Viptela SDWAN + Lancom | BFD Session bauen sich nicht auf

[Unitykr778]

Hallo zusammen,

kurz zum Hintergrund. Wir bauen aktuell unsere Niederlassungen mit SDWAN auf. Dies funktioniert auch soweit alles sehr gut, nun stoßen wir aber auf ein Problem mit einem Lancom Router.

Als SDWAN device nutzen wir "ISR 1100 6G (Viptela OS)" dahinter ein Switch und da wiederum hinter ein handelsüblicher Internetzugang. Unser vEdge baut dann einen IPSec Tunnel zu unserem Datencenter auf. Wie gesagt stießen wir da nicht auf Probleme mit anderen Routern.
Nun bei dem Lancom kommt über den ISR keine Ipsec Verbindung zustande. Es sieht so aus, als ob BFD sessions sich nicht über den Lancom Router aufbauen lassen. Die Telekom hat mit 3 Technikern geprüft und konnte nicht feststellen, dass irgendwelche Pakete geblockt werden. Auch wir prüften dies und es sieht alles normal aus. Wir haben die interne Firewall auf dem Lancom abgeschaltet aber es brachte leider nichts.

Ein Techniker sagte, dass er von Problem mit Lancom + Cisco + IPSec gehört hat... Habt ihr irgendeine Idee?

Lancom Modell: LANCOM R883+ mit Firmware 10.42

[tstimper]

Nun bei dem Lancom kommt über den ISR keine Ipsec Verbindung zustande. Es sieht so aus, als ob BFD sessions sich nicht über den Lancom Router aufbauen lassen.

Angeschaltet ist es aber schon oder?
LANconfig you configure BFD under Routing protocols > General > Bidirectional Forwarding Detection (BFD).

In LCOS 10.50

Gruß
ts

[tstimper]

Lancom Modell: LANCOM R883+ mit Firmware 10.42

Hab übersehen, für den R883+ ist noch keine 10.50 da.

Ich suche grade wg. eines Bugs einen R883+ zum Testen /verifizieren und hätte einen original verpackten Lancom 883+ mit Firmware 10.50 zum Testen zur Verfügung.

Gruß

ts

[Dr.Einstein]

Hi,

Lancom verwendet Symmetric NAT, Billigboxen meist Restricted Cone NAT / Full Cone NAT. Sollte also irgendwas ankommend an den Lancom adressiert werden, was vorher nicht aufgrund eines abgehenden Pakets geöffnet wurde, verwirft der Lancom das Paket. Dieses wirst du auch nicht in einem IP-Router Trace finden.

Bei Viptela wird doch aber genau dies gemacht. Die Tunnel bauen sich automatisch zwischen den Edge Routern auf. Die zentrale Instanz sorgt nur für die Steuerung wer mit wem auf welchen Port/IP. Meiner Ansicht nach brauchst du Portweiterleitungen.

Gruß Dr.Einstein