PIX VPN 的两个问题(1)

    问题一的拓扑如下：

 
Lan1（ACS）-----PIX525-----Internet------Router------Lan2 

    PIX 525是VPN Server, 在Lan2 中有多个客户。 客户端通过Router 以PAT（端口地址转换）方式连接到Internet，使用Cisco VPN Client 软件与PIX 525建立VPN 连接。当Lan2中只有一个客户与PIX 525建立连接时，一切正常；但如果另一个客户也要发起VPN连接的话，前一个客户的连接就会被断掉。问题的原因可能是PIX 525按IP地址识别SA,对同一IP地址，不能建立两个SA。

　　解决的方法是使用PIX 6.3版本软件的一个新特性“TCP transparancy”,该特性允许客户端把IPSEC数据打包通过TCP或UDP的一个端口（默认10000）进行传输，关键命令是：isakmp nat-traversal。

　　完整配置：

　　PIX Version 6.3(1)

　　interface ethernet0 auto

　　interface ethernet1 auto

　　interface ethernet2 auto

　　nameif ethernet0 outside security0

　　nameif ethernet1 inside security100

　　nameif ethernet2 dmz security50

　　enable password ******************** encrypted

　　passwd ******************** encrypted

　　hostname TEST

　　domain-name jyzq.cn

　　fixup protocol ftp 21

　　fixup protocol h323 h225 1720

　　fixup protocol h323 ras 1718-1719

　　fixup protocol http 80

　　fixup protocol ils 389

　　fixup protocol rsh 514

　　fixup protocol rtsp 554

　　fixup protocol sip 5060

　　fixup protocol sip udp 5060

　　no fixup protocol skinny 2000

　　fixup protocol smtp 25

　　fixup protocol sqlnet 1521

　　names

　　access-list 101 permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0

　　access-list 102 permit ip 10.1.2.0 255.255.255.0 10.2.2.0 255.255.255.0

　　access-list no-nat permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0

　　access-list no-nat permit ip 10.1.2.0 255.255.255.0 10.2.2.0 255.255.255.0

　　pager lines 24

　　mtu outside 1500

　　mtu inside 1500

　　mtu dmz 1500

　　ip address outside 202.100.100.100 255.255.255.192

　　ip address inside 10.1.3.250 255.255.255.0

　　ip address dmz 192.168.1.1 255.255.255.0

　　ip audit info action alarm

　　ip audit attack action alarm

　　ip local pool pool1 10.2.1.1-10.2.1.250

　　ip local pool pool2 10.2.2.1-10.2.2.250

　　no failover

　　failover timeout 0:00:00

　　failover poll 15

　　no failover ip address outside

　　no failover ip address inside

　　no failover ip address dmz

　　pdm history enable

　　arp timeout 14400

　　global (outside) 1 interface

　　nat (inside) 0 access-list no-nat

　　nat (inside) 1 10.1.1.0 255.255.255.0 0 0

　　nat (inside) 1 10.1.2.0 255.255.255.0 0 0

　　nat (dmz) 1 192.168.1.0 255.255.255.0 0 0

　　route outside 0.0.0.0 0.0.0.0 202.100.100.101 1

　　route inside 10.1.1.0 255.255.248.0 10.1.3.2 1

　　route inside 10.1.2.0 255.255.255.0 10.1.3.2 1

　　timeout xlate 3:00:00

　　timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00

　　timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00

　　timeout uauth 0:05:00 absolute

　　aaa-server TACACS+ protocol tacacs+

　　aaa-server RADIUS protocol radius

　　aaa-server RADIUS (inside) host 10.1.3.100 cisco timeout 10

　　aaa-server LOCAL protocol local

　　aaa authentication telnet console RADIUS

　　no snmp-server location

　　no snmp-server contact

　　snmp-server community public

　　no snmp-server enable traps

　　floodguard enable

　　sysopt connection permit-ipsec

　　crypto ipsec transform-set test esp-des esp-md5-hmac