IPsec VPN 两个私网ping不通

kbmdkg

ASA3 ping 通 ASA4的外网口
ASA4 ping 通ASA3的外网口
ASA3 ping不通ASA4的内网口  192.168.2.1
ASA4 ping不通ASA3的内网口  192.168.1.1
C1也ping不通C2
请问下什么原因
谢谢

192.168.1.0 - ASA3 - 200.1.1.0 - R1 - 200.2.1.0 - AS4 - 192.168.2.0  
R1配置
interface e0/0
ip add 200.1.1.1 255.255.255.0
no shut
interface e0/1
ip add 200.2.1.1 255.255.255.0
no shut

ASA3
interface e0/0
nameif outside
ip add 200.1.1.2 255.255.255.0
no shut
interface e0/1
nameif inside
ip add 192.168.1.1 255.255.255.0
no shut
route outside 0 0 200.1.1.1
nat-control
nat (inside) 1 0 0
global (outside) 1 interface
access-list no-nat permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
nat (inside) 0 accless-list no-nat
crypto isakmp policy 10
authentication pre-share
hash sha
encap 3des
group 2
crypto isakmp key cisco add 200.2.1.2
crypto isakmp enable outside
crypto ipsec transform-set mytrans esp-sha-hmac esp-3des
crypto map mymap 10 set transform-set mytrans
crypto map mymap 10 set peer 200.2.1.2
crypto map mymap 10 match add no-nat
crypto may mymap interface outside

ASA4
interface e0/0
nameif outside
ip add 200.2.1.2 255.255.255.0
no shut
interface e0/1
nameif inside
ip add 192.168.2.1 255.255.255.0
no shut
route outside 0 0 200.2.1.1
nat (inside) 1 0 0
global (outside) 1 interface
access-list no-nat permit ip 192.168.2.0 255.255.255.0 192.168.1.0 255.255.255.0
nat (inside) 0 access-list no-nat
crypto isakmp polciy 10
authentication pre-share
encryption 3des
hash sha
group 2
crypto isakmp key cisco address 200.1.1.2
crypto isakmp enable outside
crypto ipsec transform-set mytrans esp-sha-hmac esp-3des
crypto map mymap 10 set peer 200.1.1.2
crypto map mymap 10 set transform-set mytrans
crypto map mymap 10 match add no-nat
crypto map mymap interface outside

klinuxe

把NAT干掉先

fire_phoenix

access-list no-nat permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
nat (inside) 0 accless-list no-nat
这个旁路
不用改用这个

fire_phoenix

access-list no-nat permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
nat (inside) 0 accless-list no-nat
这个旁路
不用改用这个

还有感兴趣流没写
防火墙穿越时状态话的，outbound可以正常出去，但是回来呢 esp 50放行

还有就是在写感兴趣流的时候
小号 deny  掉真真PC感兴趣流，你的加密点现在是接outside口地址，所以你的感兴趣流是nat转化的地址
因nat转换了

fire_phoenix

access-list no-nat permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
nat (inside) 0 accless-list no-nat
这个旁路
不用改用这个

还有感兴趣流没写
防火墙穿越时状态话的，outbound可以正常出去，但是回来呢 esp 50放行

还有就是在写感兴趣流的时候
小号 deny  掉真真PC感兴趣流，你的加密点现在是接outside口地址，所以你的感兴趣流是nat转化的地址
因nat转换了
crypto isakmp key cisco add 200.2.1.2
这个写成tunnel-group

皇家禁卫队

好贴，绝对要支持下！！~~

liwei983020

学习一下！

shuijingmu

ASA3或者ASA4上面ping对方的话，要用扩展ping吧，源为自己的内网地址