VPN client sur Cisco 877

Salut les gars...

Tout ce que vous dites là est passionnant!!!
J'adore suivre de telles discussions...
Je suis en ce moment entrain de paramétrer des routeurs CISCO RV082 de site à site...

D'autres expériences peut etre pour bous éclairer sur les pièges à éviter?

Merci à tout le monde.

bonjour

je suis entrain de faire exactement la meme chose que vous avec un cisco 877 et un netgear.

j'avais reussi a fonctionner dans le sens cisco vers netgear mais pas l'inverse (ce que j'avais besoin en fait pour mon tel ip), du coup j'ai tout viré du vpn et j'ai essayé de le refaire, le probleme c'est que SDM ne veut pas me lancer l'assistant (probleme java !!!!).

C'est un peu chiant quand meme...

pas d'idee sur mon probleme

Salut,

Désoler, j'ai pas vraiment eu le temps de répondre, mais j'ai pas laisser tombé! J'étais en formation...
Me voila de retour au bureau !!! Donc, de mon coté, je n'ai pas beaucoup avancé non plus, il faut dire que j'ai pas eu le temps de me pencher sur la question.
Tu aurai du sauvegarder ta config qui étais OK au niveau des pings, tu aurais pu la recharger par la suite...Ca m'est aussi arriver de faire tomber un routeur :p
Je me repenche un peu la dessus cette semaine et te tiens au courant!

Bon là ça n'avance pas...
Je suis devant le routeur Cisco et je suis incapable de le remettre en VPn comme j'avais obtenu la semaine dernière...

Makss as tu avancé de ton côté?!

Rholala.... j'ai fait tomber le routeur de Toulouse..; ou plutôt il n'est plus accessible à distance ! Je suis obligé de me taper 700Km lundi pour aller sur place et réparer ça... en attendant, je peux plus trop avancer.
Par contre avant d'avoir fais la connerie, ça marchait. Cad que j'arrivais à pinger mes machines en 10.10.10.0 depuis mon 192.168.2.0 vis et versa, y accéder en bureau à distance, par contre le netbios ne marchait pas.
Et puis j'ai fais la boulette de désactiver le roll-over sur le Netgear et là le vpn est incapable de se connecter vu que le routeur Cisco est injoignable !!

Donc active peut peut être le roll-over chez toi, netbios, et pareille coté Cisco.

Salut,

Tu t'en sors avec la config?

!Ceci est la configuration du routeur : 192.168.1.100
!----------------------------------------------------------------------------
!version 12.4
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname MA_SOCIETE
!
boot-start-marker
boot-end-marker
!
no logging buffered
!
aaa new-model
!
!
aaa authentication login default local
aaa authentication login sdm_vpn_xauth_ml_1 local
aaa authentication login sdm_vpn_xauth_ml_2 local
aaa authorization exec default local
aaa authorization network sdm_vpn_group_ml_1 local
aaa authorization network sdm_vpn_group_ml_2 local
!
!
aaa session-id common
clock timezone Paris 1
clock summer-time Paris date Mar 30 2003 2:00 Oct 26 2003 3:00
!
!
dot11 syslog
ip cef
!
!
!
!
ip domain name MA_SOCIETE.com
ip name-server 80.x.x.x
ip inspect name SDM_LOW appfw SDM_LOW
ip inspect name SDM_LOW tcp
ip inspect name SDM_LOW udp
ip auth-proxy max-nodata-conns 3
ip admission max-nodata-conns 3
!
appfw policy-name SDM_LOW
application http
port-misuse p2p action reset alarm
!
multilink bundle-name authenticated
!
!
username admin_name privilege 15 password 0 ******
username other_name privilege 15 password 0 *******
!
!
crypto isakmp policy 1
encr 3des
authentication pre-share
group 2
crypto isakmp key clé_partagée address 80.x.x.x no-xauth
crypto isakmp key clé-partagée address 80.x.x.x no-xauth
crypto isakmp invalid-spi-recovery
!
crypto isakmp client configuration group GroupMa_societe
key *******
pool SDM_POOL_1
!
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
crypto ipsec transform-set ESP-3DES-SHA1 esp-3des esp-sha-hmac
crypto ipsec transform-set ESP-3DES-SHA2 esp-3des esp-sha-hmac
!
crypto dynamic-map SDM_DYNMAP_1 1
set transform-set ESP-3DES-SHA2
reverse-route
qos pre-classify
!
!
crypto map SDM_CMAP_1 client authentication list sdm_vpn_xauth_ml_2
crypto map SDM_CMAP_1 isakmp authorization list sdm_vpn_group_ml_2
crypto map SDM_CMAP_1 client configuration address respond
crypto map SDM_CMAP_1 1 ipsec-isakmp
description Tunnel VERS SITE2
set peer 80.x.x.x
set transform-set ESP-3DES-SHA
match address 102
crypto map SDM_CMAP_1 2 ipsec-isakmp
description Tunnel VERS SITE3
set peer 80.x.x.x
set transform-set ESP-3DES-SHA1
match address 120
crypto map SDM_CMAP_1 65535 ipsec-isakmp dynamic SDM_DYNMAP_1
!
archive
log config
hidekeys
!
!
!
class-map match-any sdm_p2p_kazaa
match protocol fasttrack
match protocol kazaa2
class-map match-any sdm_p2p_edonkey
match protocol edonkey
class-map match-any sdm_p2p_gnutella
match protocol gnutella
class-map match-any sdm_p2p_bittorrent
match protocol bittorrent
!
!
policy-map sdmappfwp2p_SDM_LOW
class sdm_p2p_gnutella
drop
class sdm_p2p_bittorrent
drop
class sdm_p2p_edonkey
drop
class sdm_p2p_kazaa
drop
!
!
!
!
interface ATM0
no ip address
no atm ilmi-keepalive
dsl operating-mode auto
!
interface ATM0.1 point-to-point
pvc 8/35
pppoe-client dial-pool-number 1
!
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface Vlan1
description $FW_INSIDE$
ip address 192.168.1.100 255.255.255.0
ip access-group 100 in
ip nat inside
ip virtual-reassembly
ip tcp adjust-mss 1412
!
interface Dialer0
description $FW_OUTSIDE$
ip address 80.x.x.x 255.x.x.x
ip access-group 101 in
ip mtu 1452
ip nat outside
ip inspect SDM_LOW out
ip virtual-reassembly
encapsulation ppp
dialer pool 1
dialer-group 1
ppp authentication chap pap callin
ppp chap hostname ********
ppp chap password 0 ********
ppp pap sent-username ******* password 0 *******
crypto map SDM_CMAP_1
service-policy input sdmappfwp2p_SDM_LOW
service-policy output sdmappfwp2p_SDM_LOW
!
ip local pool SDM_POOL_1 10.x.x.x x.x.x.x
ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 Dialer0
!
!
ip http server
no ip http secure-server
ip nat inside source route-map SDM_RMAP_1 interface Dialer0 overload
!
ICI la liste des ACL en place
!
!
route-map SDM_RMAP_1 permit 1
match ip address 103
!
!
control-plane
!
!
line con 0
no modem enable
line aux 0
line vty 0 4
transport input telnet ssh
transport output all
!
scheduler max-task-time 5000
ntp clock-period 17174972
ntp server x.x.x.x source Dialer0
end

Oui je veux bien stp.. ça pourra m'inspirer : charlie.aubert@2moro.fr

Il a donc encore des soucis de config à mon avis ! Je peu t'envoyer la config d'un de mes routeur pour que tu t'en inspire si tu veux.

non :(

Ok Ok, j'avais pas compris ça comme ça!!! Bah écoute, tu dois encore avoir des soucis de paramètrage :s
Et dans l'autre sens ça marche ??!!

Oui c'est ce que je dit... je le ping avec son adresse publique 80.xx.xx.xx pacque son firewall n'est pas encore activé mais pas avec son adresse privée 10.10.10.1 à partir de mon adresse privé 192.168.2.201...

Ton routeur doit refusé les requètes ping sur son interface publique, pour éviter d'être "découvert", regarde dans les paramètres de ton routeurs dans les option ACL et Pare feux si il y a des règles concernant les requètes ICMP.
Moi je peux pinguer les adresses de routeur de mes réseau distant (192.168.2.100 et 192.168.3.100) depuis mon réseau local (192.168.1.0).

Il s'agissait des réglages IPSec Rules, mal configurées... je m'étais trompé entre l'adresse publique et l'adresse de mon réseau...

Bref !

Concernant notre problème commun, je ne vois vraiment pas d'où cela puisse venir...

j'arrive même pas à pinger mes postes distants, ainsi que le routeur (avec son @IP local) !

Qu'as tu modifié pour que ta connexion soit établie ? Que tout le mode puisse comprendre!!!!
Pour tes PC, je ne sais pas, moi j'en suis là aussi...
Mes liaisons sont montées, mais je ne sais pas comment configurer les postes pour qu'ils puissent communiquer!

Bon ça y est !
La connexion VPN est établie....

...
2008 Nov 27 10:38:58 [FVX538] [IKE] IPsec-SA established: ESP/Tunnel 80.xx.xx.xx->78.xx.xx.xx with spi=107693002(0x66b43ca)_
2008 Nov 27 10:38:58 [FVX538] [IKE] IPsec-SA established: ESP/Tunnel 78.xx.xx.xx->80.xx.xx.xx with spi=3190685695(0xbe2dffff)_

le problème maintenant est que je ne peux pas encore accéder au PC de l'autre côté. Savez vous à quoi cela est du?!

Merci

"Même group" ? cad?!

Sinon, les stratégies sont identiques.

Vérifie tes stratégies IKE sur tes deux routeurs, ils doivent avoir les mêmes algorythmes de cryptage, hachage, étre dans le même groupe...

Merci pour ton aide Makss !!

Oui j'essaye d'avancer de mon côté... mais avec peu de résultats. Enfin quand même, voici le log du VPN coté Netgear :

2008 Nov 26 16:55:08 [FVX538] [IKE] Adding IPSec configuration with identifier "TOULOUSE"_
2008 Nov 26 16:55:08 [FVX538] [IKE] Adding IKE configuration with identifer "TOULOUSE"_
2008 Nov 26 16:55:08 [FVX538] [IKE] Using IPsec SA configuration: 192.168.2.0/24<->10.10.10.0/24_
2008 Nov 26 16:55:08 [FVX538] [IKE] Configuration found for 80.xx.xx.xx._
2008 Nov 26 16:55:08 [FVX538] [IKE] Initiating new phase 1 negotiation: 78.xx.xx.xx[500]<=>80.xx.xx.xx[500]_
2008 Nov 26 16:55:08 [FVX538] [IKE] Beginning Identity Protection mode._
2008 Nov 26 16:55:12 [FVX538] [IKE] Received Vendor ID: CISCO-UNITY_
2008 Nov 26 16:55:12 [FVX538] [IKE] Received unknown Vendor ID_
                - Last output repeated twice -
2008 Nov 26 16:55:12 [FVX538] [IKE] Received Vendor ID: draft-ietf-ipsra-isakmp-xauth-06.txt_
2008 Nov 26 16:55:14 [FVX538] [IKE] ISAKMP-SA established for 78.xx.xx.xx[500]-80.xx.xx.xx[500] with spi:3acac3ccc885085a:7cda573f3d8b509a_
2008 Nov 26 16:55:14 [FVX538] [IKE] Sending Informational Exchange: notify payload[INITIAL-CONTACT]_
2008 Nov 26 16:55:15 [FVX538] [IKE] Initiating new phase 2 negotiation: 78.xx.xx.xx[0]<=>80.xx.xx.xx[0]_
2008 Nov 26 16:55:16 [FVX538] [IKE] Unknown notify message from 80.xx.xx.xx[500].No phase2 handle found._
2008 Nov 26 16:56:15 [FVX538] [IKE] Phase 2 negotiation failed due to time up. 3acac3ccc885085a:7cda573f3d8b509a:9cdfcc80_
2008 Nov 26 16:56:15 [FVX538] [IKE] an undead schedule has been deleted: 'quick_i1prep'._ 

Donc ça bloque à cette fameuse "Phase 2" pacque "Unknown notify message from 80.xx.xx.xx[500].No phase2 handle found"...
Comme dirait mon oncle Anatole espagnol : ?Qué passa?!!

Merci à toute aide éventuelle, et bien sur Makss je te tiens au courant si j'avance !

De ton réseau local vers le web, autorise tout, tu restreindra selon le besoin.
De ton réseau web (dialer 0) vers ton réseau local :
-Autorise le trafic IP de ton réseau local distant en destination du réseau local derière le routeur que tu configure.

A ce niveau, moi j'ai des VPN configuré comme ce ci utilisés pour la téléphonie IP. J'ai voulu y toucher pour faire du VPN site à site, j'ai fais sauter le téléphone!!!
Je suppose qu'il faut autoriser le traffic UDP et TCPdu même style que ci dessus...
Je me renseigne de mon coté et te tiens au courant.
Si t'as du neuf et que tu avance, merci de me mettre au parfum!!!