Hi hegl,
die Lösung ist:
access-list ipsecPolen extended permit ip host 10.10.11.222 192.168.20.0 255.255.255.0
no access-list ipsecPolen extended permit ip 192.168.20.0 255.255.255.0 host 10.10.11.222
access-list ipsecPolen extended permit icmp host 10.10.11.222 192.168.20.0 255.255.255.0
no access-list ipsecPolen extended permit icmp 192.168.20.0 255.255.255.0 host 10.10.11.222
Auf der ASA, welchen den IPSec Traffic umleitet/weiterreicht, darf diese Policy nicht so aussehen wie bei mir.
Ich weiss auch nicht welche Pferde mich geritten haben eine solche Policy zu verwenden. (sicherlich irgendwo abgeschrieben)
Unter normalen Umständen ist das auch nicht störend !
So laufen zumindest mehrere Tunnel bei mir im Feld.
Gemacht habe ich dieses wahscheinlich irgendwo im Zusammenhang mit einer
Watchguard. Bei der z.B. wird manchmal eine Policy so eingetragen.
A.B.C.D <-> E.F.G.H (bidirectional)
Normal wäre jedoch bei Cisco immer:
permit Prot. local remote
Und das auf beiden Seiten !
Da ich aber hier
permit Prot. local remote
permit Prot. remote local
verwendet habe, haben sich die Pakete des Mobile Client zwischen den ASA's
im Kreis bewegt.
Mit anderen Worten:
Die ASA in der Mitte des Szenarios hat die Pakete nicht mehr an den Client zurück gegeben, sondern an die ASA von der sie das Paket bekommen hat zurück geleitet.
Mit noch anderen Worten:
Immer schön dass machen, was im Guide steht, wenn es einen gibt !
Greez @ all
Nice Weekend
Mr. Oiso
