kun tehdään vpn tunneli kahden eri paikan välille niin saattaa käydä niin että data ei oikein tahdo kulkea tunnelin läpi. esim. windows kirjautuminen takkuaa aivan jumalattomasti jos palvelimet on vpn tunnelin takana.
sitten se on selvinnyt laittamalla komento "ip tcp adjust-mss 1366" fastethernet0/0:n alle (wan interface) kun käytössä cisco 1841. ja tämä nimenomaan laitettu sinne "pienemmän paikan" päähän ja kun käytössä on ezvpn toiminto missä "sivureittimet" muodostaa tunnelin pääreittimelle päin.
nyt kun laitetaan cisco 877 niin siihen tulee erillinen "Virtual-Template1" type tunnel jolla on konfiguraatio seuraavasti:
no ip address
no ip redirects
no ip unreachables
no ip proxy-arp
ip flow ingress
tunnel mode ipsec ipv4
laitetaanko tähän nyt mihin kohtaan tuo mss adjust. wan interface on fastethernet0 jolla ei ole omaa konfiguraatiota (erillinen kaapelimodeemi siltaavana ei tullutkaan adsl), eli näin: switchport access vlan 2
sitten sille on vlan2 mikä sisältää seuraavasti:
description Internet$FW_OUTSIDE$
ip address dhcp
ip access-group 101 in
ip verify unicast source reachable-via rx allow-default 103
no ip redirects
no ip unreachables
no ip proxy-arp
ip flow ingress
ip nat outside
ip inspect CCP_LOW out
ip virtual-reassembly
crypto ipsec client ezvpn CISCOCP_EZVPN_CLIENT_1
ja olisiko pääreitttimen (1841) syytä myös johonkin laittaa tuo mss juttu en ole oikein selvillä näitä asioita. tähän tulee myös client vpn läppärit jotka pelaa hyvin.
sitten se on selvinnyt laittamalla komento "ip tcp adjust-mss 1366" fastethernet0/0:n alle (wan interface) kun käytössä cisco 1841. ja tämä nimenomaan laitettu sinne "pienemmän paikan" päähän ja kun käytössä on ezvpn toiminto missä "sivureittimet" muodostaa tunnelin pääreittimelle päin.
nyt kun laitetaan cisco 877 niin siihen tulee erillinen "Virtual-Template1" type tunnel jolla on konfiguraatio seuraavasti:
no ip address
no ip redirects
no ip unreachables
no ip proxy-arp
ip flow ingress
tunnel mode ipsec ipv4
laitetaanko tähän nyt mihin kohtaan tuo mss adjust. wan interface on fastethernet0 jolla ei ole omaa konfiguraatiota (erillinen kaapelimodeemi siltaavana ei tullutkaan adsl), eli näin: switchport access vlan 2
sitten sille on vlan2 mikä sisältää seuraavasti:
description Internet$FW_OUTSIDE$
ip address dhcp
ip access-group 101 in
ip verify unicast source reachable-via rx allow-default 103
no ip redirects
no ip unreachables
no ip proxy-arp
ip flow ingress
ip nat outside
ip inspect CCP_LOW out
ip virtual-reassembly
crypto ipsec client ezvpn CISCOCP_EZVPN_CLIENT_1
ja olisiko pääreitttimen (1841) syytä myös johonkin laittaa tuo mss juttu en ole oikein selvillä näitä asioita. tähän tulee myös client vpn läppärit jotka pelaa hyvin.
Vastaukset 2
Vanhimmat
Mulla oli pätkimisongelmia jne niin hankin uuden reittimen tällaisen: https://www.asus.com/fi/Networking/RTN56U/
sen jälkeen on toiminut moitteetta.
just joo ei tuollaisella tee mitään.
se on kyllä kumma miten täällä ei osaaminen riitä jos joku kysyy jotain yhtään vaikeampaa asiaa. ja verkkotekniikka tuntuu olevan ihan hakusessa kanssa. edellisen kerran kun kysyin niin vittuiltiin minkä kerettiin, kellään ei ollut hajuakaan koko asiasta ja itse joutui senkin selvittämään.
sama tässäkin. tunnelia koskevat asiat laitetaan tuon virtual-template1:n alle koska tässä on käytössä ns. "enhanced" vpn konfiguraatio. "legacy" mallissa noita tunneli-interfaceja ei ole vaan crypto-map varsinaisten interfacien alle ja silloin ne komennot tulee tietysti sinne.
ja ylempänä kirjoitin väärin tuossa 1841 se tuli lan interfacen alle ja "clientin" puolelle. ja tuohonkin saisi enhanced konfiguraation mutta pitäisi päivittää ios ja toisessa 1841:ssä joka on varalla ei riitä dram eikä flash sellaiseen jossa olisi enhanced. toisessa olisi mutta ei voi olla eri konfiguraatio varareitittimessä.
se ei ole täysin selvinnyt pitäisikö nuo olla molemmissa päissä mutta kun niitä tunneli interfaceja ei saa käyttöön toisessa päässä niin ei se onnistu. aivan sama mutta noin vaikuttaa toimivan kun vaan toiseen päähän laittaa.