安全vpn及撥號(hào)業(yè)務(wù)故障排除(存儲(chǔ)版)
【正文】 icetype ppp LAC LNS S0/0 S0/0 VPDN User 49 L2TP故障案例分析（二） ? 問(wèn)題：正常配置后 ， VPDN用戶端不能獲得 IP地址 ， 鏈路不 UP ? display l2tp tunnel、 debugging l2tp all， 隧道會(huì)話均創(chuàng)建 ， 且傳輸數(shù)據(jù) ? 在 LNS側(cè)使用 debugging radius packet， 發(fā)現(xiàn) AAA驗(yàn)證沒有通過(guò) (缺少CHAP認(rèn)證信息 ） 。 56 display、 debugging命令介紹 ? display interfaces tunnel [ tunnelnumber ] ? Tunnel1 current state :UP Line protocol current state :UP ? 該信息表示 Tunnel1接口處于 UP狀態(tài) ， 鏈路層也處于 UP狀態(tài) 。 路由器上 ， 采用 [undo] modem autoanswer改變 Modem的配置 PC Modem Modem Async 0/0 Router A 66 DCC故障案例分析（三） ? 與 NT Workstation無(wú)法互通 ? NT通過(guò) RS232串口與 Quidway路由器的一個(gè)異步串口相連 。 ? 故障處理 ? 查看 DCC不撥號(hào)的原因 IP報(bào)文被禁止撥號(hào) ? 原因分析 ? 對(duì)于 IP報(bào)文被禁止撥號(hào)的問(wèn)題：未配置 dialerrule、 dialergroup命令 Modem Modem PC Async 0/0 Router A Router B 65 DCC故障案例分析（二） ? 遠(yuǎn)程撥號(hào) Modem配置引起無(wú)法登錄 ? 故障檢查：打開 Modem調(diào)試開關(guān) ， 看到路由器接收呼叫 ， 但 Modem總不摘機(jī) ， 呼叫超時(shí) ? 原因： Modem為自動(dòng)應(yīng)答 ， 則撥號(hào)接口應(yīng)為自動(dòng)應(yīng)答； Modem為非自動(dòng)應(yīng)答 ， 則撥號(hào)接口應(yīng)為非自動(dòng)應(yīng)答 ? 處理：通過(guò) ATS0=1（ 或者 ATS0=0） ATamp。 ? 第三步：檢查 Tunnel兩端系統(tǒng)路由表 ? 在 Tunnel兩端 ， 查詢系統(tǒng)路由表 （ display ip routingtable命令 ） ， 確保存在到達(dá) Tunnel對(duì)端的路由 。 ? L2TP Access Concentrator ? L2TP Network Server PSTN/ISDN LAC Inter LNS Branch Inner Server L2TP 隧道 Remote access user L2TP Tunnel 43 L2TP知識(shí)簡(jiǎn)介 L2TP規(guī)范 包傳輸網(wǎng)絡(luò) ( U D P , ??)L 2 T P 數(shù)據(jù)通道( 不可靠)L 2 T P 數(shù)據(jù)消息PPP幀L 2 T P 控制通道( 可靠)L 2 T P 控制消息? L2TP提供了對(duì) PPP鏈路層數(shù)據(jù)包的隧道 （ Tunnel） 傳輸支持 ，允許二層鏈路端點(diǎn)和 PPP會(huì)話點(diǎn)駐留在不同設(shè)備上并且采用包交換網(wǎng)絡(luò)技術(shù)進(jìn)行信息交互 ， 從而擴(kuò)展了 PPP模型 。. Interface: Ether1/0 Inbound Policy: acl 3000 輸入 /輸出報(bào)文被允許通過(guò)和被拒絕的數(shù)目統(tǒng)計(jì) ? [ undo ] debugging firewall { all | icmp | tcp | udp | fragmentsinspect | others } [ interface type number ] 36 包過(guò)濾防火墻故障案例分析（一） ? 訪問(wèn)控制策略錯(cuò)誤導(dǎo)致防火墻失效 ? 配置防火墻 ， 要求只有 PC2可通過(guò) FTP訪問(wèn)內(nèi)部網(wǎng)中的 FTP服務(wù)器 ， 并且只有內(nèi)網(wǎng)中的 PC1可以訪問(wèn) Inter網(wǎng)絡(luò)上的 WWW服務(wù)器 。 ? 處理過(guò)程 ? 在 Router B上將 Ether0/0口上的 Ipsec policy去掉 ， 應(yīng)用到Serial0/0口上 ? [RouterB] interface ether 0/0 ? [RouterBEther0/0] undo ipsec policy ? [RouterBEther0/0] interface serial 0/0 ? [RouterBSerial0/0] ipsec policy policy2 28 IPSec和 IKE故障案例分析（六） ? ACL配置重疊導(dǎo)致通訊失?。? ? 配置三個(gè) IPSec隧道 ， 從 B、 C、 D ping A， 觸發(fā)建立隧道正常 。 由于共享密鑰不同 ， 造成雙方產(chǎn)生的用于通信的加密密鑰和驗(yàn)證密鑰不同 ， 而不能解釋對(duì)方的數(shù)據(jù) 。 ? 在 RouterA中要保護(hù)的數(shù)據(jù)流是 ～ IP數(shù)據(jù) ， 是一個(gè)子網(wǎng)；而在 RouterB上定義的要保護(hù)的數(shù)據(jù)是～ 。 采用 ESP安全協(xié)議 ? 問(wèn)題如下：從主機(jī) ping ， 發(fā)現(xiàn)不通 PC B SPI = 12345 Protocol = esp Dst = Src = SPI = Protocol = esp Dst = Src = PC A 12345 S0/0 S0/0 Router A Router B IPSec tunnel IPSec tunnel 21 IPSec和 IKE故障案例分析（二） ? 原因分析 : ? RouterB的 Inbound處理過(guò)程中解密失敗 。 ? 使用 IKE SA 協(xié)商建立 IPSec SA， 用于 IPSec通信 。 第一步 第二步 第三步 第四步 合適的數(shù)據(jù)流從應(yīng)用 IPSec的接口轉(zhuǎn)發(fā)出去 第一步觸發(fā) IKE協(xié)商階段 1的 SA 第三步在階段 2安全聯(lián)盟的保護(hù)下進(jìn)行通信 Router A Router B Router A Router A Router A Router B Router B Router B 在 IKE階段 1安全聯(lián)盟的保護(hù)下協(xié)商階段 2的 IPSec SA 13 協(xié)商方式下 IPSec和 IKE功能和性能常見問(wèn)題（續(xù)） ? 階段一的 SA沒有建立 ? 接口是否應(yīng)用了安全策略 ? 是否有匹配的數(shù)據(jù)流觸發(fā) ? 是否為對(duì)方配置了共享密鑰 ， 以及共享密鑰是否一致 ? 階段二的 SA沒有建立 ? ACL是否匹配 ? 安全提議是否一致 ? 設(shè)置的隧道對(duì)端地址是否匹配 ? 應(yīng)用的接口是否正確 ? 兩個(gè)階段的 SA都成功建立 ， 但不能通信 ? 一般都是由于 ACL的配置不當(dāng)引起的 ， 檢查 ACL的配置是否符合要求 14 IPSec和 IKE配置過(guò)程的注意事項(xiàng) ? 確定要保護(hù)的數(shù)據(jù)流時(shí)的注意事項(xiàng) ? IPSec保護(hù)的數(shù)據(jù)流是雙向的 ? 所以定義的雙向數(shù)據(jù)流應(yīng)該保持完全重疊 ? 確定實(shí)施保護(hù)的位置時(shí)的注意事項(xiàng) ? 網(wǎng)關(guān)到網(wǎng)關(guān) ? 主機(jī)到網(wǎng)關(guān) ? 主機(jī)到主機(jī) ? 網(wǎng)關(guān)到主機(jī) 15 IPSec和 IKE配置過(guò)程的注意事項(xiàng)（續(xù)） ? 確定如何保護(hù)數(shù)據(jù)時(shí)的注意事項(xiàng) ? 安全協(xié)議選擇 ? 加密算法選擇 ? 驗(yàn)證算法選擇 ? 定義安全策略時(shí)的注意事項(xiàng) ? 選擇恰當(dāng)?shù)?ACL ? 選擇恰當(dāng)?shù)陌踩嶙h ? 正確配置實(shí)施安全策略的端點(diǎn) ? IKE的配置 ? IKE Proposal的全局性 （ 對(duì)整個(gè)路由器有效 ） ? 缺省 IKE Proposal的應(yīng)用 16 IPSec和 IKE配置過(guò)程的注意事項(xiàng)（續(xù)） ? 應(yīng)用所定義的安全策略 ? 應(yīng)用接口的選擇 ? 確保所有數(shù)據(jù)流出口都應(yīng)用安全策略 ? 確保對(duì)端也配置了安全策略 ? IPSec和 IKE的其它配置 ? IKE定時(shí)器參數(shù) （ interval和 timeout） 的匹配 17 display、 debugging命令介紹 ? display ipsec policy
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1