ASA5510 - zweiten VPN Zugang, iPhone Probleme

[Spacey 11]

Hallo!

 

Wir haben von unserer ASA5510 einen VPN IPSec Zugang von outside wo wir mittels Mac OSX (VPNTracer & Cisco VPN Client) sowie iPhones auf einen Server im (gesonderten) inside zugreifen.

 

Mit dem bestehenden VPN Zugang klappt das alles wunderbar. Es gibt ein gesondertes inside (172.21.0.x) wo nur der eine besagte Server steht. Der VPN Login klappt wunderbar mit allen Clients. Hier ein Beispiel-Log von einem iPhone Login:

 

Siehe Anhang: iPhone - Old - Working

 

Alles tutti - Von unten nach oben lesen, ist ja klar... xxx.xxx.xxx.xxx und yyy.yyy.yyy.yyy sind halt externe IPs....

 

Mein Vorhaben: Den VPN Zugang nicht in das 172.21.0.x'er Netz zu schicken sondern in das normale inside 172.19.0.x. Das möchte ich erst mal testen neben den funktionierenden Zugängen. Ich habe mir also eine zweite local group erstellt (vpn-intern) und einen neuen local User geschaffen (user2). Wesentlicher Unterschied: Diese Gruppe bekommt die IP nicht vom ASA5510 Pool sondern vom DHCP im inside. Ansonsten ist alles recht ähnlich - habe die Gruppe & User entsprechend auch dupliziert über ASDM.

 

Wenn ich das ganze mit der neuen Gruppe & neuem User jetzt von einem Mac mit dem VPNTracker oder auch dem Cisco VPN Client macht, dann klappt das wunderbar: Der VPN Client bekommt eine IP aus unserem inside und ich kann auf das Gewünschte zugreifen. Hier ein Log:

 

Siehe Anhang: OSX - New - Working

 

Wenn ich das ganze jedoch von einem iPhone mache, dann geht es komischerweise nicht! Wenn man die Logs vergleiche gibt es nach der Adress-Zugweisung das Statement "Forcing iPhone to host mask." und danach dann "PHASE 1 COMPLETED". Bei der zweiten Gruppe bzw. dem zweiten VPN Nutzer nur! vom iPhone klappt dies aber anscheinend nicht:

 

Siehe Anhang: iPhone - New - Not Working

 

Warum? :)

 

Was ist hier anders das es vom OSX VPN Client klappt - aber nicht vom iPhone?

 

Wie gesagt, wenn ich beim iPhone den nutzer "user" und die Gruppe "vpn" nehme von der ursprünglichen ersten Config, klappt alles Problemlos aber halt nur ins 172.21.0.x'er Netz.... Ideen? :)

 

Denn natürlich will ich, wenn dann später mal alles ins 172.19.0.x'er Netz gehen soll nicht für die iPhones separate Nutzer & Gruppe(n) haben müssen, weil die nur mit des bisherigen Profilen gehen.. :P

logs.txt