Cisco pix firewall не пропускает VPN

[Garra-67]

Есть в качестве роутера Cisco pix на софте 8.0.4. Настроен классический PAT по букварю, инет работает, вроде все хорошо.

Вылезла такая проблема - при попытке установить из внутренней сети cisco vpn всё глухо. Выглядит как идет попытка обмена данными, потом все тихо и отваливается по таймауту. pix как фареволл всё запрещает, надо разрешать руками. В примерах в основном рассмотрено когда pix сам в качестве vpn сервера или клиента.

Что крутить, куда смотреть?

[jffulcrum]

Что выступает на другой стороне VPN-сервером? На нем разрешен NAT-T?

[Garra-67]

На той стороне скорее всего ASA. На обычных роутерах типа 2811 и пластике все работает. В логах видно при попытке соединения Inbound TCP connection denied from (адрес впн)/443 to (адрес out)/7559 flags RST ACK  on interface out

Ощущение , что приходит в ответ еще одно входящее соединение, которое pix по своей сути дропает.

[jffulcrum]

Клиент AnyConnect, тип подключения DTLS?

[Garra-67]

Клиенты AnyConnect. причем версии разные. Думали в них дело, оказалось нет. DTLS возможно, там чтото корпоративное наверчено, подробности смотреть не дает. Политики безопасности на клиентских ноутах все равно не даут ничего поменять. Через мобильный инет работает.

[jffulcrum]

В 23.10.2023 в 18:30, Garra-67 сказал:

Inbound TCP connection denied from (адрес впн)/443 to (адрес out)/7559 flags RST ACK

Это очень странно, так как DTLS использует UDP. Но даже если PIX не пропускает UDP, оно бы падало в обычный TLS, неотличимый от веб-трафика. Возможно, это работа DPD со стороны VPN-сервера, или как раз её отсутствие. Есть возможность узнать, включен ли DPD на "голове"?

[Garra-67]

Что на сервере у клиентов не узнать. И дергать клиента постоянно пробовать поднять впн для отладки тож стремно, клиент может в бан улететь за многократные попытки авторизации. Читая забугорные форумы пришел к выводу, что софт на пиксе не знает расширения или изменения протокола и дропает его как плохой. Залейте новый софт, но в пикс другой не влить, это последний для этой серии. Заменили пикса на 2911 с nvi nat.