태그 보관물: cisco-vpn

cisco-vpn

Cisco AnyConnect SSL VPN 클라이언트는 로컬 LAN 액세스를 허용하지만 추가 멀티 홈 서버는 허용하지 않습니다 10.0.1.17 with

Cisco SSL VPN ( \\speeder)을 통해 연결하는 시스템이 있습니다 .

나는 우리 speeder를 핑 할 수 있습니다 10.0.0.3.

여기에 이미지 설명을 입력하십시오

라우팅 테이블 \\speeder은 우리가 할당 한 여러 IP 주소 를 보여줍니다.

여기에 이미지 설명을 입력하십시오

Cisco AnyConnect VPN 클라이언트와 연결 한 후 :

여기에 이미지 설명을 입력하십시오

더 이상 핑을 할 수 없습니다 \\speeder:

여기에 이미지 설명을 입력하십시오

Cisco VPN 어댑터에 대한 새로운 라우팅 항목이 있지만 연결 후에 기존 라우팅 항목이 수정되지 않았습니다.

여기에 이미지 설명을 입력하십시오

Cisco VPN 어댑터 (192.168.199.20)는 네트워크와 다른 서브넷 (10.0.xx 255.255.0.0)에 있기 때문에 Cisco VPN 어댑터 (192.168.199.20) 에서 Speeder의 IP 주소 ping 할 수 없습니다 .

C:\Users\ian.AVATOPIA>ping 192.168.199.20
Pinging 192.168.199.20 with 32 bytes of data:
Request timed out.

우리가 겪고있는 문제는 다음에서 기존 IP 주소를 Ping 할 수 없다는 것 입니다 \\speeder.

C:\Users\ian.AVATOPIA>ping 10.0.1.17
Pinging 10.0.1.17 with 32 bytes of data:
Request timed out.

C:\Users\ian.AVATOPIA>ping 10.0.1.22
Pinging 10.0.1.22 with 32 bytes of data:
Request timed out.

C:\Users\ian.AVATOPIA>ping 10.0.1.108
Pinging 10.0.1.108 with 32 bytes of data:
Request timed out.

기타

흥미롭고 실마리를 제공 할 수있는 것은 우리가 통신 할 수있는 하나의 주소 가 있다는 것입니다 .

여기에 이미지 설명을 입력하십시오

이 주소 핑하고 통신 할 수 있습니다 .

C:\Users\ian.AVATOPIA>ping 10.0.1.4
Pinging 10.0.1.4 with 32 bytes of data:
Reply from 10.0.1.4: bytes=32 time<1ms TTL=128

하나의 IP 주소가 특별한 이유는 무엇입니까 ? 이 하나의 IP 주소는 “기본”주소라는 장점이 있습니다.

여기에 이미지 설명을 입력하십시오

우리가 사용하는 주소 (“추가”주소)와 반대로 :

여기에 이미지 설명을 입력하십시오

요약하면 Cisco AnyConnect VPN 클라이언트가 연결되면 컴퓨터와 관련된 모든 주소를 차단합니다.

이를 중단하려면 Cisco 클라이언트가 필요합니다.

누구나 Cisco AnyConnect SSL VPN 클라이언트가 중지하는 방법을 알고 있습니까?

참고 : F5 네트워크의 Firepass SSL VPN 에는 동일한 문제가 없습니다.

Cisco에 문의 한 결과이 구성은 지원되지 않습니다.



답변

몇 주 전에 Cisco Bug ID CSCts12090 (CCO 필요)을 Cisco 에보고했습니다 . 약 6 개월 전에 AnyConnect를 사용하기 시작했으며 버전 3.0 이상 만 사용했습니다. 3.0 이전 버전을 사용하고있는 것 같습니다.

어쨌든, 내가보고 한 버그는 매우 유사합니다 (그러나 더 나쁩니다). 경우에 따라 여러 개의 IP가 로컬 NIC에 할당 된 경우 AnyConnect가 성공적으로 연결할 수 없습니다. 자세한 내용은 앞에서 설명한 전체 버그 보고서를 참조하십시오. 확인 된 버그이며 AC 3.1에서 수정 될 예정입니다. AC 3.1은 내가 말했듯 이이 문제를 해결하기 위해 로컬 라우팅 테이블 업데이트 코드를 꽤 많이 다시 작성하겠다고 약속합니다.

발생한 문제가 CSCts12090에서보고 한 문제와 정확히 같지는 않지만 매우 유사합니다.


답변

Cisco VPN 어댑터는 “기본”모드에서 터널 링크를 통해 모든 마지막 네트워크 트래픽을 보내도록 설계되었습니다. 테스트를 위해 해당 구성을 미러링했으며 일반 터널에서는 실제로 로컬 인터페이스의 기본 주소를 ping하지 못했습니다.

그러나 VPN 어댑터가 지정된 네트워크의 트래픽 만 처리하는 분할 터널의 경우 보조 주소에 적합하게 작동합니다.

가능하면 연결 구성을 분할 터널로 변경하십시오. 엔드 포인트가 ASA 인 경우 관련 split-tunnel-policy및의 split-tunnel-network-list명령이됩니다 group-policy.


답변