科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道PIX VPN 的两个问题(2)

PIX VPN 的两个问题(2)

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

解决的方法是使用PIX 6.3版本软件的一个新特性“TCP transparancy”,该特性允许客户端把IPSEC数据打包通过TCP或UDP的一个端口(默认10000)进行传输,关键命令是:isakmp nat-traversal。

作者:51CTO.COM 2007年10月30日

关键字: 配置 PIX VPN

  • 评论
  • 分享微博
  • 分享邮件

  crypto dynamic-map dynmap 10 set transform-set test

  crypto map testvpn 10 ipsec-isakmp dynamic dynmap

  crypto map testvpn client configuration address initiate

  crypto map testvpn client configuration address respond

  crypto map testvpn client authentication RADIUS

  crypto map testvpn interface outside

  isakmp enable outside

  isakmp key ******** address 0.0.0.0 netmask 0.0.0.0

  isakmp identity address

  isakmp nat-traversal 120

  isakmp policy 10 authentication pre-share

  isakmp policy 10 encryption des

  isakmp policy 10 hash md5

  isakmp policy 10 group 2

  isakmp policy 10 lifetime 86400

  vpngroup vpn1 address-pool pool1

  vpngroup vpn1 dns-server 202.100.100.198

  vpngroup vpn1 default-domain test.cn

  vpngroup vpn1 split-tunnel 101

  vpngroup vpn1 idle-time 1800

  vpngroup vpn1 password ********

  vpngroup vpn2 address-pool pool2

  vpngroup vpn2 dns-server 202.100.100.198

  vpngroup vpn2 default-domain test.cn

  vpngroup vpn2 split-tunnel 102

  vpngroup vpn2 idle-time 1800

  vpngroup vpn2 password ********

  telnet 10.1.3.0 255.255.255.0 inside

  telnet timeout 5

  ssh timeout 5

  console timeout 0

  terminal width 80

  Cryptochecksum:bbafa6e012639b4db524831263ba7b86

  : end

  注意Cisco VPN Client 低版本(如3.5)在上述环境中使用有问题,须要使用较新的版本,如4.0版本。配置方法为选中VPN连接属性中的“Enable Transparent Tunneling"。

  在以上配置中,PIX上有两个vpngroup,均通过本机的地址池分配地址,不同组用户可以访问不同的资源。用户使用不同的Pre-shared key连接PIX,确定其所属的组。用户名、密码则由PIX提交给ACS做集中验证。由于ACS无法限定某个用户只能以某个组的身份登录,如果A组的成员知道了B组的Pre-shared key, 他可以使用自己的用户名、密码登录到B组。为了防止这种情况发生,可以在ACS上为两个组的用户指定不同的ACL,使得即使用户以别的组的身份登录,也无法访问受限资源。

  问题二的拓扑如下:

  


Lan1-----PIX525-----Internet------PIX506E------Lan2

  在该环境中,Lan2用户可以通过PIX 506E上网,但不能与PIX 525建立VPN连接。经观察发现,Lan2用户如果不通过PIX506E防火墙可以与PIX 525建立VPN连接。如果PIX 506E为Lan2中的某台PC做了静态NAT, 该PC也可以与PIX 525建立VPN连接。

  解决过程:

  show version 发现PIX 506E不支持VPN-DES加密特性:

  Licensed Features:

  Failover: Disabled

  VPN-DES: Disabled

  VPN-3DES-AES: Disabled

  PIX 的VPN-DES特性是免费的,如果出厂时该特性是Disabled的,要到网址http://www.cisco.com/kobayashi/sw-center/ciscosecure/pix.shtml(需要CCO帐号)点击“*FREE* Register for PIX 56-bit IPSEC Software Feature Key”进行注册获取新的Acitvation Key。高版本软件可以用命令activation-key 直接输入新的key,低版本的升级方法可以参考:http://mize.netbuddy.org/021213.html。

  升级之后,问题解决.

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章