ASA + Cisco VPN CLIENT + VLAN's

[dywan]

Witam,

Scenariusz.

Na styku WAN/LAN podlaczony mam router cisco, za routerem postawiona mam ASA 192.168.0.254. W tej samej podsieci pracuje glowny switch 192.168.0.240 (wlaczony IP routing).

Kliencie Cisco VPN otrzymuja IP z puli 192.168.210.0 /24

Kod: Zaznacz cały

ip local pool akpool 192.168.210.1-192.168.210.254

Na ASA utworzylem access liste zezwalajac na dostep do 192.168.0.0 /16.
192.168.210.0

Kod: Zaznacz cały

access-list acl_it extended permit ip 192.168.0.0 255.255.0.0 192.168.210.0 255.255.255.0

oraz stosowna grupe vpn.

Kod: Zaznacz cały

group-policy it internal
group-policy it attributes
 dns-server value 192.168.0.200
 vpn-idle-timeout 30
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value acl_it

tunnel-group it general-attributes
 address-pool akpool
 authentication-server-group (outside) LOCAL
 default-group-policy it
tunnel-group it ipsec-attributes
 pre-shared-key *

Na ASA'ie wlaczylem NAT'a.

Kod: Zaznacz cały

nat (inside) 0 access-list nonat
nat (inside) 1 192.168.0.0 255.255.255.0
nat (inside) 1 192.168.10.0 255.255.255.0
nat (inside) 1 192.168.11.0 255.255.255.0
nat (inside) 1 192.168.12.0 255.255.255.0
nat (inside) 1 192.168.20.0 255.255.255.0
nat (inside) 1 192.168.30.0 255.255.255.0
nat (inside) 1 192.168.40.0 255.255.255.0
nat (inside) 1 192.168.69.0 255.255.255.0
nat (inside) 1 192.168.99.0 255.255.255.0
nat (inside) 1 192.168.101.0 255.255.255.0
nat (inside) 1 192.168.102.0 255.255.255.0
nat (inside) 1 192.168.103.0 255.255.255.0
nat (inside) 1 192.168.104.0 255.255.255.0
nat (inside) 1 192.168.150.0 255.255.255.0
nat (inside) 1 192.168.200.0 255.255.255.0

Na glownym switchu skonfigurowane mam VLANy

Z ASA moge pingowac wszystkie skonfigurowane na glownym switchu VLAN'y.

Klient z ktore probuje nawiazac polaczenie zestawia kanal.
W statistics \ route details pokazuje sie wlasciwa trasa - czyli 192.168.0.0 255.255.0.0

Bez problemow moge pingowac adresy z puli 192.168.0.0 255.255.255.0 (vlan1)

Niestety adresy z innych VLAN'ow 192.168.10.0 /24, 192.168.20.0/24 itd. nie odpowiadaja.


Czy ktos moglby podpowiedziec w czym moze twkic problem?


Pozdrawiam![/code]

[grzes1981]

[quote="dywan"]

Kod: Zaznacz cały

ip local pool akpool 192.168.210.1-192.168.210.254

a masz routing to tej podsieci na hostach ?


co jest w acl nonat?
czy ruch 192.168.210.1-192.168.210.254 do pozostałych podsieci jest wyłączony z nata?

[dywan]

w acl nonat mialem 192.168.0.0/24 , a nie 192.168.0.0/16

Bardzo dziekuje za pomoc.

[grzes1981]

w acl nonat mialem 192.168.0.0/24 , a nie 192.168.0.0/16

Bardzo dziekuje za pomoc.

ok super