在Cisco 的解决方案中，IPSECVPN通常建立在IOS Router、VPN 集中器、PIX以及WinPC之间，其中WinPC既可以使用Windows自带的组件，也可以使用Cisco VPN client 程序，后者配置和使用都较为便利。
　　问题一的拓扑如下：
　　
　　Lan1（ACS）-----PIX525-----Internet------Router------Lan2
　　
　　PIX 525是VPN Server, 在Lan2 中有多个客户。 客户端通过Router 以PAT（端口地址转换）方式连接到Internet，使用Cisco VPN Client 软件与PIX 525建立VPN 连接。当Lan2中只有一个客户与PIX 525建立连接时，一切正常；但如果另一个客户也要发起VPN连接的话，前一个客户的连接就会被断掉。问题的原因可能是PIX 525按IP地址识别SA,对同一IP地址，不能建立两个SA。
　　
　　解决的方法是使用PIX 6.3版本软件的一个新特性“TCP transparancy”,该特性允许客户端把IPSEC数据打包通过TCP或UDP的一个端口（默认10000）进行传输，关键命令是：isakmp nat-traversal。
　　
　　完整配置：
　　PIX Version 6.3(1)
　　interface ethernet0 auto
　　interface ethernet1 auto
　　interface ethernet2 auto
　　nameif ethernet0 outside security0
　　nameif ethernet1 inside security100
　　nameif ethernet2 dmz security50
　　enable password ******************** encrypted
　　passwd ******************** encrypted
　　hostname TEST
　　domain-name jyzq.cn
　　fixup protocol ftp 21
　　fixup protocol h323 h225 1720
　　fixup protocol h323 ras 1718-1719
　　fixup protocol http 80
　　fixup protocol ils 389
　　fixup protocol rsh 514
　　fixup protocol rtsp 554
　　fixup protocol sip 5060
　　fixup protocol sip udp 5060
　　no fixup protocol skinny 2000
　　fixup protocol smtp 25
　　fixup protocol sqlnet 1521
　　names
　　access-list 101 permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0
　　access-list 102 permit ip 10.1.2.0 255.255.255.0 10.2.2.0 255.255.255.0
　　access-list no-nat permit ip 10.1.1.0 255.255.255.0 10.2.1.0 255.255.255.0
　　access-list no-nat permit ip 10.1.2.0 255.255.255.0 10.2.2.0 255.255.255.0
　　pager lines 24
　　mtu outside 1500
　　mtu inside 1500
　　mtu dmz 1500
　　ip address outside 202.100.100.100 255.255.255.192
　　ip address inside 10.1.3.250 255.255.255.0
　　ip address dmz 192.168.1.1 255.255.255.0
　　ip audit info action alarm
　　ip audit attack action alarm
　　ip local pool pool1 10.2.1.1-10.2.1.250
　　ip local pool pool2 10.2.2.1-10.2.2.250
　　no failover
　　failover timeout 0:00:00
　　failover poll 15
　　no failover ip address outside
　　no failover ip address inside
　　no failover ip address dmz
　　pdm history enable
　　arp timeout 14400
　　global (outside) 1 interface
　　nat (inside) 0 access-list no-nat
　　nat (inside) 1 10.1.1.0 255.255.255.0 0 0
　　nat (inside) 1 10.1.2.0 255.255.255.0 0 0
　　nat (dmz) 1 192.168.1.0 255.255.255.0 0 0
　　route outside 0.0.0.0 0.0.0.0 202.100.100.101 1
　　route inside 10.1.1.0 255.255.248.0 10.1.3.2 1
　　route inside 10.1.2.0 255.255.255.0 10.1.3.2 1
　　timeout xlate 3:00:00
　　timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
　　timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
　　timeout uauth 0:05:00 absolute
　　aaa-server TACACS+ protocol tacacs+
　　aaa-server RADIUS protocol radius
　　aaa-server RADIUS (inside) host 10.1.3.100 cisco timeout 10
　　aaa-server LOCAL protocol local
　　aaa authentication telnet console RADIUS
　　no snmp-server location

[1] [2] 下一页