![VPN 建立后无法 ping 网关](https://linux22.com/image/561461/VPN%20%E5%BB%BA%E7%AB%8B%E5%90%8E%E6%97%A0%E6%B3%95%20ping%20%E7%BD%91%E5%85%B3.png)
我有两台服务器:
- Checkpoint Safe@Office 500 的 IP 地址为 xxxx,本地网络为 aaaa/24
- Cisco ASA5505 具有 ip yyyy 和本地网络 bbbb/28
在设置 vpn 之前,我能够从 aaaa/24 上的任何机器 ping yyyy。
我的问题是,在相关 2 台服务器之间设置 vpn 后,我无法再从 aaaa/24 ping yyyy。有人知道这是为什么吗?
我猜想对 yyyy 的 ping 操作不必要地通过了 VPN 隧道,但我不确定如何防止这种情况发生。此外,如果它通过 VPN,那么为什么 VPN 不允许它呢?. 对此的线索可能在 asa5505 日志中,其中指出:
Group = x.x.x.x, IP = x.x.x.x, Rejecting IPSec tunnel: no matching crypto map entry for remote proxy a.a.a.a/255.255.255.0/0/0 local proxy y.y.y.y/255.255.255.255/0/0 on interface Outside
我再次遇到的问题是我无法解释这个错误。
答案1
如果这是一个具有如下拓扑结构的 LAN 到 LAN VPN:
<------VPN------>
a.a.a.a/24---[Checkpoint]---Internet---[ASA]---b.b.b.b/28
x.x.x.x y.y.y.y
VPN 启动时您无法 ping ASA,因为 Check Point 防火墙将其自身包含在本地加密域中,而 ASA 则不包含。
最简单的解决方案是将 ASA 的外部地址添加到其本地加密域,因此 ASA 上的加密 acl 应该是这样的:
access-list asa-checkpoint-vpn_acl permit ip host y.y.y.y host x.x.x.x
access-list asa-checkpoint-vpn_acl permit ip host y.y.y.y a.a.a.a 255.255.255.0
access-list asa-checkpoint-vpn_acl permit ip host b.b.b.b 255.255.255.240 a.a.a.a 255.255.255.0
答案2
对于客户端 VPN,默认情况下会指示 VPN 客户端通过 VPN 发送所有流量,即网络上未直接连接的所有内容。您的路由表将被忽略。如果您不希望在连接时所有流量都通过 VPN 隧道发送,则需要在 ASA 上启用拆分隧道。