Site-to-Site VPN-Connection

[MYOEY 10]

Hallo,

Eine Site-to-Site VPN-Anbindung zwischen einer PIX515 und einer PIX506 wird nach dem Neustart einer der PIXs nicht mehr automatisch aufgebaut trotz laufendem Traffic.

Der Tunnel wird sauber aufgebaut und Traffic läuft auch in beiden Richtungen durch aber wenn ich die PIX506 neustarte, wird kein tunnel aufgebaut solange bis ich auf der PIX515 den command"clear cry isa sa" setze dann wird der tunnel aufgebaut und läuft Traffic durch!

 

Wenn ich mir den Logg auf der PIX506 anschaue, sehe ich folgendes:

 

402101: decaps: rec'd IPSEC packet has invalid spi for destaddr=x.x.x.x, prot=esp, spi=0x74440591(1950614929)

402101: decaps: rec'd IPSEC packet has invalid spi for destaddr=x.x.x.x, prot=esp, spi=0x74440591(1950614929)

402101: decaps: rec'd IPSEC packet has invalid spi for destaddr=x.x.x.x, prot=esp, spi=0x74440591(1950614929)

402101: decaps: rec'd IPSEC packet has invalid spi for destaddr=x.x.x.x, prot=esp, spi=0x74440591(1950614929)

402101: decaps: rec'd IPSEC packet has invalid spi for destaddr=x.x.x.x, prot=esp, spi=0x74440591(1950614929)

 

 

Könnte man mir dies Verhalten irgendwie klären und wie man das Problem lösen könnte sodass trotz bestehender Verbindung nach dem Neustarten einer der PIXs dannach doch der Tunnel aufgebaut wird!

 

 

Ich wäre für jede Antwort dankbar.

 

 

Gruß

 

MYOEY

[glady 10]

Stimmt das Interesting-Traffic auf beiden Seiten 1:1 überein?

 

Gruß, Glady

[Wordo 11]

Also vorm Neustart der PIX koenntest du das VPN clearen, oder du aktivierst DPD (wenns mit PIX geht). Dann sollte das kein Problem sein. Ich geh mal davon aus das die PIX (welche nicht vom Neustart betroffen ist) nicht mitbekommt das die Session neu verhandelt werden muss und nimmt den Aufbau nicht an.

[MYOEY 10]

Erst mal vielen Dank für die Antworten.

Ja, es sieht so aus als die nicht neugestartete PIX irgendwie nicht mitbekommt dass die Session neu verhandelt werden muss! Natürlich ich kann mit "clear" die session beenden aber ich möchte das es automatisch läuft.

was bewirkt "DPD " und wie kann ich das bitte aktivieren?

 

 

Gruß

 

MYOEY

[Wordo 11]

DPD (Dead Peer Detection) erkennt ob ein Peer down ist und versucht die Verbindung neu aufzubauen bzw loescht sie (ist einstellbar). Bei PIX ist es glaub ich irgendwas mit "isakmp keepalive" oder so ...

[MYOEY 10]

vielen herzlichen Dank... ich hab DPD aktiviert und somit ist das Problem weg :)

 

 

Gruß

 

MYOEY

[hegl 10]

vielen herzlichen Dank... ich hab DPD aktiviert und somit ist das Problem weg :) MYOEY

 

 

und, war es der Befehl isakmp keepalive ???

 

Nach Deinem Posting habe ich gestern das gleiche Problem bei mir festgestellt. Es reicht aber anscheindend nicht, wenn ich den Befehl auf dem zentralen VPN-Gateway (hier PIX 520) einschalte. Der Tunnel kommt erst mit dem ersten Paket zum Remote-Peer hoch:confused:

[MYOEY 10]

ja, ich habe einfach den Befehl "isakmp keepalive ... " auf der zentralen PIX eingesetzt und dann lief es problemlos.

 

welche Fehlermedlung bekommst du dann von der neugestarteten PIX?

 

Gruß

 

MYOEY

[hegl 10]

Ich erhalte keine Fehlermeldung. Es scheint, als würde die PIX, auf der ich isakmp keepalive konfiguriert habe, gar kein keepalive schicken. Aber danke für die Klarstellung!

[MYOEY 10]

Das kannst du aber ganz genauer überprüfen, indem du "debug cry isakmp" einschaltest aber sehr Vorsichtig mit den beiden commands da sie Performance Probleme verusachen können!!

 

z. B.

isakmp keepalive 60 10

debug crypto isakmp

 

 

Gruß

 

 

MYOEY

[hegl 10]

Hatte ich beides bereits scharf - et kütt äver nix!