Созданы по IPSEC VPN с 32 подразделениями на DFL 210 и PIX-512, некоторое время они были независимыми(разные каналы и разные локальные подсети). Сейчас понадобилось сделать VPN между PIX и DFL канал поднялся отлично, пинг со стороны подсети DFL проходит в сеть пикса, а наоборот нет. Разрешения стандартные, как и на остальных VPN соединениях. Разбирались, оказалось, что отбрасывает пакеты именно DFL - в логах следущее:



Что это за дефолтное правило? и как с ним бороться?[/code]

Пинги в подсеть DFL или на его интерфейс разрешаются разными правилами. Если вы хотите разрешить пинг из удаленной сети на LAN-интерфейс DFL, то необходимо правило вида:

Ping_FW Allow VPN_interface Remote_VPN_Network core lan_ip ping-inbound

Для трассировки надо правило вида

Trace_via_FW Allow VPN_interface Remote_VPN_Network lan lannet ping-outbound

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

я конфигурирую DFL через веб-интерфейс, там для разрешения прохождения пакетов приблизительно такие правила



Такая схема работает на всех впнах с филиалами, а вот когда пикса подключили, то на него пакеты пошли, а от него пакеты отбрасываются, причем из логов видно, что отбрасывается echo_request.

Т.е. все работает кроме пингов?

Поясните точнее какой именно трафик, куда и откуда не проходит? Пинги? Из удаленной сети в локальную сеть? Из удаленной сети на локальный интерфейс файрволла?

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

Весь трафик от DFL_NET в сеть PIX_NET идет а от PIX_NET в DFL_NET не проходит вообще. При этом дано полное разрешение на прохождение всех пакетов от туда и туда.
Трафик должен ходить из сети в сеть в обоих напрвлениях.

не забывыйте разрешить эхо реквест в ICMP протоколе.