VPN, Cisco und Conware ... Newbie-Grundsatzfragen ....

#1 Hallo zusammen,

ich habe folgendes Problem :

in unserem Konzernverbund soll ein internes VPN aufgebaut werden.
Die meisten (nicht alle) anderen Unternehmen setzen am "Tunnelende" eine Conware-Box ein. Andere (so auch wir) nutzen stattdessen Cisco-Komponenten.
Nun hat sich (lt. unserem Dienstleister) herausgestellt, dass es Probleme mit dem "Aufbau" des Tunnels zwischen Conware & Cisco gebe. Dieses löse er aber über einen "getimeten Ping" .... (ping alle paar Minuten)......

Könnte mir das mal jemand verifizieren, bzw. (noch besser *g) "übersetzen" ?
Bin "sooo tief" in der Materie noch nicht drin, aber ich wüsste gerne, ob unser Dienstleister die "Schuld" einfach nur weiterschiebt .......

Liege ich falsch dain, wenn ich folgendes denke ? ->
"VPN-Tunnel-Aufbau" ->
von Cisco kommend, wird ein "Signal" gesendet -> Conware nimmt an , verifiziert (Handshake=ok (?))..... => "Tunnel steht" ! = Datenverkehr

irgendwann ist kein Datenverkehr mehr gegeben, somit wird der Tunnel abgebaut ..... (denke ich, bzw. so hab ich's verstanden)

Nun aber soll die Kommunikation in anderer Richtung aufgebaut werden ......
Conware "ruft an" -> versucht aufzubauen ...... -> nix passiert !
Da aber in unseren Log's (Cisco) nix zu fnden ist (versuchter Aufbau von Conware) .... liegt da nicht der Verdacht nahe, dass der Dienstleister
einfach was falsch gemacht hat ?
Oder habe ich grundsätzlich im VPN-Tunnelaufbau was falsch verstanden ?

Wäre echt nett, wenn mir da jemand "auf die Sprünge" helfen könnte.

Gruss
Tribunx71

#2 Welche Produkte (Typ) setzt Ihr denn genau ein??? Ist das Cisco Gerät der Endpunkt der VPN Verbindung, oder kommt da noch was dahinter?

R.
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#3 Hallo,

also bei uns handelt sich um eine CiscoPIX ....... und sie ist auch der "Endpunkt" des Tunnels.

.....habe heute (und letzte Nacht) mal wieder gelesen/getestet/gelesen .....*g

Denke, dass Prob könnte folgendes sein ->
Es scheint so, dass die Verschlüsselungstechnik bei Cisco auf 'DES' basiert ..... und bei Conware per 'Blowfish' umgesetzt wird ....... kann es sein, dass da ein Kompatibilitätsproblem vorliegt ?

Gruss
Tribun

#4 Moin tribunx71


Grundsätzlich stimmt deine Annahme mit der Verschlüsselung, aber... wenn ich dich in deinem ersten Posting richtig verstanden habe, klappt die VPN-Verbindung in eine Richtung... Cisco -> Conware ?! Ich denke daher, dass es an der Verschlüsselungsmethode nicht liegen kann. Zumal ansonsten im Cisco-log eine entsprechende Meldung auftauchen sollte.

Administriert euer Dienstleister beide Seiten, also CiscoPIX und Conware?
Steht die CiscoPIX event. noch hinter einem Router?

Könnte sein, dass es an den Einstellungen der PIX liegt, wenn Conware nicht rauf kommt... TrustetIP od. -Host, generelles blockieren eingehender Verbindungsanfragen..., IKE-Authentifizierungsfehler auf Protokollebene... egal, in jedem Fall sollte aber ein entsprechender Log-Eintrag vorhanden sein. Firewalls meißeln doch sonst alles mit... warum ausgerechnet die PIX nicht?!

Theoretisch wär's auch möglich, das die Verbindungsanfrage garnicht erst an der PIX ankommt, wenn sie vorher schon am (ggf. vorhandenen) Router verworfen wird...

Der Ping wird eingesetzt, um das Timeout der Verbindung zu umgehen. In meinen Augen 'ne ziemlich dämliche Lösung für zwei so aufwändige Systeme.

Ansonsten ist es ziemlich schwierig deine Frage zu beantworten, bzw. dir zu helfen, ohne dass du dir komische Fragen von deinem Dienstleister anhören mußt, wenn wir hier falsch liegen

Grüße, dicon
__________
Knie nieder NICHTS und danke der Welt, dass sie dir ein Zuhause gibt und dich am Leben hält.

#5 hallo,

also folgendes ist noch zu "beachten"... bzw. "interessant" .....
(gerade erst aufgefallen...)
es hängt tatsächlich noch ein router davor, welcher aber kein "nat" macht, sondern ein reines routing ........

ist irgendwie echt eigenartig alles ......
mfg
tribun

#6 Dann muß dafür gesorgt werden, daß alle Ports (je nach verwendetem Verfahren) auch richtig weitergeleitet werden. Wenn Du keine Verbindungsaufbauversuche im Log findest, dann muß was am Router nicht stimmen.

R.
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#7 Der Router könnte das Prob sein... seh ich auch so... auch ohne NAT müssen die entsprechenden Diensteports und Protokolle auf dem Router zur Verfügung stehen. IP-Filter könnten ebenfalls verhindern, dass eine Verbindung zustande kommt... Hier sollte aber das Log auf jeden Fall Auskunft geben... ggf. mal den Verbindungsmoni beobachten, wenn die Conware-Seite versucht eine aufzubauen.

Grüße, dicon
__________
Knie nieder NICHTS und danke der Welt, dass sie dir ein Zuhause gibt und dich am Leben hält.