Tunnel VPN site to site entre cisco 877 / ASA

Résolu/Fermé
Moniomox Messages postés 12 Date d'inscription lundi 29 juin 2009 Statut Membre Dernière intervention 21 août 2009 - 29 juin 2009 à 14:18
 quickreply - 15 déc. 2009 à 21:30
Bonjour,

Voilà j'essaie de configurer un tunnel VPN site à site entre un cisco 877 et et ASA 5510 mais je rencontre quelque difficulté.

voici l'architecture mise en place :

(vlan : 192.168.1.0)<=(Cisco 877)=>(ip public : 10.10.10.1)---->INTERNET<----(82.65.65.65: ip public)<=(ASA 5510)=>(vlan:192.168.5.8)


J'ai utilisé l'interface SDM pour la configuration à la fin de la configuration des 2 parties j'ai utilisé le "Test Tunnel" du routeur 877 mais le statut de la connexion VPN reste "Down" mais le reste semble fonctionner :

Checking the tunnel status ... Down <<<<<<====== c'est le problème :/
Checking interface status ... successful
Checking configuration ...successful
Checking Routing ...successful
Checking peer connectivity ...successful
Checking NAT ...successful
Checking firewall ...successful


j'ai vérifier que les algo de crypto était bien les mêmes des 2 coté les règle IPsec pareille.

Dans les logs ci-dessous je ne vois pas du tout ce que représente "tunnel gourp" pour le 877, sur l'ASA c'est claire mais la correspondance dans le 877 est flou pour moi.

J'ai aussi relevé quelque logs du coté ASA lors du "Test Tunnel" du 877 :

4|Jun 29 2009 01:13:14|713903: IP = 10.10.10.1, Header invalid, missing SA payload! (next payload = 4)
4|Jun 29 2009 01:13:04|713903: IP = 10.10.10.1, Header invalid, missing SA payload! (next payload = 4)
4|Jun 29 2009 01:12:54|713903: IP = 10.10.10.1, Header invalid, missing SA payload! (next payload = 4)
4|Jun 29 2009 01:12:44|713903: Group = 10.10.10.1, IP = 10.10.10.1, Error: Unable to remove PeerTblEntry
3|Jun 29 2009 01:12:44|713902: Group = 10.10.10.1, IP = 10.10.10.1, Removing peer from peer table failed, no match!
4|Jun 29 2009 01:12:44|713903: Group = 10.10.10.1, IP = 10.10.10.1, Can't find a valid tunnel group, aborting...!
6|Jun 29 2009 01:12:44|302015: Built inbound UDP connection 6197 for SDSL:10.10.10.1/500 (10.10.10.1/500) to NP Identity Ifc:82.65.65.65/500 (82.65.65.65/500)
6|Jun 29 2009 01:12:28|302021: Teardown ICMP connection for faddr 10.10.10.1/69 gaddr 82.65.65.65/0 laddr 82.65.65.65/0
6|Jun 29 2009 01:12:28|302020: Built inbound ICMP connection for faddr 10.10.10.1/69 gaddr 82.65.65.65/0 laddr 82.65.65.65/0
6|Jun 29 2009 01:12:28|302021: Teardown ICMP connection for faddr 10.10.10.1/69 gaddr 82.65.65.65/0 laddr 82.65.65.65/0
6|Jun 29 2009 01:12:28|302020: Built inbound ICMP connection for faddr 10.10.10.1/69 gaddr 82.65.65.65/0 laddr 82.65.65.65/0
6|Jun 29 2009 01:12:28|302021: Teardown ICMP connection for faddr 10.10.10.1/69 gaddr 82.65.65.65/0 laddr 82.65.65.65/0
6|Jun 29 2009 01:12:28|302020: Built inbound ICMP connection for faddr 10.10.10.1/69 gaddr 82.65.65.65/0 laddr 82.65.65.65/0
6|Jun 29 2009 01:12:28|302021: Teardown ICMP connection for faddr 10.10.10.1/69 gaddr 82.65.65.65/0 laddr 82.65.65.65/0
6|Jun 29 2009 01:12:28|302020: Built inbound ICMP connection for faddr 10.10.10.1/69 gaddr 82.65.65.65/0 laddr 82.65.65.65/0
6|Jun 29 2009 01:12:28|302021: Teardown ICMP connection for faddr 10.10.10.1/69 gaddr 82.65.65.65/0 laddr 82.65.65.65/0
6|Jun 29 2009 01:12:28|302020: Built inbound ICMP connection for faddr 10.10.10.1/69 gaddr 82.65.65.65/0 laddr 82.65.65.65/0


Voila si vous avez besoin d'autre infos n'hésitez pas

Merci d'avance
A voir également:

21 réponses

Moniomox Messages postés 12 Date d'inscription lundi 29 juin 2009 Statut Membre Dernière intervention 21 août 2009
21 août 2009 à 10:51
Je reprends ce topic pour donner quelque infos qui peuvent paraitre bête mais vraiment utile quand on essaie pour la première fois d'établir une connexion VPN :

1_ Désactivez tous les firewalls logiciels que vous pouvez avoir sur vos machine dans les réseaux privés pour pouvoir tester le ping entre les 2 machines, dans la configuration c'était une machine sous Vista qui ne répondait au ping à travers le VPN, et bloquai aussi le partage de fichier Windows, par contre sous Xp le firewalls plus permissif et répond au ping.

2_ Faire attention à utilisé des adresse IP public entre les 2 appareilles qui réalise le tunnel VPN, si ne sais si c'est obligé mais de ce que j'ai pu tester si le matériel qui fait le VPN est derrière un routeur internet avec un IP privé sa ne fonctionne pas même avec un routage adéquate, je ne sais pas pourquoi, puis j'ai testé avec une IP et le tunnel c'est monté sans problèmes.

Voilà j'espère que ça pourra en aider certain qui galère avec du VPN ; )
0