web-dev-qa-db-ja.com

Cisco ASA5505VPNリモートアクセスユーザは他のサイト間サブネットに接続できません

L2TP VPNを使用して、自宅から本社までASA5505に接続しています。

次に、本社はサイト間IPSECトンネルを介して他のオフィスに接続します。

本社（192.168.100.0/24）にいるときは、リモートオフィス（192.168.200.0/24）にping /アクセスできます。

本社にリモート接続すると、ロードウォリアーのラップトップから本社にping /アクセスできます。

私の問題は、自宅から本社にリモート接続すると、他のオフィスのサブネットにping /アクセスできないことです。

自宅のラップトップでは、L2TP VPN接続は、インターネットゲートウェイとして本社を使用してすべてのトラフィックをVPN接続にルーティングするように設定されています。これが機能することを確認できます。

ポリシーで許可されておらず、ASAでこれを適切に有効にする方法がわからないため、tracerouteを実行できません（タイムアウトが発生します）。

何が悪いのか、設定は以下のとおりです。

names
name 192.168.200.0 othersite
!
interface Vlan1
 nameif inside
 security-level 100
 ip address 192.168.100.1 255.255.255.0
!
interface Vlan2
 nameif outside
 security-level 0
 ip address 34.35.36.3 255.255.255.252
!
same-security-traffic permit intra-interface
access-list inside_nat0_outbound extended permit ip 192.168.100.0 255.255.255.0 othersite 255.255.255.0
access-list inside_nat0_outbound extended permit ip any 192.168.100.0 255.255.255.0
access-list outside_1_cryptomap extended permit ip 192.168.100.0 255.255.255.0 othersite 255.255.255.0
access-list DefaultRAGroup_splitTunnelAcl_1 standard permit 192.168.100.0 255.255.255.0
access-list outside_in_acl extended permit icmp any any echo-reply
access-list outside_in_acl extended permit tcp any interface outside eq smtp
ip local pool VPNLAN 192.168.100.210-192.168.100.240 mask 255.255.255.0
global (outside) 1 interface
nat (inside) 0 access-list inside_nat0_outbound
nat (inside) 1 192.168.100.0 255.255.255.0
nat (outside) 1 192.168.100.0 255.255.255.0
static (inside,outside) tcp interface smtp 192.168.100.3 smtp netmask 255.255.255.255
access-group outside_in_acl in interface outside
group-policy DefaultRAGroup internal
group-policy DefaultRAGroup attributes
 dns-server value 192.168.100.3
 vpn-tunnel-protocol l2tp-ipsec
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value DefaultRAGroup_splitTunnelAcl_1
tunnel-group DefaultRAGroup general-attributes
 address-pool VPNLAN
 default-group-policy DefaultRAGroup
tunnel-group DefaultRAGroup ipsec-attributes
 pre-shared-key *****
tunnel-group DefaultRAGroup ppp-attributes
 no authentication chap
 authentication ms-chap-v2
tunnel-group 40.35.36.122 type ipsec-l2l
tunnel-group 40.35.36.122 ipsec-attributes
 pre-shared-key *****
ciscocisco-asacisco-vpn
3
g18c

スプリットトンネルACLは、他のサイトのIPアドレスを含む必要があります。これは、そのトラフィックがクライアントによってVPNを介して送信される必要があるためです。

access-list DefaultRAGroup_splitTunnelAcl_1 standard permit 192.168.200.0 255.255.255.0

それ以外の場合、構成は適切に見えます。これで問題が解決しない場合は、ASAにログオンして、トラフィックを送信しようとしたときに何が表示されるかを確認してください。

2
Shane Madden