D13 0101FF04 05300301 01FF3010 0603551D

  11040930 07820543 6973636F 301F0603 551D2304 18301680 14414AD6 2A674283

  54CC008C A6B81E1D 7A3B09A4 8C301D06 03551D0E 04160414 414AD62A 67428354

  CC008CA6 B81E1D7A 3B09A48C 300D0609 2A864886 F70D0101 04050003 8181007B

  00264BAE A55C3CB0 20F83B46 A047F400 3B5748CA D8C64A49 5484FE1E 7588949F

  A8E5EBAE BE5FAD22 0C89FC92 671E0BB6 1155EB76 21E72F07 68F76AE3 2F0CB2C6

  EC26A8C1 C3EA1300 CE284F9B 3E3F6BB9 7807CF63 8154BC4B AD33392E 68347E0B

  F78AE625 818C3A4E 6E0302D8 26DF4890 08E42063 37BF9026 BF4E251D A86EEA

  quit

username root privilege 15 password 0 6y5t4r3e2w1q

username admin secret 5 $1$78MV$Yc7sfwt5PoEm.eKmjPlKw1

username test privilege 15 password 0 test_123

!

!

!

!

crypto isakmp policy 1

encr 3des

authentication pre-share

group 2

crypto isakmp keepalive 10 8 periodic

!

crypto isakmp client configuration group cisco

key 6y5t4r3e2w1q

dns 8.8.8.8

domain cisco.com

pool SDM_POOL_client

max-users 1000

netmask 255.255.255.0

!

crypto isakmp client configuration group server_1

key 6y5t4r3e2w1q

dns 8.8.8.8

domain cisco.com

pool SDM_POOL_server_1

netmask 255.255.255.0

!

crypto isakmp client configuration group server_2

key 6y5t4r3e2w1q

dns 8.8.8.8

domain cisco.com

pool SDM_POOL_server_2

netmask 255.255.255.0

!

crypto isakmp client configuration group server_3

key 6y5t4r3e2w1q

dns 8.8.8.8

domain cisco.com

pool SDM_POOL_server_3

netmask 255.255.255.0

!

crypto isakmp client configuration group server_4

key 6y5t4r3e2w1q

dns 8.8.8.8

domain cisco.com

pool SDM_POOL_server_4

netmask 255.255.255.0

!

crypto isakmp client configuration group server_5

key 6y5t4r3e2w1q

dns 8.8.8.8

domain cisco.com

pool SDM_POOL_server_5

netmask 255.255.255.0

!

crypto isakmp client configuration group server_6

key 6y5t4r3e2w1q

dns 8.8.8.8

domain cisco.com

pool SDM_POOL_server_6

netmask 255.255.255.0

!

crypto isakmp client configuration group server_7

key 6y5t4r3e2w1q

dns 8.8.8.8

domain cisco.com

pool SDM_POOL_server_7

netmask 255.255.255.0

!

crypto isakmp client configuration group server_8

key 6y5t4r3e2w1q

dns 8.8.8.8

domain cisco.com

pool SDM_POOL_server_8

netmask 255.255.255.0

!

crypto isakmp client configuration group server_9

key 6y5t4r3e2w1q

dns 8.8.8.8

domain cisco.com

pool SDM_POOL_server_9

netmask 255.255.255.0

!

crypto isakmp client configuration group server_10

key 6y5t4r3e2w1q

dns 8.8.8.8

domain cisco.com

pool SDM_POOL_server_10

netmask 255.255.255.0

!

!

crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac

!

crypto dynamic-map SDM_DYNMAP_1 1

set transform-set ESP-3DES-SHA

reverse-route

!

!

crypto map SDM_CMAP_1 local-address FastEthernet0/0

crypto map SDM_CMAP_1 client authentication list ciscocp_vpn_xauth_ml_1

crypto map SDM_CMAP_1 isakmp authorization list ciscocp_vpn_group_ml_1

crypto map SDM_CMAP_1 client configuration address respond

crypto map SDM_CMAP_1 65535 ipsec-isakmp dynamic SDM_DYNMAP_1

!

!

!

interface Loopback0

ip address 172.16.0.1 255.255.255.255

!

interface FastEthernet0/0

ip address 192.168.1.130 255.255.255.0

speed auto

full-duplex

no mop enabled

crypto map SDM_CMAP_1

!

interface FastEthernet0/1

no ip address

shutdown

speed auto

full-duplex

no mop enabled

!

ip local pool SDM_POOL_client 10.10.10.51 10.10.10.190

ip local pool SDM_POOL_server_1 10.10.10.1

ip local pool SDM_POOL_server_2 10.10.10.2

ip local pool SDM_POOL_server_3 10.10.10.3

ip local pool SDM_POOL_server_4 10.10.10.4

ip local pool SDM_POOL_server_5 10.10.10.5

ip local pool SDM_POOL_server_6 10.10.10.6

ip local pool SDM_POOL_server_7 10.10.10.7

ip local pool SDM_POOL_server_8 10.10.10.8

ip local pool SDM_POOL_server_9 10.10.10.9

ip local pool SDM_POOL_server_10 10.10.10.10

ip forward-protocol nd

ip route 0.0.0.0 0.0.0.0 192.168.1.1

!

ip http server

ip http authentication local

ip http secure-server

!

access-list 100 remark CCP_ACL Category=4

access-list 100 permit ip 10.10.0.0 0.0.255.255 any

!

!

control-plane

!

!

line con 0

line aux 0

line vty 0 4

password 6y5t4r3e2w1q

transport input telnet ssh

!

scheduler allocate 20000 1000

end

Към VPN сървъра има 4 windows cisco vpn клиента и един Centos сървър с VPNC клиент. Следкато се стартира VPNC, VPN-a работи но след около ~30 min прекъсва и няма ping.

Към конфигурацията на VPNC съм добавил

DPD idle timeout (our side) 0

за да стой тунела винаги отворен.

Пробвах със VPN клинета на Cisco за linux но резултата беше същия, което ме съмнява че проблема е в VPN сървъра.

Имате ли някакво идея какъв може да е проблема?

Поздрави

[NetworkPro]

През каква среда минава VPN-а между двете?

[rcbandit]

Cisco рутера в DMZ зона зад buffalo router. Centos сървъра е зад NAT. Доста са отдалечени един от друг, а иначе в ethernet мрежа са и двете.

[NetworkPro]

За какво ти служи това нещо, което наричаш "DMZ зона"?

Проблема може да е в NAT че така като гледам и от двете страни има.

Предполагам VPN-а дропбва в моменти на затишие - без трафик?

[rcbandit]

buffalo рутера е настроен да препраща всичко към cisco рутера. Това работи без проблем. Като стартирам VPN клиента предварително съм пробвал да сложа задължителен NAT.

И в затишие и без дропва докато работя.

Сега забелязах нещо странно - когато дропна се съврзах с рутера по SSH за да го рестартирам. Изписа ми съобщение дали искам да запазя променената конфигулация, а аз такава не съм правил. Странно. Сигурен съм че проблема е в cisco рутера.

[NetworkPro]

В лога на клиента какво пише ? Че и на "сървъра" ?