Cisco 的解决方案中 PIX VPN的两个问题

钱塘在线

在Cisco 的解决方案中，IPSEC VPN通常建立在IOS Router、 集中器、PIX以及WinPC之间，其中WinPC既可以使用Windows自带的组件，也可以使用Cio  clnt 程序，后者配置和使用都较为便利。
问题一的拓扑如下：

Lan1（ACS）-----PIX525-----Internet------Router------Lan2

PIX 525是 Server, 在Lan2 中有多个客户。 客户端通过Router 以PAT（端口地址转换）方式连接到Internet，使用Cio  Clnt 软件与PIX 525建立VPN 连接。当Lan2中只有一个客户与PIX 525建立连接时，一切正常；但如果另一个客户也要发起连接的话，前一个客户的连接就会被断掉。问题的原因可能是PIX 525按IP地址识别SA,对同一IP地址，不能建立两个SA。

解决的方法是使用PIX 6.3版本软件的一个新特性“TCP transparancy”,该特性允许客户端把IPSEC数据打包通过TCP或UDP的一个端口（默认10000）进行传输，关键命令是：isakmp nat-traversal。

完整配置：
PIX Version 6.3(1)
interface ethernet0 auto
interface ethernet1 auto
interface ethernet2 auto
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
enable password ******************** encrypted
passwd ******************** encrypted
hostname TEST
domain-name jyzq.cn
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol ils 389
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
no fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
names
access-list 101 permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0
access-list 102 permit ip 10.1.2.0 255.255.255.0 10.2.2.0 255.255.255.0
access-list no-nat permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255
1