VPN: Cisco 836 - Internet - Cisco 836

[bafu 10]

Hallo!

 

Ich bräuchte bitte eure Hilfe!

 

Aufgabenstellung:

Zwei Netze die mit einem Cisco 836 ins internet kommen per VPN zu vereinen!

 

Habe mir schon einiges über Cisco Easy VPN durchgelesen, jedoch leider nicht verstanden!

 

Soweit ich weiß, braucht man einen VPN Server, damit sich dann später die Clients bei diesem anmelden können.

 

Nun meine Frage:

Kann das der Cisco Router 836? Beziehungsweise können die zwei Router ohne einer Windows VPN Verbindung, die zwei Netze verbinden?

Wer spielt Server/Client und wie stellt man das ein?

 

Es tut mir leid so etwas triviales zu Fragen!

 

Eine Anleitung wäre sehr hilfreich!

 

Vielen vielen Dank!

 

ciao bafu

[tom12 10]

Hi,

 

das hier sollte helfen:

http://www.cisco.com/en/US/tech/tk583/tk372/technologies_configuration_example09186a0080223a59.shtml

 

Gruss

Thomas

[Wurstbläser 10]

also ich würde es mal ohne Easy-VPN versuchen. Die Configuration ist nämlich garnicht so 'easy'. Ein ganz normales IPSec-VPN mit pre-shared keys würde ich zuerst versuchen.

Versuchs doch zuerst mal im Lab, ohne NAT, danach mit NAT, und dann im 'for real' .. und dann mal Easy-VPN.

 

Also Windows wird nicht gebraucht, und die 836 sollten das können.

 

Literatur findest du im SECUR Kurs, oder z.B. 'Cisco Router Firewall Security' von Deal (zwar nicht speziell zum Thema VPN sondern allen Security features des IOS - aber mal nen gutes Cisco-Press Buch mit echtem Mehrwert ..)

 

Gruss

Robert

[mmuelleh 10]

Hi

Der link oben ist nicht schlecht. Du musst aber darauf achten, dass Du die IPs die durch den Tunnel geschickt werden, aus dem NAT ausklammerst. Hier ein Beispiel:

Router A:

 

crypto isakmp policy 10

encr 3des

authentication pre-share

group 2

 

crypto isakmp key <password> address 2.2.2.3 no-xauth

 

crypto ipsec transform-set strong esp-3des esp-sha-hmac

crypto map tunnel 15 ipsec-isakmp

set peer 2.2.2.3

set transform-set strong

match address 107 --> ACL 107

 

interface Dialer0

description ADSL Interface

crypto map tunnel

 

ip nat inside source list 103 interface Dialer0 overload

 

access-list 103 deny ip 172.2.2.0 0.0.0.255 172.2.3.0 0.0.0.255 --> no NAT

access-list 103 permit ip any any

access-list 107 permit ip 172.2.2.0 0.0.0.255 172.2.3.0 0.0.0.255 --> permit for VPN

______________________________________________________________________

Router B:

 

crypto isakmp policy 10

encr 3des

authentication pre-share

group 2

 

crypto isakmp key <password> address 2.2.2.4

 

crypto map tunnel 15 ipsec-isakmp

set peer 2.2.2.4

set transform-set strong

match address 107 --> ACL 107

 

interface Dialer0

description ADSL Interface

crypto map tunnel

 

ip nat inside source list 103 interface Dialer0 overload

 

access-list 103 deny ip 172.2.3.0 0.0.0.255 172.2.2.0 0.0.0.255 --> No NAT

access-list 103 permit ip any any

 

access-list 107 permit ip 172.2.3.0 0.0.0.255 172.2.2.0 0.0.0.255

 

Viel Glück

[maho 10]

Easy VPN nutzt man, wenn keine feste öffentliche IP's vorhanden sind.

[Wurstbläser 10]

.. mein PIX Buch von Ende 2004 (ISBN 1587201232 S.320) listet den 836 auch nicht als Easy VPN Server auf - sehe ich gerade ...

[Sternenkind 11]

Wenn ihr zu einer Lösung gekommen seid, bitte posten, ich will das gleiche bauen und das würd sehr helfen ;)