VPN Problem

[air101]

Hallo,

ich versuche eine Site2Site Verbindung zwischen einer Cisco ASA 5505 und einem Lancom 1721 herzustellen. Wenn man vom Lancom aus das Cisco Netz pingt, wird die Site2Site Verbindung aufgebaut. (Dann kann ich auch beidseitig pingen usw.)

Nur vom Cisco Netz zu Lancom die Verbindung aufzubauen geht nicht. Ich bekomme die Fehlermeldung Invalid Payload. Hier mal der Log des Lancom:

[VPN-Status] 2014/06/03 10:48:05,827
IKE log: 104805.827596 Default isPayloadSupportedBy: exchange DOI_MIN does not support payload NOTIFY!


[VPN-Status] 2014/06/03 10:48:05,827
IKE log: 104805.827835 Default dropped message from CISCO-IP port 500 due to notification type INVALID_PAYLOAD_TYPE

Hier von Cisco:

5 Jun 03 2014 10:48:03 713119 Group = LancomIP, IP = LancomIP, PHASE 1 COMPLETED

5 Jun 03 2014 10:48:03 713068 Group = LancomIP, IP = LancomIP, Received non-routine Notify message: Invalid Payload (1)


Was mache ich falsch?!

Schönen Gruß

[MariusP]

Hi,
Es scheint das der Cisco standartmäßig isakmp exchange types (in dem Fall 32) verwendet welche laut iana
http://www.iana.org/assignments/ipsec-r ... egistry-17
nicht dem standart ensprechend gültig.
Daher wird es von dem Lancom abgewiesen.
Wenn der Lancom die Verbindung aufbaut, macht der Cisco mit, da es in diesem Fall standartkonform ist.
Wie man nun dem Cisco beibringt standartkonform zu arbeiten, davon hab ich leider keine Ahnung.
Gruß

[backslash]

Hi air101,

da es nach Vollendung der Phase-1 passiert vermute ich eher, daß der Cisco da ein XAUTH versucht, wenn der die Verbindung aufbaut... Versuch entweder ihm das abzugewöhnen oder sorg dafür daß der Tunnel immer vom LANCOM aus aufgebaut wird - es ist ja in Zeiten von Flatrates ja kein Problem mehr den Tunnel dazuerhaft stehen zu lassen...

Gruß
Backslash

[air101]

Hmm also Xauth ist nicht aktiv in der conf. Alles sehr komisch mit den Lancom Teilen ;P Cisco macht da unter sich (fast) keine Probleme

[LoUiS]

Lol

"Alles sehr komisch mit den Cisco Teilen ;P LANCOM macht da unter sich keine Probleme." Hehehe

SCNR
LoUiS

[Bernie137]

Hi,

ich musste erst diese Woche wieder einen Site2Site VPN-Tunnel zu einem Cisco einrichten. Dabei war ich aber nicht für den 450km entfernten Cisco zuständig. Mir wurden nur diese Daten mitgeteilt, zzgl. IPs und PSK:

Code: Alles auswählen

Phase 1 DH Group:	Group 2 - 1024 bit
Phase 1 Encryption: 	3DES
Phase 1 Authentication:	SHA1
Perfect Forward Secrecy:	yes
Phase 1 SA Life Time	86400 Seconds
Phase 2 DH Group	Group 2 - 1024 bit
Phase 2 Encryption	3DES
Phase 2 Authentication	SHA1
Phase 2 SA Life Time	28800 Seconds

Dafür war Nacharbeit im Lancom angesagt, wenn man es wie ich mit dem Assistenten angelegt hat. Du hast solche Daten erhalten?

Ansonsten hatte ich schon mal eine kompliziertere Anbindung an einen Cisco mit Xauth und IP NAT (Lancom verhält sich wie ein VPN-Client) wie hier beschrieben: http://www.lancom-forum.de/fragen-zum-t ... ilit=cisco Vielleicht hilft Dir etwas von beidem.

vg Bernie

[MariusP]

Hi,

Alles sehr komisch mit den Lancom Teilen ;P Cisco macht da unter sich (fast) keine Probleme.

du kannst dir gerne die iana Standarts anschauen und dich davon überzeugen welche vpn Implementierung aus der Reihe tanzt. 2 falsch Tanzende tanzen insich dann (fast) syncron.
Gruß