Не работает внутренний интерфейс

• Cisco ASA не пингуется внутренний интерфейс (туннель работает), Aleks305, 17:41 , 06-Янв-13, (1)
  • Cisco ASA не пингуется внутренний интерфейс (туннель работает), fomik2, 17:20 , 09-Янв-13, (2)
    • Cisco ASA не пингуется внутренний интерфейс (туннель работает), eek, 09:29 , 10-Янв-13, (3)
      • Cisco ASA не пингуется внутренний интерфейс (туннель работает), Дмитрий, 12:18 , 15-Янв-14, ( 8 )
• Cisco ASA не пингуется внутренний интерфейс (туннель работает), Rada, 10:25 , 05-Фев-13, (4)
  • Cisco ASA не пингуется внутренний интерфейс (туннель работает), radashah22, 10:42 , 05-Фев-13, (5)
    • Cisco ASA не пингуется внутренний интерфейс (туннель работает), apex2009, 09:47 , 06-Фев-13, (6)
      • Cisco ASA не пингуется внутренний интерфейс (туннель работает), radashah22, 10:08 , 07-Фев-13, (7)

>[оверквотинг удален]
>> tunnel-group **** ipsec-attributes
>> ikev1 pre-shared-key *****
>> !
>> !
>> prompt hostname context
>> no call-home reporting anonymous
>> : end
>> icmp permit any пробовал — не работает.
> читайте как работает ASA. то, о чем Вы говорите — нормальная реакция.можно
> решить с использованием management interface

Пробовал — не помогает.

Так не бывает. Либо пробовали не то, либо не пробовали.
Покажите вывод вот этого:
sh run policy-map global_policy

>> Пробовал — не помогает.
> Так не бывает. Либо пробовали не то, либо не пробовали.
> Покажите вывод вот этого:
> sh run policy-map global_policy
> и этого
> sh run access-list

а разве на ciscoasa5505 работает management interface? У меня точь в точь такая же проблема, сейчас набрал:

configure mode commands/options:
Ethernet IEEE 802.3
Vlan Catalyst Vlans

> Не пингуется внутренний интерфейс Cisco ASA 5505. Туннель работает. Пинг с внутреннего
> интерфейса на хост в главном офисе проходит, когда от хоста внутренний
> интерфейс ASA пингую — не пингуется.

Я как рах столкнулась с проблемой, что не могу с локального интерфейса асы поднять айписек туннель. Хотя через этот интерфейс маршрутизируемый хост туннель нормально поднимает. Железяка 5510, версия 8.2. У вас версия выше, это может зависеть от версии? Packet Tracer выдает ошибочку (acl-drop) Flow is denied by configured rule. Хотя с аксесс листом any any permit на все протоколы ошибка остается. А так в логах при попытке инициализации выдает run policy-map global_policy.

Nat-control отключала, security level на интерфейсах меняла, в nat exempt добавляла, inter-intra security тоже делала. В чем может быть косяк?

!
interface Ethernet0/0
nameif outside
security-level 0
ip address 5.6.7.8 255.255.255.252

interface Ethernet0/2.2
vlan 777
nameif office
security-level 0
ip address 1.2.3.4 255.255.255.248

object-group network DM_INLINE_NETWORK_4
network-object host 1.2.3.4
network-object host 1.2.3.5

object-group network DM_INLINE_NETWORK_3
network-object host 33.44.55.66
network-object host 33.44.55.67

access-list newpublic-office_nat0_outbound extended permit ip object-group DM_INLINE_NETWORK_4 object-group DM_INLINE_NETWORK_3

access-list outside_2_cryptomap extended permit ip object-group DM_INLINE_NETWORK_4 object-group DM_INLINE_NETWORK_3
access-list newpublic-office_access_in extended permit tcp object-group DM_INLINE_NETWORK_4 host 33.44.55.66 eq 8081

Я как рах столкнулась с проблемой, что не могу с локального интерфейса асы поднять айписек туннель. Хотя через этот интерфейс маршрутизируемый хост туннель нормально поднимает. Железяка 5510, версия 8.2. У вас версия выше, это может зависеть от версии? Packet Tracer выдает ошибочку (acl-drop) Flow is denied by configured rule. Хотя с аксесс листом any any permit на все протоколы ошибка остается. А так в логах при попытке инициализации выдает
%ASA-6-110003: Routing failed to locate next-hop for protocol from src
interface:src IP/src port to dest interface:dest IP/dest port.

Nat-control отключала, security level на интерфейсах меняла, в nat exempt добавляла, inter-intra security тоже делала. В чем может быть косяк?

!
interface Ethernet0/0
nameif outside
security-level 0
ip address 5.6.7.8 255.255.255.252

interface Ethernet0/2.2
vlan 777
nameif office
security-level 0
ip address 1.2.3.4 255.255.255.248

object-group network DM_INLINE_NETWORK_4
network-object host 1.2.3.4
network-object host 1.2.3.5

object-group network DM_INLINE_NETWORK_3
network-object host 33.44.55.66
network-object host 33.44.55.67

access-list newpublic-office_nat0_outbound extended permit ip object-group DM_INLINE_NETWORK_4 object-group DM_INLINE_NETWORK_3

access-list outside_2_cryptomap extended permit ip object-group DM_INLINE_NETWORK_4 object-group DM_INLINE_NETWORK_3
access-list newpublic-office_access_in extended permit tcp object-group DM_INLINE_NETWORK_4 host 33.44.55.66 eq 8081

> Добрый день.
> Я как рах столкнулась с проблемой, что не могу с локального интерфейса
> асы поднять айписек туннель. Хотя через этот интерфейс маршрутизируемый хост туннель
> нормально поднимает. Железяка 5510, версия 8.2. У вас версия выше, это
> может зависеть от версии? Packet Tracer выдает ошибочку (acl-drop) Flow is
> denied by configured rule. Хотя с аксесс листом any any permit
> на все протоколы ошибка остается. А так в логах при попытке
> инициализации выдает
>

покажите вывод команд: sh cry isakmp sa и sh cry ipsec sa

>> Добрый день.
>> Я как рах столкнулась с проблемой, что не могу с локального интерфейса
>> асы поднять айписек туннель. Хотя через этот интерфейс маршрутизируемый хост туннель
>> нормально поднимает. Железяка 5510, версия 8.2. У вас версия выше, это
>> может зависеть от версии? Packet Tracer выдает ошибочку (acl-drop) Flow is
>> denied by configured rule. Хотя с аксесс листом any any permit
>> на все протоколы ошибка остается. А так в логах при попытке
>> инициализации выдает
>>
> покажите вывод команд: sh cry isakmp sa и sh cry ipsec sa

Active SA: 4
Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)
Total IKE SA: 4

4 IKE Peer: 87.244.112.4
Type : L2L Role : initiator
Rekey : no State : MM_ACTIVE

interface: outside
Crypto map tag: outside_map0, seq num: 2, local addr: 86.32.171.70

access-list outside_2_cryptomap permit ip host 86.32.171.179 host 87.244.112.61
local ident (addr/mask/prot/port): (86.32.171.179/255.255.255.255/0/0)
remote ident (addr/mask/prot/port): (87.244.112.61/255.255.255.255/0/0)
current_peer: 87.244.112.4

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest: 0
#pkts decaps: 0, #pkts decrypt: 0, #pkts verify: 0
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts comp failed: 0, #pkts decomp failed: 0
#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0
#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0
#send errors: 0, #recv errors: 0

local crypto endpt.: 86.32.171.70, remote crypto endpt.: 87.244.112.4

path mtu 1500, ipsec overhead 74, media mtu 1500
current outbound spi: FBAF326A

inbound esp sas:
spi: 0x7F93C435 (2140390453)
transform: esp-aes-256 esp-sha-hmac no compression
in use settings =
slot: 0, conn_id: 73265152, crypto-map: outside_map0
sa timing: remaining key lifetime (kB/sec): (3915000/2620)
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0x00000000 0x00000001
outbound esp sas:
spi: 0xFBAF326A (4222562922)
transform: esp-aes-256 esp-sha-hmac no compression
in use settings =
slot: 0, conn_id: 73265152, crypto-map: outside_map0
sa timing: remaining key lifetime (kB/sec): (3915000/2620)
IV size: 16 bytes
replay detection support: Y
Anti replay bitmap:
0x00000000 0x00000001

access-list outside_cryptomap_2 extended permit ip object-group DM_INLINE_NETWORK_7 object-group DM_INLINE_NETWORK_9
object-group network DM_INLINE_NETWORK_7
network-object host 86.32.171.178
network-object host 86.32.171.179
object-group network DM_INLINE_NETWORK_9
network-object host 87.244.112.51
network-object host 87.244.112.61

Так вот со 86.32.171.179 сессия поднимается, а со 86.32.171.178 ( директли коннект) нет.

interface Ethernet0/2
no nameif
no security-level
no ip address
!
!
interface Ethernet0/2.2
vlan 777
nameif newpublic-office
security-level 100
ip address 86.32.171.178 255.255.255.248

Источник

Вам также может понравиться

Как в телевизоре убрать безопасный режим

По умолчанию в телевизоре могут стоять задачи, которые

Домашний кинотеатр. Улучшаем параметры

Для того, чтобы улучшить качество изображения и звука

Как починить наушники в случае их поломки

Не у каждого человека в доме есть паяльник.

Настраиваем и подключаем комнатную антенну

Не получится просматривать цифровое кабельное телевидение