Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 9 replies
  • Subscribers 1 subscriber
  • Views 9278 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Site to Site VPN with Cisco 800 series routers

tonner78
Hi All

New ASG user here, very impressed so far!  After some assistance with this issue tho.

I have an ASG 425 that I want to get connecting S2S IPsec VPN with Cisco 800 series routers at remote sites.  I have had a crack at it and made some progress but not working yet.  

My config on the Cisco router is as follows:


crypto isakmp policy 10
 encr aes 256
 hash md5
 authentication pre-share
 group 2


crypto isakmp key ****** address ***.***.***.***
crypto ipsec transform-set LtntoDC esp-aes 256 esp-md5-hmac
crypto map DC 10 ipsec-isakmp
 set peer ***.***.***.***
 set transform-set LtntoDC
 set pfs group2
 match address VPNList

ip access-list extended VPNList
 permit ip 10.1.2.0 0.0.0.255 10.1.0.0 0.0.0.255

I have attached screenshots of the config on the Astaro side.

On the Cisco when I do a 'show crypto isakmp sa' I get:

dst             src             state          conn-id slot status
***.***.***.***  yyy.yyy.yyy.yyy    QM_IDLE           2045    0 ACTIVE

Which is the same as other active and working tunnels I have on that router.

Has anyone that has got this working on Astaro-Cisco able to point out where I have gone wrong? Any help much appreciated! [:)]

Cheers


This thread was automatically locked due to age.
Parents
  • 0
    Turns out it was NAT exemption on the Cisco end.  I've only ever done IPsec over GRE tunnels but couldn't do that with the Astaro so had to figure out IPsec.  Example of what was needed below:

    access-list 150 deny ip 192.168.11.0 0.0.0.255 192.168.1.0 0.0.0.255
    access-list 150 permit ip 192.168.11.0 0.0.0.255 any
    ip nat inside source list 150 interface fastethernet0/0 overload
Reply
  • 0
    Turns out it was NAT exemption on the Cisco end.  I've only ever done IPsec over GRE tunnels but couldn't do that with the Astaro so had to figure out IPsec.  Example of what was needed below:

    access-list 150 deny ip 192.168.11.0 0.0.0.255 192.168.1.0 0.0.0.255
    access-list 150 permit ip 192.168.11.0 0.0.0.255 any
    ip nat inside source list 150 interface fastethernet0/0 overload
Children
No Data
Unfiltered HTML