ARF und VPN Verbindungen

[Konni]

Hallo,

ich habe hier einen Lancom 1722 mit 3 IP Netzwerken stehen, die über ARF definiert sind.

Netz1: 192.168.201.0 mit Routing Tag 1
Netz2: 192.168.101.0 mit Routing Tag 2
Netz3: 192.168.150.0 mit Routing Tag 3

An den Router sind 2 "Außenstellen" angebunden, Außenstelle A (Netzwerkbereich von 192.168.202.0) soll nur in das Netz1 kommen und Außenstelle B (192.168.100.0) nur in das Netz2.

Ich hab zwar schon einiges mit den Firewallregeln probiert, es klappt nicht wirklich, sobald ich die vom Assi erstellte Regel rausmache, klappt die VPN Verbindung nicht mehr.

[backslash]

Hi Konni

du mußt eigentlich nur die Routen zu den Aussenstellen mit den passenden Routing-Tags versehen, d.h. Die Route zu Aussenstelle A mit dem Tag 1 und die zu B mit dem Tag 2. Wenn du dann die Regelerzeugung für die VPN-Gegenstellen auf "Automatisch" stellst und alle vom Wizard für die Gegenstellen erzeugten VPN-Regeln aus der Firewall entfernst, dann hast du genau das, was du willst...

Gruß
Backslash

[Konni]

thx, das habe ich jetzt gemacht, und bekomme eine Verbindung mehr mit folgenden Fehler.

Code: Alles auswählen

> tr # vpn-stat
[VPN-Status] 2010/05/05 16:50:49,710
IKE info: Phase-2 failed for peer ROUTER-INDUS: no rule matches the phase-2 ids  192.168.202.0/255.255.255.0 <->  192.168.0.0/255.255.0.0
IKE log: 165049.000000 Default message_negotiate_sa: no compatible proposal found
IKE log: 165049.000000 Default dropped message from 79.240.184.162 port 500 due to notification type NO_PROPOSAL_CHOSEN
IKE info: dropped message from peer ROUTER-INDUS 79.240.184.162 port 500 due to notification type NO_PROPOSAL_CHOSEN


[VPN-Status] 2010/05/05 16:50:49,710
VPN: Error: IPSEC-R-No-rule-matched-IDs (0x3201) for ROUTER-INDUS (79.240.184.162)

[VPN-Status] 2010/05/05 16:50:49,710
IKE info: Phase-2 failed for peer ROUTER-INDUS: no rule matches the phase-2 ids  192.168.202.0/255.255.255.0 <->  172.16.0.0/255.240.0.0
IKE log: 165049.000000 Default message_negotiate_sa: no compatible proposal found
IKE log: 165049.000000 Default dropped message from 79.240.184.162 port 500 due to notification type NO_PROPOSAL_CHOSEN
IKE info: dropped message from peer ROUTER-INDUS 79.240.184.162 port 500 due to notification type NO_PROPOSAL_CHOSEN


[VPN-Status] 2010/05/05 16:50:49,720
VPN: Error: IPSEC-R-No-rule-matched-IDs (0x3201) for ROUTER-INDUS (79.240.184.162)

[VPN-Status] 2010/05/05 16:50:49,720
IKE info: Phase-2 failed for peer ROUTER-INDUS: no rule matches the phase-2 ids  192.168.202.0/255.255.255.0 <->  10.0.0.0/255.0.0.0
IKE log: 165049.000000 Default message_negotiate_sa: no compatible proposal found
IKE log: 165049.000000 Default dropped message from 79.240.184.162 port 500 due to notification type NO_PROPOSAL_CHOSEN
IKE info: dropped message from peer ROUTER-INDUS 79.240.184.162 port 500 due to notification type NO_PROPOSAL_CHOSEN


[VPN-Status] 2010/05/05 16:50:49,730
VPN: Error: IPSEC-R-No-rule-matched-IDs (0x3201) for ROUTER-INDUS (79.240.184.162)

VPN-Status          OFF

Die VPN Regel aus der Firewall hab ich rausgworfen und unter der Verbindungsliste der VPN die Regelerzeugung von Manuell auf Automatisch.

[Feierwally]

Hi,
es scheint, als würden die SAs fehlen. Im Handbuch zu LCOS 7.5x findest du unter 10.5.11 eine Erklärung zu den SAs. Unter 10.5.8 und 10.5.9 wird die Erstellung der entsprechenden Firewall-Regeln erklärt.

Falls meine Antwort zu knapp ist, sag Bescheid, dann schreib ich etwas mehr

Viel Erfolg