Cisco ASA 5505 VPN防火牆怎麼設置？

其他回答 (2)

.

.

請查閱說明書 .

.

.

.

.

.

熱心問友2009-10-16 .

.

思科提供了許多處理VPN連接性的方法，這使得排除VPN的故障和解決問題成為一個並不輕松的問題。從包括在某些思科路由器中的VPN性能到PIX防火牆所提供的VPN服務，再到思科的VPN Concentrator，其中的每一個都有其自身的特點。

考慮到選項的復雜性，本文所討論的這些技巧並不一定適用於所有的思科VPN配置。不過，本文將會為您解決類似的VPN問題提供一個很好的起點。

問題一：某個運行互聯網連接共享的用戶不能安裝思科3000 VPN客戶端。

這個問題易於解決。用戶需要在安裝VPN客戶端之前在其機器上禁用ICS。筆者建議用戶用一個支持防火牆的路由器代替ICS。注意，如果VPN機器只是通過另外一個使用ICS的機器進行連接的話，這樣做就不必要了。要禁用ICS，可以單擊“開始(Start)”/“控制面板(Control Panel)”/“管理工具(Administrative Tools)”/“服務(Services)”/“Internet連接共享(Internet Connection Sharing)”，並禁用“在啟動時加載(Load On Startup)”選項。

此外，還要保證用戶們知道VPN客戶端禁用了XP的歡迎屏幕和快速用戶切換，這些通常用在多用戶的家用計算機中。組合鍵[Ctrl]+[Alt]+[Delete]仍適用，而且用戶需要鍵入其用戶名和口令。(注意：快速用戶切換可以通過禁用客戶端的‘登錄前開始’特性禁用。不過，這也有其自身的問題，因此，除非你確實需要快速用戶切換，筆者並不推薦這樣做。)

.

關於客戶端安裝的另外一個問題：思科並不推薦在同一的PC上安裝多個VPN客戶端。如果對此你有任何問題，並且需要支持，可以先卸載其它的客戶端，然後再打電話尋求支持。

問題二：日志指示一個密鑰問題

如果與預共享密鑰有關的日志中存在著錯誤，你就可能在VPN連接的任何一端上錯配密鑰。這種情況下，你的日志會指明客戶端與VPN服務器之間的交換很好地切合IKE的首要模式安全性。在這種交換之後，日志會指明一個密鑰問題。要解決之，可以在集中器上找到“配置(Configuration)”/“系統(System)”/“隧道協議(Tunneling Protocol)”/“IPSec局域網到局域網(IPSec LAN-to-LAN)”選項，並選擇你的IPSec配置。在預共享密鑰(Preshared Key)字段中，輸入你的預共享密鑰。在一個用於與集中器關聯的思科PIX防火牆上，應使用命令：

sakmp key password address xx.xx.xx.xx netmask 255.255.255.255

在這裡的口令即是你的預共享密鑰。用於你的集中器中的密鑰和PIX防火牆上的密鑰應當正確地匹配。

問題三：在試圖連接到VPN時，運行防火牆軟件的用戶報告錯誤

在防火牆軟件中，有一些端口需要打開，如BlackIce(BlackIce也存在著與思科的VPN客戶端相關的其它問題。你可以參考它的發布注釋尋求更多的信息。)，Zone Alarm，Symantec，還有Windows平台的其它互聯網安全程序,以及Linux系統上的ipchains 和 iptables。總體而言，如果用戶在其軟件中打開了下面的端口，你就該看到一些抱怨的終結： .

UDP 端口： 500, 1000 和 10000

IP 協議 50 (ESP)

為IPSec/TCP而配置的TCP 端口

NAT-T 端口 4500

問題四：家庭VPN用戶抱怨說，在VPN連接建立後，他們不能訪問其家用網絡上的其它資源。

一般而言，這種問題是由於禁用了隧道分離造成的。雖然隧道分離會引起安全風險，可以通過采取強健的、增強的安全策略而將這些風險減輕到某個程度，並自動地擴展到客戶端連接(例如，一個策略可能要求安裝最新的反病毒軟件或安裝一個防火牆)。在一個PIX上，可以使用這個命令來啟用隧道分離：

vpngroup vpngroupname split-tunnel split_tunnel_acl

你應當用對應的訪問列表命令來定義哪些內容可以通過加密的通道，哪些通信可以以明文的形式發送出去。例如：

access-list split_tunnel_acl permit ip 10.0.0.0 255.255.0.0 any

或者任何你指定的IP地址范圍。

在一個思科Cisco Series 3000 VPN Concentrator 上，你需要告訴設備哪些網絡應通過加密通道通信。可以通過如下步驟進行：轉到“配置(Configuration)”/“用戶管理(User Management)”/“基群(Base Group)”，並且從“客戶配置(Client Config)”選項卡中，選擇“Only Tunnel Networks In The List(僅列表中的隧道網絡)”選項，並在你應該由VPN保護的站點上創建一個網絡列表，而且要在“Split Tunneling Network List(分離隧道網絡列表)”下拉列表框中選擇這個網絡列表。 .

問題五：一個遠程用戶的網絡正在使用與VPN服務器的本地網絡相同的IP地址范圍(采用支持虛擬適配器的Client VPN 4.6,環境：Windows 2000/XP)

對這些特定的操作系統來說，這可能有點兒特別，不過診斷Cisco VPN 4.6的這些IP地址沖突可能會使人灰心喪氣。在這些情況下，由於沖突的存在，那些假定通過VPN隧道的通信仍保留在本地。

在受到影響的客戶端上，單擊“開始(Start)”/“控制面板(Control Panel)”/“網絡和撥號連接(Network And Dialup Connections)”/“本地適配器(local adapter)”，在適配器上右擊，並選擇“屬性(Properties)”。在“屬性(Properties)”頁上，選擇TCP/IP，然後單擊“屬性(Properties)”按鈕。下一步，單擊“高級(Advanced)”選項，找到“Interface Metric”選項，將其值增加1。這就有效地告訴了你的計算機第二次使用本地適配器。VPN適配器將可能擁有metric值1,這使它成為一個通信目地的首要選擇。

問題六：某些路由器/固件組合引起了客戶端的VPN連接問題

思科的VPN客戶端在一些較老的(有時是較新的)家用路由器中會產生問題，通常是針對特定的固件版本。如果你的用戶存在著一致的連接問題，就需要讓它們升級其路由器的固件，特別是在他們擁有一個較老的設備單元時。在眾多的路由器中，已知會產生思科客戶端問題的有： .

固件版本低於1.44的Linksys BEFW11S4

固件版本低於2.15的Asante FR3004 Cable/DSL 路由器

Nexland Cable/DSL 路由器型號 ISB2LAN

如果所有其它的措施都失效，可以將一個空閒的路由器給用戶使用，幫助它們限制潛在的問題范圍。最終有問題的路由器可能需要替換。

問題七：用戶報告說，在他們試圖建立連接時，其客戶端連接會終結

在這種情況下，用戶會看到一個錯誤消息，類似於“VPN Connection terminated locally by the Client. Reason 403: Unable to contact the security gateway”( VPN連接被客戶端終結。原因403：不能聯系到安全網關。)這種錯誤可能是由多種原因造成的：

用戶可能輸入了不正確的組口令

用戶可能並沒有為遠程VPN端點鍵入恰當的名稱或IP地址

用戶可能存在著其它的互聯網連接問題

基本而言，由於某種原因，IKE協商會失效。你可以檢查客戶端的日志，(單擊log/enable)，設法找到使哈希認證無法進一步縮小問題范圍的錯誤。

問題八：從NAT設備後建立一個VPN連接時，發生故障;或者建立一個到NAT設備後的VPN服務器的連接時，發生故障。

在允許傳輸期間對數據包的頭部進行修改之前，這個問題是固有的，所以這個問題出現在所有的思科VPN硬件中。要糾正這個問題，就要在你的硬件上啟用NAT-Traversal (NAT-T)，並允許UDP端口4500通過防火牆。 .

如果你正將一個PIX防火牆既用作防火牆又用作VPN端點，就要在你的配置中用命令nat-traversal 20啟用NAT-T，並打開4500端口。這裡的20是NAT的保持活動的時間周期。如果你擁有一個獨立的防火牆和一個思科VPN集中器，就要在擁有集中器目標地址的防火牆上打開UDP端口4500。然後，在集中器上，轉到“Configuration(配置)/ Tunneling And Security(隧道和安全性)/IPSec /NAT Transparency(NAT 透明度)”,並選擇“IPSec Over NAT-T”選項。而且，還要保障任何在用戶端點上使用的客戶端都支持NAT-T。

問題九：用戶成功地建立了一個VPN鏈接，不過卻周期性的掉線。

同樣，為了明確問題，你還要檢查多個地方。首先，確認用戶的計算機並沒有進入Standby Mode (待命模式)、休眠模式，也沒有啟動屏幕保護程序。在VPN客戶期望到達一個VPN服務器的持續連接時，待命模式、休眠模式能夠中斷你的網絡連接。為了節省電力，你的用戶還有可能配置其計算機使其在一段時間之後關閉一個網絡適配器(網卡)。

如果使用了無線技術，你的用戶有可能漫游到一個無線信號很弱(或不存在)的地方，那麼VPN有可能因此斷開。還有，你的用戶的網絡電纜可能有問題，也有可能是路由器或互聯網連接的問題，或者是其它的物理連接問題。

.

還有這樣一些報告指出，如果一個VPN端點(PIX或3000集中器)耗盡其IP地址池中的資源，也會導致在客戶端上導致這種錯誤。

問題十：某用戶報告說，計算機在本地網絡上不再可“見”，即使VPN客戶端被禁用。

其它症狀還可能包括用戶網絡上的其它許多計算機不能Ping通VPN計算機，即使這台計算機能夠看到網絡上的其它計算機。出現這種情況，這個用戶有可能啟用了VPN客戶端上的內置防火牆。如果防火牆被啟用，它就會保持運行狀態，甚至在客戶端不運行時仍然如此。要解決問題，就要打開客戶端，並從選項(options)