O firmware padrão em muitos dos roteadores do Cisco 850 Series tinha um firmware defeituoso. Atualize seu firmware, se isso não resolver, por favor poste sua execução no show
Eu trabalho para uma empresa cuspida em dois sites. Ambos os sites são conectados através de uma conexão vpn com duas caixas cisco 850.
O problema que estamos enfrentando freqüentemente (muitas vezes durante a manhã, logo após uma noite de inatividade), é que estabelecer uma conexão é muito doloroso porque temos que tentar novamente 10 vezes antes do sucesso.
Eu coloquei o wireshark no computador e observei que:
No cliente:
-> SYN ->
<- SYN/ACK <-
-> ACK ->
<- RST <-
No servidor:
<- SYN <-
-> SYN/ACK ->
<- ACK <-
<- RST <-
Ambos recebem um RST (eu acho da VPN)!
Eu me pergunto o que pode levar a esse problema?
Alguém tem rosto com problema semelhante? Alguma pista de como resolver isso? Eu acho que o problema pode estar relacionado a alguma configuração de timeout (porque acontece apenas pela manhã)
Atualização:
Obrigado por todas as suas respostas, encaminhamos suas recomendações ao meu administrador de rede, mas ainda estou aguardando a resposta dele. Assim que tiver uma resposta, postarei neste tópico. Como eu coloquei uma recompensa, e mesmo se o meu problema não for resolvido, a recompensa será automaticamente atribuída.
O firmware padrão em muitos dos roteadores do Cisco 850 Series tinha um firmware defeituoso. Atualize seu firmware, se isso não resolver, por favor poste sua execução no show
Provavelmente não é a resposta que você quer ouvir, mas você geralmente não recebe um RST de uma VPN com falha ... meu primeiro palpite é que você não tem ACLs correspondentes em ambos os lados (o que deve resultar no túnel que não está aparecendo de forma alguma) ou sua ACL não está permitindo a conexão de saída ou de entrada.
Já tentou aumentar a depuração para isakmp & ipsec nos endpoints para ver se a sua criptografia / descriptografar corretamente?
debug crypto ipsec
debug crypto isakmp
greeblesnort está certo, um vpn para baixo não envia um RST - ele apareceria como perda de pacotes até que ele voltasse - pings acabariam, e iniciar uma conexão tcp do seu cliente não teria resposta (sem syn / ack do servidor).
Dito isso, pode ser que suas primeiras tentativas estejam fazendo com que os roteadores reinicializem uma associação de segurança expirada. Certifique-se de que os parâmetros da nova chave sejam os mesmos em ambas as extremidades (segundos de tempo de vida de associação de segurança ipsec criptografados < ### > (geralmente 86400)).
E sim, poste suas configurações.