求大神指点我IPsec Vpn中的错误

尛爺じ☆詪壞

ipsec vpn不能ping成功
R1的主要配置
ios为3640
crypto isakmp policy 1
hash md5
authentication pre-share
crypto isakmp key cisco address 12.1.1.2
!         
!
crypto ipsec transform-set ccnp esp-des esp-md5-hmac
!
crypto map ccie 1 ipsec-isakmp
set peer 12.1.1.2
set transform-set ccnp
match address 101
!
!
!
!
interface Loopback0
ip address 192.168.1.1 255.255.255.0
!
interface FastEthernet0/0
ip address 12.1.1.1 255.255.255.0
duplex auto
speed auto
crypto map ccie
!
no ip http server
no ip http secure-server
!         
!
!
access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255


R2的主要配置：
crypto isakmp policy 1
hash md5
authentication pre-share
crypto isakmp key cisco address 12.1.1.1
!         
!
crypto ipsec transform-set ccnp esp-des esp-md5-hmac
!
crypto map ccie 1 ipsec-isakmp
set peer 12.1.1.1
set transform-set ccnp
match address 101
!
!
!
!
interface Loopback0
ip address 192.168.2.1 255.255.255.0
!
interface FastEthernet0/0
ip address 12.1.1.2 255.255.255.0
duplex auto
speed auto
crypto map ccie
!
no ip http server
no ip http secure-server
!         
!
!
access-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

q网络之路

两边少了去对方私网的路由，这样是为了让感兴趣流量匹配上，撞击接口的MAP，触发VPN建立，不要认为两个直连之间，加了路由就可以直接互通了，在VPN下面，是加密了的，你这个情况是没有路由，所以VPN无法触发建立，数据包直接丢弃了

hzfeiyue

hzfeiyue

楼上正解，牛

在路上

q网络之路 发表于 2013-9-3 09:22
两边少了去对方私网的路由，这样是为了让感兴趣流量匹配上，撞击接口的MAP，触发VPN建立，不要认为两个直连 ...

少了去对方私网的路由? 什么样的私网路由？公网上允许有私网路由吗？加密不加密和路由有关系吗？

尛爺じ☆詪壞

q网络之路 发表于 2013-9-3 09:22
两边少了去对方私网的路由，这样是为了让感兴趣流量匹配上，撞击接口的MAP，触发VPN建立，不要认为两个直连 ...

通了，谢了啊，数据包解码后，露出里面的源目IP，这时候会为这个IP路由，可是没有这个IP的路由条目，所以不通，终于知道了，好高兴

q网络之路

在路上 发表于 2013-9-3 14:15
少了去对方私网的路由? 什么样的私网路由？公网上允许有私网路由吗？加密不加密和路由有关系吗？

呵呵，我不想多说，我就一句话 你连去往地方路由都没有，你怎么让数据包发往去VPN的接口，不发往你哪来的触发VPN的机制，建立VPN的设备就不能有私网路由了，公网不允许 跟这个又没半毛钱关系

q网络之路

尛爺じ☆詪壞 发表于 2013-9-4 12:01
通了，谢了啊，数据包解码后，露出里面的源目IP，这时候会为这个IP路由，可是没有这个IP的路由条目，所以 ...

VPN的资料可以  pan.baidu.com/share/link?shareid=475695&uk=4181151945 看看

在路上

q网络之路 发表于 2013-9-5 21:08
呵呵，我不想多说，我就一句话 你连去往地方路由都没有，你怎么让数据包发往去VPN的接口，不发往你哪来的 ...

看样子你只顾“气愤”，并没有理解我那样问你的实质，实验环境中加一条去往私网的路由再简单不过了！