通过PIXASAFWSM允许PPTPL2TP连接.PDF

通过PIX/ASA/FWSM允许PPTP/L2TP连接 目录 简介 先决条件 要求 使用的组件 背景理论 规则 客户机在内部服务器在外部的 PPTP 网络图 为版本 6.2 和更低版本添加命令 为版本 6.3 添加命令 使用检查为版本 7.x 和 8.0 添加命令 使用 ACL 为版本 7.x 和 8.0 添加命令 为版本 6.2 和更低版本添加命令 客户机在内部服务器在外部的 L2TP 客户机在外部服务器在内部的 PPTP 网络图 为所有版本添加命令 客户机在外部服务器在内部的 L2TP 允许 L2TP Over IPsec 通过 PIX/ASA 7.x 和更高版本 验证 故障排除 使用 PAT 时，多个 PPTP/L2TP 连接失败 错误800，当尝试连接到入站时的PPTP VPN debug 命令 建立 TAC 服务请求时应收集的信息 相关信息 简介 本文档讨论 Cisco 安全设备/FWSM 所需的配置，以允许点对点隧道协议 (PPTP)/第二层隧道协议 (L2TP) 客户机通过网络地址转换 (NAT) 连接到 PPTP 服务器。 FWSM 3.1.x 和更高版本通过 PAT 支持 PPTP 穿透功能。使用 PPTP 检查以启用此功能。 注意： 为 FWSM 使用相同的 PIX 配置。 请参阅配置 Cisco 安全 PIX 防火墙以使用 PPTP ，配置安全设备以接受 PPTP 连接。 对于通过 Microsoft Windows 2003 Internet 使用预共享密钥的 PIX/ASA 安全设备企业办公室，要配 置从远程 Microsoft Windows 2000/2003 和 Windows XP 客户机到该办公室的 L2TP over IP Security (IPsec)，请参阅 Windows 2000/XP PC 和使用预共享密钥的 PIX/ASA 7.2 之间的 L2TP Over IPsec 配置示例。 先决条件 要求 为尝试此配置，首先必须有正常工作的 PPTP 服务器和客户机，然后才可以处理 PIX/ASA/FWSM。 使用的组件 本文档中的信息基于以下软件版本： Cisco PIX 防火墙版本 6.x 和更高版本 运行版本 7.x 或更高版本的 Cisco ASA 5500 系列安全设备 运行版本 3.1.x 或更高版本的 FWSM 本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原 始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。 背景理论 RFC 2637 中介绍了 PPTP。 此协议使用 TCP 连接传输实际数据（PPP 帧），TCP 连接使用的是 端口 1723 和通用路由封装 (GRE) [协议 47] 扩展。客户机首次启动 TCP 连接后，由服务器启动 GRE 连接。 版本 6.2 和更低版本的信息 由于 PPTP 连接作为某个端口上的 TCP 启动，且响应为 GRE 协议，因此，PIX 自适应安全算法 (ASA) 无法确定数据流是否相关。因此，必须配置 ACL 以允许返回数据流进入 PIX。PPTP（一对 一地址映射）通过使用 NAT 的 PIX 可有效工作，这是因为 PIX 使用 TCP 中的端口信息或用户数据 报协议 (UDP) 包头保持对转换的跟踪。PPTP 通过使用端口地址转换协议 (PAT) 的 PIX 无法工作 ，这是因为 GRE 中不存在端口概念。 版本 6.3 的信息 版本 6.3 中的 PPTP 修正功能允许 PPTP 数据流通过 PIX（配置 PAT 时）。在进程中还会执行 PPTP 数据包状态检查。fixup protocol pptp 命令可检查 PPTP 数据包，并动态创建允许 PPTP 数 据流所必需的 GRE 连接和转换。具体而言，防火墙会检查 PPTP 版本声明和呼出请求/响应顺序。 如 RFC 2637 中所定义的，仅检查 PPTP 版本 1。如果任意一端声明的版本不是版本 1，则禁用 TCP 控制通道上的进一步检查。此外，还将跟踪呼出请求和响应顺序。连接和/或转换根据需要动态 分配，以允许随后的辅助 GRE 数据流。为使 PAT 转换 PPTP 数据流，必须启用 PPTP 修正功能。 版本 7.x 的信息 版本 7.x 中的 PPTP 应用程序检查引擎与版本 6.3 中 fixup protocol pptp 的运行方式相同。 规则 有关文档规则的详细信息，请参阅 Cisco 技术提示规则。 客户机在内