主页 / server / 问题 / 408548
Accepted
morleyc
Asked: 2012-07-18 07:50:30 +0800 CST

Cisco ASA5505 VPN 远程访问用户无法连接到其他站点到站点子网

  • 772

我正在使用 L2TP VPN 从家中连接到总部的 ASA5505。

总部然后通过站点到站点的 IPSEC 隧道连接到其他办公室。

在总公司（192.168.100.0/24）时，我可以ping /访问远程办公室（192.168.200.0/24） OK。

当远程连接到总部时，我可以从 road-warrior 笔记本电脑 ping/访问总部 OK。

我的问题是，当从家里远程连接到总部时，我无法 ping/访问其他办公室的子网

在家用笔记本电脑上，L2TP VPN 连接设置为使用 HQ 作为互联网网关将所有流量路由到 VPN 连接，我可以确认这是有效的。

我无法执行 traceroute（超时），因为我的政策不允许并且不确定如何在 ASA 上正确启用它。

任何想法出了什么问题，配置如下：

names
name 192.168.200.0 othersite
!
interface Vlan1
 nameif inside
 security-level 100
 ip address 192.168.100.1 255.255.255.0
!
interface Vlan2
 nameif outside
 security-level 0
 ip address 34.35.36.3 255.255.255.252
!
same-security-traffic permit intra-interface
access-list inside_nat0_outbound extended permit ip 192.168.100.0 255.255.255.0 othersite 255.255.255.0
access-list inside_nat0_outbound extended permit ip any 192.168.100.0 255.255.255.0
access-list outside_1_cryptomap extended permit ip 192.168.100.0 255.255.255.0 othersite 255.255.255.0
access-list DefaultRAGroup_splitTunnelAcl_1 standard permit 192.168.100.0 255.255.255.0
access-list outside_in_acl extended permit icmp any any echo-reply
access-list outside_in_acl extended permit tcp any interface outside eq smtp
ip local pool VPNLAN 192.168.100.210-192.168.100.240 mask 255.255.255.0
global (outside) 1 interface
nat (inside) 0 access-list inside_nat0_outbound
nat (inside) 1 192.168.100.0 255.255.255.0
nat (outside) 1 192.168.100.0 255.255.255.0
static (inside,outside) tcp interface smtp 192.168.100.3 smtp netmask 255.255.255.255
access-group outside_in_acl in interface outside
group-policy DefaultRAGroup internal
group-policy DefaultRAGroup attributes
 dns-server value 192.168.100.3
 vpn-tunnel-protocol l2tp-ipsec
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value DefaultRAGroup_splitTunnelAcl_1
tunnel-group DefaultRAGroup general-attributes
 address-pool VPNLAN
 default-group-policy DefaultRAGroup
tunnel-group DefaultRAGroup ipsec-attributes
 pre-shared-key *****
tunnel-group DefaultRAGroup ppp-attributes
 no authentication chap
 authentication ms-chap-v2
tunnel-group 40.35.36.122 type ipsec-l2l
tunnel-group 40.35.36.122 ipsec-attributes
 pre-shared-key *****
cisco-vpn cisco cisco-asa

1 个回答

  1. Best Answer

    您的拆分隧道 ACL 应包含其他站点的 IP 地址，因为该流量应由客户端通过 VPN 发送。

    access-list DefaultRAGroup_splitTunnelAcl_1 standard permit 192.168.200.0 255.255.255.0

    配置看起来不错，否则。如果这没有帮助，则打开 ASA 上的日志记录并查看当您尝试发送流量时出现的情况。

    • 2

相关问题