2. Fórumok
  3. Hálózat, szolgáltatók
  4. Cisco vizsgák (CCNA, CCNP, CCIE)
  • Téma összefoglaló
    Utoljára frissítve: 2020-02-27 09:43

    PROHARDVER!

    --- Még az új vizsgarendszer előtti információk, majd frissítjük! ---


    Gyakran ismételt kérdések
    Olvasd el a cikkeket itt.

Új hozzászólás Aktív témák

  • #8824 zsolti.22 senior tag crok #8817
    Új Válasz #8824
    Új hozzászólás
    Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
    Privát üzenet küldése

    zsolti.22

    senior tag

    válasz crok #8817 üzenetére

    Na sorban akkor reagálok:

    Nos, ha TCP 80-on szeretnéd elérni a 192.168.20.2-t 192.168.50.2-ről akkor félig-meddig jó, nem tom' nem-e redirect-el HTTPS-re. Plusz ez csak az egyik oldal, így VPN-t troubleshootolni meglehetősen nehéz.

    Nincs HTTPS redirect.

    De pl. ehhez nem látok policy-map-et:
    zone-pair security VOIP-to-OUTSIDE source VOIP destination OUTSIDE
    service-policy type inspect VOIP_TO_OUTSIDE << ilyen policy-map-et nem látok

    Van a routerben, csak lemaradt :B

    A jövőbeni bővíthetőségre való tekintettel én nem használnék "class-map type inspect match-all"-t hanem match-any-t, hogy utánna hozzáadni egyszerűbb legyen.

    Igen, jogos, bele is buktam :) Viszont mivel ACL-re matcheltetek vele és ez az egy ACL is bőven elég, mert csak azt az egyet kell szerkesztenem, ha valamire szükségem van, így végülis ez is megteszi egyelőre. De igen, a match-any sokkal rugalmasabb...

    Ezek itt lent önmagukban még jók lennének, de vissza nem engedi a forgalmat a ZBF, nem elég a pass mert UDP és "titkos" az IPSec

    Bezony, igaz, szerintem emiatt sem működött. Este majd újra megpróbálom, ahogy írtam korábban.

    Drop log van a végén - szóval nézz logot, hogy mit dob ha dob egyáltalán (állíts buffert rendesen) de szerintem kéne egy SELF_TO_OUTSIDE amiben engeded az IPSec UDP-t, ESP-t visszafelé.

    Igen, az volt a log célja, hogy lássam, mi dob és mit, az alapján alakítottam át úgy a konfigot, hogy a tunnel már kiépül, de itt az lesz a hiba, ahogy írtad is fent, hogy nincs SELF-TO-OUTSIDE zóna-párom.

    Aztán ha minden kötél szakad akkor az IOS Order-of-operation miatt én feltennék egy ACL-t az OUTSIDE interface-re amiben a forgalmadat (TCP 80 src 192.168.50.2 dst 192.168.20.2) direktben engedném hogy lássam hogy a VPN vagy a ZBF a hiba.

    Teljesen kizárnám a VPN hibáját a fentiek miatt, ez ZBF misconfig error lesz.

    Kösz a gyors analizálást!

Új hozzászólás Aktív témák