Einrichtung von SSL-VPN auf Cisco 876 Router

[vyper 10]

Hallo zusammen,

 

ich habe leider immernoch ein kleines problem mit meinem Cisco 876 Router.

Der Ping und das SDM-Utility funktionieren zwar wieder (Vielen Dank an dieser Stelle nochmal!!)

 

leider komme ich mit dem SSL-VPN nicht klar..

 

und zwar plane ich folgendes Scenario:

 

der Cisco router soll per ddns im internet erreichbar sein. wenn diese internetadresse aufgerufen wird, soll der router nach benutzernamen und passwortabfrage einen SSL-VPN-tunnel herstellen und dann in der webseite eine ActiveX- Windowsterminalserver-session aufbauen. Der Terminalserver ist schon komplett konfiguriert. (Webserver läuft, ActiveXplugin für Remotedesktop läuft auch) es muss nur der Cisco router noch eingerichtet werden.

 

 

Könnte mir bitte jemand hierbei helfen und sagen, was ich konfigurieren muss oder einstellen muss?? gibt es detaillierte dokumentationen für wirkliche newbies??!!

 

ich wäre euch wirklich sehr dankbar, wenn ihr mich bei dieser Konfiguration unterstützen könntet. Vielleicht könntet ihr mir ja ein kleines kochrezept in form von :

1. ...

2. ...

3. ...

 

 

Vielen Dank für eure Unterstützung!!!!

[Wordo 11]

ddns von DynDNS.org funktioniert mit Cisco nicht. Haste keine feste IP? Oder einen Client im Netz der DynDNS-Clientsoftware drauf hat?

[vyper 10]

ja.. das könnte ich einrichten mit dem dyndns client, das wäre nicht das problem..

 

es geht primär um die ssl-vpn-geschichte!!

 

danke schonmal für die prompte antwort

[onedread 10]

HI

 

Folgendes Beispiel hatten wir beim Kurs.

 

webvpn gateway SNRS-GW

hostname GW-1

ip address 10.0.1.2 port 443

http-redirect port 80

ssl trustpoint TP-self-signed-3141056884

inservice

!

webvpn context Default_context

ssl authenticate verify all

!

no inservice

!

!

webvpn context SSLVPN

title "HELL ENTRANCE"

title-color RED

ssl authenticate verify all

!

url-list "MYLINKS"

heading "QUICKLINKS"

url-text "PD Homepage" url-value "home.cisco.com"

url-text "Super Server" url-value "superserver.cisco.com"

!

login-message "HI ARE U READY 4 THE HELL"

!

port-forward "Portlist"

local-port 30020 remote-server "mail.corporate.com" remote-port 25 description "SMTP"

local-port 30021 remote-server "mail.corporate.com" remote-port 110 description "POP3"

!

policy group SSL-Policy

url-list "MYLINKS"

port-forward "Portlist"

banner "LOGIN SUCCESS"

timeout idle 1800

timeout session 36000

default-group-policy SSL-Policy

gateway SNRS-GW

inservice

!

!

end

 

 

1. solltest mal Zertifikate am Router erstellen damit die Verbindung gesichert ist.

 

Vielleicht hilts dir ja weiter, unter Portforward bzw. Url-list müsstest dann eben die Adresse deines Terminalserver angeben dann sollte es funktionieren.

 

 

 

mfg

onedread

[maccros 10]

Anbei meine DDNS-Version. Diese setze ich immer auf den 870er ein. Vielleicht hast du damit auch Glück.

 

ip ddns update method myDDNS
HTTP
 add http://[benutzer]:[password]@members.dyndns.org/nic/update?system=dyndns&hostname=<h>&myip=<a>
 remove http://[benutzer]:[password]@members.dyndns.org/nic/update?system=dyndns&hostname=<h>&myip=<a>
!

interface Dialer0
ip ddns update hostname somwhere.dyndns.org
ip ddns update myDDNS

 

Achtung beim Ladern der Config, das "?" hinter "update" gehen gerne verloren...

[daking 10]

Ein STRG+V macht vor dem Fragezeichen sinn (:-).

[vyper 10]

hallo zusammen!

 

vielen Dank für die Tips!!

 

bis jetzt hat alles super funktioniert! und im internen netz komme ich auch auf die portal-seite und von da weiter auf den Terminalserver. Das klappt einwandfrei.

 

Die DDNS-Geschichte funktioniert (zumindest nach einem Neuboot des Routers) auch wie das ist nach der 24h trennung der telekom, ob der dann die ip automatisch aktualisiert, habe ich noch nicht getestet.

 

ABER: ich habe leider immer noch ein großes problem:

 

habe nat eingerichtet und möchte jetzt gerne von außerhalb eine dyndns-adresse ansprechen und dann auf die ssl-vpn-portalseite gelangen! Dies funktioniert jedoch noch überhaupt nicht!! wenn ich die dyndnsseite im internetexplorer anwähle reagiert er entweder gar nicht (von einem rechner) oder er zeigt mir das sdm-utility zur routerkonfiguration an.

 

Dies sollte natürlich nicht der fall sein!

 

ich möchte gerne meine dyndns-adresse von irgendwo auf der welt anwählen und möchte dann vom router per nat auf die router-ssl-vpn-portalseite weitergeleitet werden. mich dann einloggen, ssl-vpn-tunnel herstellen und dann auf die TS-Webseite im intranet zugreifen.

 

Ich denke das problem liegt entweder beim NAT im argen oder in der Firewall oder im zusammenhang mit dem loopback interface. habe die ssl-portalseite auf ein loopbackinterface gelegt.

 

ich schicke euch anbei am besten mal meine konfiguration !!! auch als attachment.

 

 

Vielen Dank für eure zeitnahe reaktion!! kämpfe jetzt schon sehr lange damit rum und nun soll es endlich mal zum abschluss gebracht werden.

 

wenn ich euch die konfiguration anschaut, ist es wahrscheinlich ein leichtes für euch! ;-)

 

Viele grüße und vorab schon einmal vielen dank!!

running config 876 sslvpn.txt

[vyper 10]

echt keiner der mir helfen kann???????

[dornbirn2000 10]

Hallo Leute,

 

habe in etwa das gleiche Problem.

Habe am Cisco eine statische IP vom ISP. Als Port hab ich jedoch die 5443 konfiguriert. SDM läuft auf Port 4443.

Das Webvpn Gateway und die Policy Group sind beide auf inservice.

Was ich bis dato noch nicht installiert habe ist svc.pkg und securedesktop. Die SDM.tar hab ich auch nicht mehr im Flash (sonst hätte das derzeitige IOS:c870-advipservicesk9-mz.124-15.T3 keine Platz gehabt).

 

Brauch ich das svc.pkg oder securedesktop oder die SDM.tar um die webvpn.html Seite auf den cisco zu bekommen? Glaube nämlich das diese html Seite fehlt und ich deshalb keine Seite angezeigt bekomme wenn ich mich von extern auf den Cisco verbinden will (https://ip-des-router:5443/).

Sprich im Webbrowser passiert garnichts wenn ich den oben angeführten Link (mit richtiger IP) öffnen will.

 

Im Debug des Routers bekomme ich folgende Meldung:

 

%SSLVPN-5-SSL_TLS_CONNECT_OK: vw_ctx: UNKNOWN vw_gw: "Name-des-Gateways" i_vrf: 0 f_vrf: 0 status: SSL/TLS connection successful with remote at "externe IP"

 

Das Zertifikat kennt der Internet Browser.

 

Sorry fürs ausbudeln dieses threads.

 

Gruß