Cisco 836 VPN Problem

[ascaris 10]

Hallo Leute,

 

ich bin total verzweifelt und hoffe hier Hilfe zu finden.

 

Ich habe einen Cisco 836 DSL-Router mit VPN-Client Funktionalität. Der 836 verbindet sich über T-DSL mit dem Internet und stellt dann per Cisco ezVPN eine VPN-Verbindung zu einem VPN-Konzentrator her. Das funktioniert auch alles soweit ganz hervorragend und ohne Probleme.

 

Nun ist das Problem nur, dass der VPN-Tunnel nach 18-20 Stunden verschwindet und der Router den Tunnel nicht wieder aufzubauen scheint. Dann hilft nur noch ein Restart des Routers. Der Router booted und baut dann den Tunnel auf und der läuft dann bis zum nächsten Mal auch sauber bis er dann wieder verschwindet. Ich kann aber nicht jeden Tag den Router rebooten.

 

Ich habe die Konfiguration mit dem Cisco SDM WebInterface erstellt und von Hand ein wenig angepasst. Die laufende Konfiguration habe ich auch schon mit den Cisco Beispielkonfigurationen sowie anderen Konfigs aus dieversen Foren im Internet (so auch diesem) verglichen und es scheint soweit alles in Ordnung zu sein.

 

Was soll ich machen. Gibt es da Erfahrungswerte oder tricks ?

Kann ich dem Router sagen, dass er den definierten Tunnel "für immer" halten soll und wenn der unterbrochen wird immer wieder automatisch aufbauen soll ? Ich dachte das wäre Stanard.

 

Oder kann es sein, dass der Router nach irgendwelchen Fehlversuchen (warum diese auch immer) irgendwann aufgibt den Tunnel aufzubauen.

 

Bitte um Hilfe.

 

Danke schonmal.

 

Dirk

 

Konfiguration des Routers wie folgt:

 

!version 12.3

no service pad

service timestamps debug datetime msec

service timestamps log datetime msec

service password-encryption

!

hostname XXXXXXXXXXXXXXX

!

boot-start-marker

boot-end-marker

!

memory-size iomem 5

no logging buffered

enable secret 5 XXXXXXXXXXXXXXXXXXXXXXXXXXXXX

!

username XXXXXX privilege 15 password 7 XXXXXXXXXXXXXXXXXXXXXX

clock timezone Europe/Berlin 1

clock summer-time Europe/Berlin date Mar 30 2003 2:00 Oct 26 2003 3:00

no aaa new-model

ip subnet-zero

no ip source-route

no ip domain lookup

ip domain name XXXXXXXXXXXXXXXXXXXXXXXXX

!

!

no ip bootp server

ip audit notify log

ip audit po max-events 100

no ftp-server write-enable

!

!

!

crypto isakmp keepalive 600 10

!

!

!

!

!

crypto ipsec client ezvpn ipsecvpn

connect auto

group XXXXXX key XXXXXXXXXX

mode network-extension

peer xxx.xxx.xxx.xxx

username XXXXXXX password XXXXXXXX

!

!

!

!

!

interface Ethernet0

description $FW_INSIDE$$ETH-LAN$

ip address 172.16.7.1 255.255.255.0

no ip redirects

no ip unreachables

no ip proxy-arp

ip tcp adjust-mss 1452

no cdp enable

crypto ipsec client ezvpn ipsecvpn inside

!

interface BRI0

no ip address

no ip redirects

no ip unreachables

no ip proxy-arp

shutdown

no cdp enable

!

interface ATM0

no ip address

no ip redirects

no ip unreachables

no ip proxy-arp

no atm ilmi-keepalive

dsl operating-mode annexb-ur2

!

interface ATM0.1 point-to-point

pvc 1/32

pppoe-client dial-pool-number 1

!

!

interface Dialer0

ip address negotiated

ip mtu 1492

encapsulation ppp

dialer pool 1

dialer-group 1

no cdp enable

ppp authentication pap callin

ppp pap sent-username XXXXXXXXXXXXXXXXXX password 7 XXXXXXXXXXXXXXXX

crypto ipsec client ezvpn ipsecvpn

!

ip classless

ip route 0.0.0.0 0.0.0.0 Dialer0

ip http server

ip http authentication local

ip http secure-server

!

!

dialer-list 1 protocol ip permit

no cdp run

!

control-plane

!

banner login ^CAuthorized access only!

Disconnect IMMEDIATELY if you are not an authorized user!^C

!

line con 0

transport preferred all

transport output all

line vty 0 4

privilege level 15

login local

transport preferred all

transport input telnet ssh

transport output all

!

scheduler max-task-time 5000

!

!

end

[Frank04 10]

Hallo,

 

meine mich daran zu erinnern, dass ein IOS-Bug war, mit so einer Fehlerbeschreibung. Welches IOS ist denn drauf ?

 

Router#sh ver

[ascaris 10]

Hallo Frank,

 

auf dem Router ist das folgende Image

c836-k9o3s8y6-mz.123-4.T2.bin installiert.

 

Müsste also ein 12.3 (4) T2 IOS sein.

[ascaris 10]

Hier ist die genaue Version aus sh version

 

C836 Software (C836-K9O3S8Y6-M), Version 12.3(4)T2, RELEASE SOFTWARE (fc1)

[smueri 10]

hat dein Router eine Fixe IP adresse oder eine Dynamische?

 

Hab da nur gerade so einen gedanken...

 

 

 

Gruss

Stefan

[ascaris 10]

Der Router bekommt von der Telekom eine dynamische IP-Adresse. Ich habe hier auch die Zwangstrennung in Verdacht gehabt, aber bei früheren Tests habe ich im VPN-Konzentrator Log gesehen, dass der Router wohl zwischendurch eine neue IP bekommen hat und dann automatisch den Tunnel neu erzeugt hat.

Das hat der Konzentrator dann wohl auch mitbekommen und die SA entsprechend neu ausgehandelt.

[smueri 10]

ja das müsste so ja auch funktionieren.

Wir bauen garde was änliches auf...

 

ich werde am weekend vieleicht dazu kommen was zu probieren.

falls ich was änliches festellen werde informiere ich dich natürlich!

 

Gruss

Stefan