Cisco PIX

Du skal definere hvilken trafik der skal routes over IPSEC.

På Århus pixen har du sikkert en ACL der ligner,
access-list nonat_vpn extended permit ip 192.168.10.0 255.255.255.0 192.168.20.0 255.255.255.0

På Randers pixen har du sikkert en ACL der ligner,
access-list nonat_vpn extended permit ip 192.168.20.0 255.255.255.0 192.168.10.0 255.255.255.0

Hvis dit vpn net hedder 192.168.100.0/24, så skal du tilføje:
Århus: access-list nonat_vpn extended permit ip 192.168.100.0 255.255.255.0 192.168.20.0 255.255.255.0
Randers: access-list nonat_vpn extended permit ip 192.168.20.0 255.255.255.0 192.168.100.0 255.255.255.0

Du skal også huske at annoncere routen for 192.168.20.0/24, til din vpn klient.

Evt. læs mere her :)
http://cisco.com/en/US/docs/security/pix/pix63/configuration/guide/config.html
http://cisco.com/en/US/docs/security/asa/asa72/configuration/guide/conf_gd.html

Hej

Det du forsøger at lave kan ikke lade sig gøre med kun 2 x 506 pix'e.

En Cisco PIX 506 kan ikke kører Cisco version 7.x software og derfor kan den ikke "vende" VPN_klient_trafikken på interfacet som den også skal sende ud af...

Dette er en version 7.x / Cisco ASA feature....!!

Alternativ, er at lave en router som default gateway for netværket, og lave en default route på pix'en og smide tunnel i enden af den. Så vil alt VPN trafik ende her, og ved hjælp af routninger kan routeren vende trafikken og sende det fra VPN_klienter -> Århus -> Randers... :)

Ja det var nu et svar...

Mit bedste råd et at opgradere til Cisco ASA.

For det første at PIX meldt End Of Life - Ingen software opdatering kommer til denne platform, ASA tilbyder et feature-rigt miljø, hvor du har langt flere mulighede til en ret fed pris efter min mening. Kig på ASA5505 UL eller evt. Security versionen, hvor du har mulighed for at lave semi failover mellem 2 ISP'er, ca. 30 sek i failover tid, men alle sessioner skal oprettes på ny, samt VPN :)

Plus at ASA understøtter voice priotering af pakker, SSL vpn og hardware messigt overlegent til PIX'ne.

Hej unholy_style

Lyder fint nok med en asa. kan en std. asa5505-10-bun-k9 bruges?
Og hvad skal der stå i config på ASA og i PIX ??

På forhånd tak :-)