Conexões VPN parciais no Cisco ASA

Question

Cisco ASA 5505 no site remoto, conectando-se como cliente Easy VPN ao ASA 5510 no HQ. A luz da VPN é verde e sh crypto isakmp sa mostra a associação de segurança ativa.

No entanto, a conectividade com algumas de nossas sub-redes não está funcionando. A execução de show crypto ipsec sa mostra SAs IPSEC para a maioria das nossas sub-redes, mas não para todas. Não surpreendentemente, para sub-redes onde não há SA, não há conectividade possível.

Quando isso acontece, executar clear crypto isakmp sa ou ligar / desligar o ASA remoto restaura os túneis IPSEC e o acesso a todas as sub-redes é possível novamente.

Quando isso ocorre, é intermitente. Nenhuma alteração na configuração aconteceu com os dispositivos afetados.

Aqui estão minhas perguntas:

• O que faria com que um IPSEC SA falhasse em uma sub-rede, sem derrubar todo o link da VPN?
• Que medidas devo tomar para prevenir ou mitigar essas causas?
• Existe alguma configuração do ASA que detecte quando isso acontece e restaure o link automaticamente?

Answer 1

Recentemente, tive esse problema com apenas 1 de 2 ativações de segurança ativas. Eu resolvi isso verificando novamente

sh run crypto map

Meus comandos ikev1 e ikev2 são compatíveis, mas um lado é um erro.

crypto map WAN_map 1 set pfs

Após adicionar esse comando (substituindo o nome do mapa de criptografia real) e gerar tráfego do lado do iniciador, os dois SAs foram bem-sucedidos.