Добрый день! сломал голову, остается только взывать к коллективному разуму... есть

Question

Добрый день! сломал голову, остается только взывать к коллективному разуму... есть

asa 8.4(7)
наружу смотрит интерфейс x-vlan c ip X.X.32.54/28. через этот интерфейс есть маршрут на Х.Х.33.0/24,
где находятся 2 PPTP-сервера Х.Х.33.1 и Х.Х.33.33

за внутренним интерфейсом i-link c ip Y.Y.2.2/30 есть сегмент Y.Y.3.0/24, где находятся 2 виндовые машинки .41 и .44
с одной из машин всегда установлено pptp-соединение с сервером Х.Х.33.1. (при выходе с ASA пакеты от Y.Y.32.0/24 NAT-ятся адресом X.X.32.54).
со второй машины пытаюсь также по pptp подключиться на Х.Х.33.33.
соединение не устанавливается - 806 ошибка (не удается создать VPN-соединение, возможно на промежуточном устройстве не настроено прохождение GRE)
при этом в логи ASA пишет:
%ASA-4-313005: No matching connection for ICMP error message: icmp src i-link:Y.Y.2.2 dst x-vlan😷.X.33.33 (type 3, code 13)
on i-link interface. Original IP payload: protocol 47 src X.X.33.33 dst Y.Y.3.41.

вроде как да, GRE не проходит. но ведь с любой из машин .41 и .43 нормально устанавливается соединение до 33.1
думал даже, что может одновременно нельзя. отключал подключение на 33.1, на 33.33 все равно не мог подключиться...

отдельно есть правила nat
nat (i-link,x-vlan) source dynamic Y.Y.3.0/24 interface destination static Х.Х.33.1 X.X.32.54
nat (i-link,x-vlan) source dynamic Y.Y.3.0/24 interface destination static Х.Х.33.33 X.X.32.54
inspect pptp включен (ну, иначе бы на 33.1 не подключался)

Есть какие мысли?

#devops #network #programming #russian

0

28.03.2018

1 ответов

7 просмотров

Михаил Че · Answer 1

Михаил Че Автор вопроса

0

28.03.2018

172 похожих чатов

Добрый день! сломал голову, остается только взывать к коллективному разуму... есть

1 ответов

Похожие вопросы