VPN Tunnel Backup

[Vaupeen 10]

Hi!

 

ich hab auf einem Cisco 1841 vier Tunnel (über Gre IPSec) eingerichtet die auch funktionierten.

Jeder Tunnel verbindet sich auf einen anderen VPN-Konzententrator.

 

Das Backup untereinander der Tunnel funktioniert leider noch nicht. D.h. wenn Tunnel1 keine verbindung mehr kommt, soll sich Tunnel 2 automatisch aktiviert werden.

 

Kennt jemand eine Möglichkeit?

(Vielleicht was über Tunnelprioriäten oder ähnlichem?)

 

Bei Interesse mache ich auch gerne eine Skizze und poste teile meiner Konfiguration ;)

 

Danke schon mal.

[Wordo 11]

Jo, poste mal das crypto Zeugs

[Vaupeen 10]

crypto isakmp policy 1

encr 3des

authentication pre-share

group 2

crypto isakmp key XXX address 0.0.0.0 0.0.0.0

crypto isakmp nat keepalive 20

!

!

crypto ipsec transform-set Site-to-Site esp-3des esp-sha-hmac

mode transport

!

crypto ipsec profile Tunnel0

set transform-set Site-to-Site

!

crypto ipsec profile Tunnel1

set transform-set Site-to-Site

!

crypto ipsec profile Tunnel2

set transform-set Site-to-Site

!

crypto ipsec profile Tunnel3

set transform-set Site-to-Site

!

!

crypto map tunnel0 1 ipsec-isakmp

! Incomplete

description Tunnel0 zu IP

set peer IP

set transform-set Site-to-Site

match address 100

!

crypto map tunnel1 2 ipsec-isakmp

! Incomplete

description Tunnel0 zu IP

set peer IP

set transform-set Site-to-Site

match address 101

!

crypto map tunnel2 3 ipsec-isakmp

! Incomplete

description Tunnel2 IP

set peer IP

set transform-set Site-to-Site

match address 102

!

crypto map tunnel3 4 ipsec-isakmp

! Incomplete

description Tunnel3 zu IP

set peer IP

set transform-set Site-to-Site

match address 103

!

 

Also ! Incomplete hört isch ja auch nicht so gut an :shock:

 

Bei den Tunnel interfaces ist jeweils ein verweis auf die entsprechende map. [ crypto map tunnel0]

[Wordo 11]

Wie sehen denn die ACLs aus? Also Site-to-Site und transport mode iritiert mich schon.

[Vaupeen 10]

Also Site-to-Site ist nur der Name des Transform Set ;)

 

Da ich das ganze System noch nicht im Live Einsatz ist, habe ich die Accessliste wie folgt konfiguriert:

 

access-list 101 permit gre any any

[Wordo 11]

Und acl 100, 102, 103? Sag nicht die sehen genauso aus :shock: :suspect:

[Vaupeen 10]

ACLs funktionieren jetzt.

 

Nur das Umschalten zwischen den Tunnlen funktioniert nicht obwohl tracking richtig konfiguriert ist... :wink2:

 

Wenn Tunnel 1 down ist , wird Tunnel 2 einfach nicht aufgebaut

[#9370 10]

poste mal die gesamte Config.

 

#9370

[Wordo 11]

Fuer einen Backuptunnel setzt man i.d.R. ein 2tes Peer in der crypto map, anstatt mehrere crypto map's zu erstellen.