Jump to content
Sign in to follow this  
MYOEY

Site-to-Site VPN-Connection

Recommended Posts

Hallo,

Eine Site-to-Site VPN-Anbindung zwischen einer PIX515 und einer PIX506 wird nach dem Neustart einer der PIXs nicht mehr automatisch aufgebaut trotz laufendem Traffic.

Der Tunnel wird sauber aufgebaut und Traffic läuft auch in beiden Richtungen durch aber wenn ich die PIX506 neustarte, wird kein tunnel aufgebaut solange bis ich auf der PIX515 den command"clear cry isa sa" setze dann wird der tunnel aufgebaut und läuft Traffic durch!

 

Wenn ich mir den Logg auf der PIX506 anschaue, sehe ich folgendes:

 

402101: decaps: rec'd IPSEC packet has invalid spi for destaddr=x.x.x.x, prot=esp, spi=0x74440591(1950614929)

402101: decaps: rec'd IPSEC packet has invalid spi for destaddr=x.x.x.x, prot=esp, spi=0x74440591(1950614929)

402101: decaps: rec'd IPSEC packet has invalid spi for destaddr=x.x.x.x, prot=esp, spi=0x74440591(1950614929)

402101: decaps: rec'd IPSEC packet has invalid spi for destaddr=x.x.x.x, prot=esp, spi=0x74440591(1950614929)

402101: decaps: rec'd IPSEC packet has invalid spi for destaddr=x.x.x.x, prot=esp, spi=0x74440591(1950614929)

 

 

Könnte man mir dies Verhalten irgendwie klären und wie man das Problem lösen könnte sodass trotz bestehender Verbindung nach dem Neustarten einer der PIXs dannach doch der Tunnel aufgebaut wird!

 

 

Ich wäre für jede Antwort dankbar.

 

 

Gruß

 

MYOEY

Share this post


Link to post

Also vorm Neustart der PIX koenntest du das VPN clearen, oder du aktivierst DPD (wenns mit PIX geht). Dann sollte das kein Problem sein. Ich geh mal davon aus das die PIX (welche nicht vom Neustart betroffen ist) nicht mitbekommt das die Session neu verhandelt werden muss und nimmt den Aufbau nicht an.

Share this post


Link to post

Erst mal vielen Dank für die Antworten.

Ja, es sieht so aus als die nicht neugestartete PIX irgendwie nicht mitbekommt dass die Session neu verhandelt werden muss! Natürlich ich kann mit "clear" die session beenden aber ich möchte das es automatisch läuft.

was bewirkt "DPD " und wie kann ich das bitte aktivieren?

 

 

Gruß

 

MYOEY

Share this post


Link to post

DPD (Dead Peer Detection) erkennt ob ein Peer down ist und versucht die Verbindung neu aufzubauen bzw loescht sie (ist einstellbar). Bei PIX ist es glaub ich irgendwas mit "isakmp keepalive" oder so ...

Share this post


Link to post
vielen herzlichen Dank... ich hab DPD aktiviert und somit ist das Problem weg :) MYOEY

 

 

und, war es der Befehl isakmp keepalive ???

 

Nach Deinem Posting habe ich gestern das gleiche Problem bei mir festgestellt. Es reicht aber anscheindend nicht, wenn ich den Befehl auf dem zentralen VPN-Gateway (hier PIX 520) einschalte. Der Tunnel kommt erst mit dem ersten Paket zum Remote-Peer hoch:confused:

Share this post


Link to post

ja, ich habe einfach den Befehl "isakmp keepalive ... " auf der zentralen PIX eingesetzt und dann lief es problemlos.

 

welche Fehlermedlung bekommst du dann von der neugestarteten PIX?

 

Gruß

 

MYOEY

Share this post


Link to post

Ich erhalte keine Fehlermeldung. Es scheint, als würde die PIX, auf der ich isakmp keepalive konfiguriert habe, gar kein keepalive schicken. Aber danke für die Klarstellung!

Share this post


Link to post

Das kannst du aber ganz genauer überprüfen, indem du "debug cry isakmp" einschaltest aber sehr Vorsichtig mit den beiden commands da sie Performance Probleme verusachen können!!

 

z. B.

isakmp keepalive 60 10

debug crypto isakmp

 

 

Gruß

 

 

MYOEY

Share this post


Link to post
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte überlege Dir, ob es nicht sinnvoller ist ein neues Thema zu erstellen.

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Restore formatting

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

Sign in to follow this  

Werbepartner:



×
×
  • Create New...