Cisco 的解決方案中 PIX VPN的兩個問題

2019-11-04 21:25:21

字體：大中小

來源：轉載

供稿：網友

　　在Cisco 的解決方案中，ipSEC VPN通常建立在IOS Router、VPN 集中器、PIX以及WinPC之間，其中WinPC既可以使用Windows自帶的組件，也可以使用Cisco VPN client 程序，后者配置和使用都較為便利。
　　問題一的拓撲如下：
　　
　　Lan1（ACS）-----PIX525-----Internet------Router------Lan2
　　
　　PIX 525是VPN Server, 在Lan2 中有多個客戶。客戶端通過Router 以PAT（端口地址轉換）方式連接到Internet，使用Cisco VPN Client 軟件與PIX 525建立VPN 連接。當Lan2中只有一個客戶與PIX 525建立連接時，一切正常；但假如另一個客戶也要發起VPN連接的話，前一個客戶的連接就會被斷掉。問題的原因可能是PIX 525按IP地址識別SA,對同一IP地址，不能建立兩個SA。
　　
　　解決的方法是使用PIX 6.3版本軟件的一個新特性“TCP transparancy”,該特性答應客戶端把IPSEC數據打包通過TCP或UDP的一個端口（默認10000）進行傳輸，要害命令是：isakmp nat-traversal。
　　
　　完整配置：
　　PIX Version 6.3(1)
　　interface ethernet0 auto
　　interface ethernet1 auto
　　interface ethernet2 auto
　　nameif ethernet0 outside security0
　　nameif ethernet1 inside security100
　　nameif ethernet2 dmz security50
　　enable passWord ******************** encrypted
　　passwd ******************** encrypted
　　hostname TEST
　　domain-name jyzq.cn
　　fixup PRotocol FTP 21
　　fixup protocol h323 h225 1720
　　fixup protocol h323 ras 1718-1719
　　fixup protocol http 80
　　fixup protocol ils 389
　　fixup protocol rsh 514
　　fixup protocol rtsp 554
　　fixup protocol sip 5060
　　fixup protocol sip udp 5060
　　no fixup protocol SKINny 2000
　　fixup protocol smtp 25
　　fixup protocol sqlnet 1521
　　names
　　access-list 101 permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0
　　access-list 102 permit ip 10.1.2.0 255.255.255.0 10.2.2.0 255.255.255.0
　　access-list no-nat permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0
　　access-list no-nat permit ip 10.1.2.0 255.255.255.0 10.2.2.0 255.255.255.0
　　pager lines 24
　　mtu outside 1500
　　mtu inside 1500
　　mtu dmz 1500
　　ip address outside 202.100.100.100 255.255.255.192
　　ip address inside 10.1.3.250 255.255.255.0
　　ip address dmz 192.168.1.1 255.255.255.0
　　ip audit info action alarm
　　ip audit attack action alarm
　　ip local pool pool1 10.2.1.1-10.2.1.250
　　ip local pool pool2 10.2.2.1-10.2.2.250
　　no failover
　　failover timeout 0:00:00
　　failover poll 15
　　no failover ip address outside
　　no failover ip address inside
　　no failover ip address dmz
　　pdm history enable
　　arp timeout 14400
　　global (outside) 1 interface
　　nat (inside) 0 access-list no-nat
　　nat (inside) 1 10.1.1.0 255.255.255.0 0 0
　　nat (inside) 1 10.1.2.0 255.255.255.0 0 0
　　nat (dmz) 1 192.168.1.0 255.255.255.0 0 0
　　route outside 0.0.0.0 0.0.0.0 202.100.100.101 1
　　route inside 10.1.1.0 255.255.248.0 10.1.3.2 1
　　route inside 10.1.2.0 255.255.255.0 10.1.3.2 1
　　timeout xlate 3:00:00
　　timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
　　timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
　　timeout uauth 0:05:00 absolute
　　aaa-server TACACS+ protocol tacacs+
　　aaa-server RADIUS protocol radius
　　aaa-server RADIUS (inside) host 10.1.3.100 cisco timeout 10
　　aaa-server LOCAL protocol local
　　aaa authentication telnet console RADIUS
　　no snmp-server location
　　no snmp-server contact
　　snmp-server community public
　　no snmp-server enable traps
　　floodguard enable
　　sysopt connection permit-ipsec
　　crypto ipsec transform-set test esp-des esp-md5-hmac
　　crypto dynamic-map dynmap 10 set transform-set test
　　crypto map testvpn 10 ipsec-isakmp dynamic dynmap
　　crypto map testvpn client configuration address initiate
　　crypto map testvpn client configuration address respond
　　crypto map testvpn client authentication RADIUS
　　crypto map testvpn interface outside
　　isakmp enable outside
　　isakmp key ******** address 0.0.0.0 netmask 0.0.0.0
　　isakmp identity address
　　isakmp nat-traversal 120
　　isakmp policy 10 authentication pre-share
　　isakmp policy 10 encryption des
　　isakmp policy 10 hash md5
　　isakmp policy 10 group 2
　　isakmp policy 10 lifetime 86400
　　vpngroup vpn1 address-pool pool1
　　vpngroup vpn1 dns-server 202.100.100.198
　　vpngroup vpn1 default-domain test.cn
　　vpngroup vpn1 split-tunnel 101
　　vpngroup vpn1 idle-time 1800
　　vpngroup vpn1 password ********
　　vpngroup vpn2 address-pool pool2
　　vpngroup vpn2 dns-server 202.100.100.198
　　vpngroup vpn2 default-domain test.cn
　　vpngroup vpn2 split-tunnel 102
　　vpngroup vpn2 idle-time 1800
　　vpngroup vpn2 password ********
　　telnet 10.1.3.0 255.255.255.0 inside
　　telnet timeout 5
　　ssh timeout 5
　　console timeout 0
　　terminal width 80
　　Cryptochecksum:bbafa6e012639b4db524831263ba7b86
　　: end
　　
　　注重Cisco VPN Client 低版本（如3.5）在上述環境中使用有問題，須要使用較新的版本，如4.0版本。
配置方法為選中VPN連接屬性中的“Enable Transparent Tunneling"。
　　
　　在以上配置中,PIX上有兩個vpngroup，均通過本機的地址池分配地址,不同組用戶可以訪問不同的資源。用戶使用不同的Pre-shared key連接PIX,確定其所屬的組。用戶名、密碼則由PIX提交給ACS做集中驗證。由于ACS無法限定某個用戶只能以某個組的身份登錄，假如A組的成員知道了B組的Pre-shared key, 他可以使用自己的用戶名、密碼登錄到B組。為了防止這種情況發生,可以在ACS上為兩個組的用戶指定不同的ACL，使得即使用戶以別的組的身份登錄，也無法訪問受限資源。
　　
　　問題二的拓撲如下：
　　Lan1-----PIX525-----Internet------PIX506E------Lan2
　　
　　在該環境中，Lan2用戶可以通過PIX 506E上網，但不能與PIX 525建立VPN連接。經觀察發現，Lan2用戶假如不通過PIX506E防火墻可以與PIX 525建立VPN連接。假如PIX 506E為Lan2中的某臺PC做了靜態NAT, 該PC也可以與PIX 525建立VPN連接。
　　
　　解決過程：
　　show version 發現PIX 506E不支持VPN-DES加密特性：
　　
　　Licensed Features:
　　Failover: Disabled
　　VPN-DES: Disabled
　　VPN-3DES-AES: Disabled
　　
　　PIX 的VPN-DES特性是免費的，假如出廠時該特性是Disabled的，要到網址http://www.cisco.com/kobayashi/sw-center/ciscosecure/pix.sHtml(需要CCO帳號)點擊“*FREE* Register for PIX 56-bit IPSEC Software Feature Key”進行注冊獲取新的Acitvation Key。高版本軟件可以用命令activation-key 直接輸入新的key,低版本的升級方法可以參考：http://mize.netbuddy.org/021213.html。

上一篇：三種主要的 VPN 解決方案的優點

下一篇：全面的IP地址管理方案 NextIP軟件系統