Jump to content
Sign in to follow this  
Martin Freiberg

Langsame Net-to-Net Verbindung zwioschen zwei PIXen

Recommended Posts

Hallo,

 

ich habe hier einen VPN Fehler der mich zur Verzweiflung treibt. Ich weis das das eigentlich die falsche Gruppe ist, aber es gibt ja keine allg. Netzwerk-Gruppe und keine für Cisco.

 

Es geht um eine Net-to-Net Verbindung zwischen zwei Cisco PIXen. Auf der einen Seite ist ein SBS 2003, auf der anderen Seite ein LAN mit 5 Domänenclients (WinXP SP2). Die LANs haben unterschiedliche IP-Adressbereiche.

 

 

Diese Verbindung ist viel zu langsam. Vor allem wenn Datnverkehr über die Leitung geht, fangen die Ping-Zeiten an zu hopsen, ala

3000ms

220ms

2800ms

300ms

4200ms

120ms

....

 

Im Leerlauf liegt der Ping bei ca. 60ms. Bei den Remote-VPN Verbindungen zu den einzelnen PIXen liegt der Leerlaufwert so bei 40ms.

 

Die Verbindung so langsam das es fast unmöglich ist Daten über die Datei-Freigabe auszutauschen. Auch der Zugriff auf comanyweb, OWA etc. ist sehr langsam, abewr eigentlich funktionieren alle Anwendungen zumindest mal grundsätzlich irgendwie.

 

RDP über die VPN-Verbindung geht aber relativ flott, auf jedenfall kann man dran arbeiten.

 

Manchmal geht auch die DNS-Namensauflösung nicht, meist aber doch.

 

IPconfig /all zeigt nichts an was nicht sein sollte.

 

Die Clients beziehen ihre IP von der PIX, DNS-Server ist der SBS durch den Tunnel.

 

ICMP wurde auf allen NIC der beiden PIXen komplett erlaubt.

 

Kann mir bitte jemand weiterhelfen?? Wir können hier fast nicht arbeiten.

Share this post


Link to post
Share on other sites

Schau doch mal bitte nach ob Duplex/Autosensing richtig eingestellt ist. War schon oefter der Fall bei aehnlichen Verbindungseinbruechen oder mal da mal nicht da Verbindungen. Und wenn du gerade dabei ist und die Einstellungen richtig sind, dann schau auch nach Interface resets oder errors. Kann auch ein Kabel sein, das defekt ist.

 

 

Fu

Share this post


Link to post
Share on other sites

An welchen NICs soll ich das Autosensing überprüfen, an den der PIXen, intern oder extern, oder an den lokalen NIC der Clients oder des Servers??

 

Und surfen geht flott, auch der Zugriff per RemoteVPN auf die PIXen und dann auf den Server oder einen Client in beiden Netzen geht flott.

 

ALLES geht flott, nur die Net-to-Net VPN-Verbindung macht Ärger.

Share this post


Link to post
Share on other sites
und wo kann ich die NIC-Fehler überprüfen?? von wegen kapuutes Interface??

 

Mach ein

 

sh int

 

Dann bekommst du errors und resets angezeigt.

 

 

Fu

Share this post


Link to post
Share on other sites

PIX auf Clientseite

 

PIX Version 6.3(3)

interface ethernet0 auto

interface ethernet1 100full

nameif ethernet0 outside security0

nameif ethernet1 inside security100

.....

hostname MyDomainClientseitig

domain-name myDomainClient

...

...

...

access-list outside_access_in permit icmp host <IP-AdresseDummy5>any

access-list outside_access_in permit icmp any any echo

access-list outside_access_in permit icmp any any echo-reply

access-list outside_access_in permit ip 192.168.58.0 255.255.255.192 192.168.57.0 255.255.255.0

access-list outside_access_in permit ip host <IP-AdresseDummy5>any

access-list outside_access_in permit tcp <IPAdresseDummy10> 255.255.255.252 host <IP-AdresseDummy3> eq 3299

access-list outside_access_in permit ip 192.168.137.0 255.255.255.0 any

access-list inside_outbound_nat0_acl permit ip 192.168.57.0 255.255.255.0 192.168.58.0 255.255.255.192

access-list inside_outbound_nat0_acl permit ip 192.168.57.0 255.255.255.0 192.168.137.0 255.255.255.0

access-list outside_cryptomap_dyn_20 permit ip any 192.168.58.0 255.255.255.192

access-list vpnclients_splitTunnelAcl permit ip 192.168.57.0 255.255.255.0 192.168.58.0 255.255.255.192

access-list outside_cryptomap_20 permit ip host <IP-AdresseDummy3> <IPAdresseDummy10> 255.255.255.252

access-list outside_cryptomap_40 permit ip 192.168.57.0 255.255.255.0 192.168.137.0 255.255.255.0

..

logging on

logging buffered informational

icmp permit any outside

icmp permit any inside

mtu outside 1500

mtu inside 1500

ip address outside <IP-AdresseDummy4> 255.255.255.248

ip address inside 192.168.57.254 255.255.255.0

..

ip local pool vpncippool 192.168.58.1-192.168.58.32

.....

arp timeout 14400

global (outside) 1 interface

nat (inside) 0 access-list inside_outbound_nat0_acl

nat (inside) 1 192.168.57.0 255.255.255.0 0 0

static (inside,outside) <IP-AdresseDummy3> 192.168.57.10 netmask 255.255.255.255 0 0

access-group outside_access_in in interface outside

route outside 0.0.0.0 0.0.0.0 <IPAdresseDummy11> 1

...

......

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

sysopt connection permit-ipsec

crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac

crypto dynamic-map outside_dyn_map 20 match address outside_cryptomap_dyn_20

crypto dynamic-map outside_dyn_map 20 set transform-set ESP-3DES-MD5

crypto map outside_map 20 ipsec-isakmp

crypto map outside_map 20 match address outside_cryptomap_20

crypto map outside_map 20 set peer <IP-AdresseDummy1>

crypto map outside_map 20 set transform-set ESP-3DES-MD5

crypto map outside_map 40 ipsec-isakmp

crypto map outside_map 40 match address outside_cryptomap_40

crypto map outside_map 40 set peer <IP-AdresseDummy2>

crypto map outside_map 40 set transform-set ESP-3DES-MD5

crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map

crypto map outside_map client authentication LOCAL

crypto map outside_map interface outside

isakmp enable outside

isakmp key ******** address <IP-AdresseDummy1> netmask 255.255.255.255 no-xauth no-config-mode

isakmp key ******** address <IP-AdresseDummy2> netmask 255.255.255.255 no-xauth no-config-mode

isakmp identity address

isakmp nat-traversal 20

isakmp policy 20 authentication pre-share

isakmp policy 20 encryption 3des

isakmp policy 20 hash md5

isakmp policy 20 group 2

isakmp policy 20 lifetime 86400

vpngroup vpnclients address-pool vpncippool

vpngroup vpnclients split-tunnel vpnclients_splitTunnelAcl

vpngroup vpnclients idle-time 1800

vpngroup vpnclients password ********

...

username ************ password ************* encrypted privilege 15

username *********** password ************* encrypted privilege 3

Share this post


Link to post
Share on other sites
An welchen NICs soll ich das Autosensing überprüfen, an den der PIXen, intern oder extern, oder an den lokalen NIC der Clients oder des Servers??

 

Und surfen geht flott, auch der Zugriff per RemoteVPN auf die PIXen und dann auf den Server oder einen Client in beiden Netzen geht flott.

 

ALLES geht flott, nur die Net-to-Net VPN-Verbindung macht Ärger.

 

Um alles auszuschliessen wuere ich immer schauen, das ich verschiedenes Test. Also auf der Pix und auf den Clients auch. Kann ja sein, das du immer vom gleich Client aus testest und der das Problem mit der Karte hat. Aber ich meine das hast du schon ausgeschlossen, indem du geschrieben hast, das ist fuer alle Clients gleich.

 

Fu

Share this post


Link to post
Share on other sites

Ich weiss nicht obs bei PIX auch sowas wie adjust-mss gibt, wenn nein, wuerd ich mal die inside MTU testweise auf 1300 runterschrauben. Und schau mal mit "sh logg" ob interner ICMP Verkehr irgendwie gedroppt wird (nach dem runterschrauben)

Share this post


Link to post
Share on other sites

PIX auf Serverseite

-------------------------------------

 

PIX Version 6.3(5)

interface ethernet0 auto

interface ethernet1 100full

nameif ethernet0 outside security0

nameif ethernet1 inside security100

 

access-list inside_outbound_nat0_acl permit ip 192.168.137.0 255.255.255.0 LAN_AndesnichtinBetrieb 255.255.255.0

access-list inside_outbound_nat0_acl permit ip 192.168.137.0 255.255.255.0 LAN-VomCLIENT 255.255.255.0

access-list inside_outbound_nat0_acl permit ip host SBS 192.168.136.0 255.255.255.224

access-list outside_cryptomap_20 permit ip 192.168.137.0 255.255.255.0 LAN_AndesnichtinBetrieb 255.255.255.0

access-list inside_access_in permit ip any any

access-list outside_cryptomap_40 permit ip 192.168.137.0 255.255.255.0 LAN-VomCLIENT 255.255.255.0

access-list outside_access_in permit ip LAN_AndesnichtinBetrieb 255.255.255.0 any

access-list outside_access_in permit ip LAN-VomCLIENT 255.255.255.0 any

access-list outside_access_in permit icmp 192.168.136.0 255.255.255.224 host SBS

access-list outside_access_in permit tcp 192.168.136.0 255.255.255.224 host SBS eq 3389

access-list outside_access_in permit tcp 192.168.136.0 255.255.255.224 host SBS eq 445

access-list outside_access_in permit tcp 192.168.136.0 255.255.255.224 host SBS eq www

access-list outside_access_in permit tcp 192.168.136.0 255.255.255.224 host SBS eq https

access-list outside_access_in permit udp 192.168.136.0 255.255.255.224 host SBS eq domain

access-list outside_access_in permit tcp 192.168.136.0 255.255.255.224 host SBS eq domain

access-list outside_access_in permit tcp 192.168.136.0 255.255.255.224 host SBS eq 4125

access-list outside_cryptomap_dyn_20 permit ip any 192.168.136.0 255.255.255.224

access-list VPNGroupServer_splitTunnelAcl permit ip host SBS any

pager lines 24

icmp permit any outside

icmp permit any inside

mtu outside 1456

mtu inside 1500

ip address outside pppoe setroute

ip address inside 192.168.137.254 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

ip local pool VPNServerIP 192.168.136.1-192.168.136.30

..

arp timeout 14400

global (outside) 1 interface

nat (inside) 0 access-list inside_outbound_nat0_acl

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

access-group outside_access_in in interface outside

access-group inside_access_in in interface inside

..

floodguard enable

crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac

crypto dynamic-map outside_dyn_map 20 match address outside_cryptomap_dyn_20

crypto dynamic-map outside_dyn_map 20 set transform-set ESP-3DES-MD5

crypto map outside_map 20 ipsec-isakmp

crypto map outside_map 20 match address outside_cryptomap_20

crypto map outside_map 20 set peer <IP-Dummy-1>

crypto map outside_map 20 set transform-set ESP-3DES-MD5

crypto map outside_map 40 ipsec-isakmp

crypto map outside_map 40 match address outside_cryptomap_40

crypto map outside_map 40 set peer <IP-Dummy-2>

crypto map outside_map 40 set transform-set ESP-3DES-MD5

crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map

crypto map outside_map client authentication LOCAL

crypto map outside_map interface outside

isakmp enable outside

isakmp key ******** address <IP-Dummy-2> netmask 255.255.255.255 no-xauth no-config-mode

isakmp key ******** address <IP-Dummy-1> netmask 255.255.255.255 no-xauth no-config-mode

isakmp policy 20 authentication pre-share

isakmp policy 20 encryption 3des

isakmp policy 20 hash md5

isakmp policy 20 group 2

isakmp policy 20 lifetime 86400

vpngroup VPNGroupServer address-pool VPNServerIP

vpngroup VPNGroupServer dns-server SBS

vpngroup VPNGroupServer wins-server SBS

vpngroup VPNGroupServer split-tunnel VPNGroupServer_splitTunnelAcl

vpngroup VPNGroupServer idle-time 1800

vpngroup VPNGroupServer password ********

 

vpdn group pppoe_group request dialout pppoe

vpdn group pppoe_group localname *********

vpdn group pppoe_group ppp authentication pap

vpdn username ********* password *********

Share this post


Link to post
Share on other sites
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte überlege Dir, ob es nicht sinnvoller ist ein neues Thema zu erstellen.

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Restore formatting

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

Sign in to follow this  

Werbepartner:



×
×
  • Create New...