Добрый деньЕсть Pix 515(DMZ,IN,OUT) в центральном офисе и в удаленный офисах cisco 18XX и pix501
/(dmz) 192.168.70.0
88.134.XXX.140(outside) - PIX515
\(inside) 192.168.0.1
Между Ц.О. и отделениями настроены VPN соединения.
Все это работает определенное время от 2 дней до недели и возникают проблемы.
Как правило с одним или двумя офисами.
1. Пропадает связь между одним из уд. офисов с PIX515(DMZ) причем связь с интерфейсом INside остается. Был один случай наоборот связь есть между уд. оффисом и inside, а с DMZ нету.
Причем на Циске из удаленного офиса:
sh crypto isakmp sa
SA устанавливается но в Дебаге пишет %CRYPTO-4-RECVD_PKT_INV_SPI: decaps: rec'd IPSEC packet has invalid spi for destaddr
Мероприятия типа :
clear cry sa ;
clear cry isakmp %номер SA%;
Отвязка на время до 15 минут crypto map привязка обратно;
полная перезагрузка уд-го марутизатора ;
НИЧЕГО результата не дает.
Помогает перезагрузка Pix 515. Но это же не дело 8-(.
Да и еще по теме VPN изначально можно поднять только из Ц.O. из удаленных офисов VPN не поднимается. Но это не главное хотя это может быть и нить для решения (ее я пока не дебажил)
Конфиги на cisco 18XX
...
!
crypto isakmp policy 11
encr 3des
hash md5
authentication pre-share
group 2
crypto isakmp key 1234567 address 88.134.XXX.140
!
!
crypto ipsec transform-set myname esp-3des esp-md5-hmac
!
crypto map nolan 11 ipsec-isakmp
set peer 88.134.XXX.140
set transform-set myname
match address 120
!
!
!
!
interface FastEthernet0
ip address 212.5.AAA.130 255.255.255.0
ip nat outside
ip virtual-reassembly
duplex auto
speed auto
crypto map nolan
!
interface BRI0
no ip address
encapsulation hdlc
shutdown
!
interface FastEthernet1
!
...
!
interface FastEthernet8
!
interface ATM0
no ip address
no atm ilmi-keepalive
dsl operating-mode auto
!
!
interface Vlan1
description LAN-Region-Pro
ip address 192.168.74.1 255.255.255.0
ip nat inside
ip virtual-reassembly
no ip route-cache cef
ip tcp adjust-mss 1452
hold-queue 100 out
!
!
ip route 0.0.0.0 0.0.0.0 212.5.AAA.254
!
!
no ip http server
no ip http secure-server
ip nat inside source route-map nonat interface FastEthernet0 overload
!
access-list 23 permit $mynets & host
access-list 120 permit ip 192.168.74.0 0.0.0.255 192.168.0.0 0.0.0.255
access-list 120 permit ip 192.168.74.0 0.0.0.255 192.168.70.0 0.0.0.255
access-list 130 deny ip 192.168.74.0 0.0.0.255 192.168.0.0 0.0.0.255
access-list 130 deny ip 192.168.74.0 0.0.0.255 192.168.70.0 0.0.0.255
access-list 130 permit ip 192.168.74.0 0.0.0.255 any
no cdp run
!
!
!
route-map nonat permit 10
match ip address 130
!
!
Pix подключен так
/(dmz) 192.168.70.0
88.134.211.140(outside) - PIX515
\(inside) 192.168.0.1
Помогите вопрос важный, прегружать PIX постоянно не могу на нем мно чего еще.
Решения на cisco.com clear SA как я писал не помогают, Может РОССИЙСКИЕ спецы помогут.
Заранее благодарен.
