Исходное сообщение
"Cisco 2921 <IPSec> DLink DSR-150" Отправлено DKu, 24-Май-13 13:48
>> т.е. супернет вот так 192.168.0.0 0.0.255.255 172.17.0.0 0.0.255.255, чтобы охватить все магазины в одном access-list не получиться? > Crypto map обрабатывается по порядку, начиная с младшего. Трафик, предназначенный для, > например, 5го филиала удовлетворит первой же записи в crypto map (172.17.0.0 > 0.0.255.255) и будет отправлен в 1ый филиал. > Вернемся, к баранам: > Для crypto map VPNShops сделай отдельный ipsec transform-set и выстави в нем > mode tunnel. Проверь чтоб на D-Link стоял такой же. Если выставить mode tunnel туннель перестаёт работать. >[оверквотинг удален] > Policy type: Auto > IKE version: IPv4 IKEv1 > Ipsec mode: Tunnel > Remote Endpoint: 58.235.72.177 > Protocol: ESP > Local IP: 172.17.0.16/28 > Remote IP: 192.168.0.0/16 > Проверь на DLink настройки Phase I и Phase II. Они должны совпадать > с crypto isakmp policy и crypto isakmp profile (для Phase I) > и crypto map VPNShops 10 ipsec-isakmp (для Phase II) Всё так и есть, только в crypto map у меня set security-association lifetime seconds 28800, а D-Link'е эта настройка на Phase I, в Phase II 3600 > поставь пинг и покажи > sh cry ips sa > Если не заработало - выкладывай debug cry isa и debug cry ips Не стал делать, было поздно. > P.s. Я бы все таки перевесил бы crypto map на 195.17.46.102 чтобы > исключить проблемы с попаданием трафика в crypto map

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>> т.е. супернет вот так 192.168.0.0 0.0.255.255 172.17.0.0 0.0.255.255, чтобы охватить все магазины в одном access-list не получиться? >> Crypto map обрабатывается по порядку, начиная с младшего. Трафик, предназначенный для, >> например, 5го филиала удовлетворит первой же записи в crypto map (172.17.0.0 >> 0.0.255.255) и будет отправлен в 1ый филиал. >> Вернемся, к баранам: >> Для crypto map VPNShops сделай отдельный ipsec transform-set и выстави в нем >> mode tunnel. Проверь чтоб на D-Link стоял такой же. > Если выставить mode tunnel туннель перестаёт работать. >>[оверквотинг удален] >> Policy type: Auto >> IKE version: IPv4 IKEv1 >> Ipsec mode: Tunnel >> Remote Endpoint: 58.235.72.177 >> Protocol: ESP >> Local IP: 172.17.0.16/28 >> Remote IP: 192.168.0.0/16 >> Проверь на DLink настройки Phase I и Phase II. Они должны совпадать >> с crypto isakmp policy и crypto isakmp profile (для Phase I) >> и crypto map VPNShops 10 ipsec-isakmp (для Phase II) > Всё так и есть, только в crypto map у меня set security-association > lifetime seconds 28800, а D-Link'е эта настройка на Phase I, в > Phase II 3600 >> поставь пинг и покажи >> sh cry ips sa >> Если не заработало - выкладывай debug cry isa и debug cry ips > Не стал делать, было поздно. >> P.s. Я бы все таки перевесил бы crypto map на 195.17.46.102 чтобы >> исключить проблемы с попаданием трафика в crypto map
	Введите код, изображенный на картинке: