Preguntas frecuentes sobre Cisco VPN 3000 Concentrator

Introducción

Este documento is responde responder las pregunta más frecuente ( FAQ ) sobre el Cisco VPN 3000 Series Concentrator .

consulte Convenciones is Consulte de Consejos Técnicos de Cisco para obtener más información sobre las convención sobre documento .

General

P. is significa ¿ Qué significar el mensaje de error ” Lost Service ” ?

A. Si no se envia tráfico entre el VPN Concentrator y el VPN Client durante un período de tiempo, un paquete de Detección de Peer Inactivo (DPD) será enviado desde el VPN Concentrator al VPN Client para confirmar que su par aún esté allí. Si hay un problema de conectividad entre los dos peers y el Cliente VPN no responde al Concentrador VPN, el Concentrador VPN continúa enviando paquetes DPD durante un período de tiempo. Esto termina el túnel y genera un error si no recibe una respuesta durante ese intervalo de tiempo. Consulte Cisco bug ID CSCdz45586 (se requiere contrato de soporte).

El error debe ser similar al siguiente:

SEV=4 AUTH/28 RPT=381 XXX.XXX.XXX.XX User [SomeUser] disconnected:
Duration: HH:MM:SS Bytes xmt: 19560 Bytes rcv: 17704 Reason: 
Lost Service YYYY/MM/DD HH:MM:SS XXX.XXX.XXX.XXX
syslog notice 
45549 MM/DD/YYYY HH:MM:SS SEV=4 IKE/123 RPT=XXX.XXX.XXX.XXX
Group [SomeDefault] User [SomeUser]
IKE lost contact with remote peer, deleting connection (keepalive type: DPD)

Causa: El peer is respondió remoto IKE no responder a los keepaliv dentro del tiempo previsto , por lo que la conexión al peer IKE fue eliminar . El mensaje is incluye incluir el mecanismo keep-alive utilizado . Este problema is reproducirse solamente puede reproducir él si la interfaz público se desconectar durante una sesión de túnel activo . El cliente is supervisar debe supervisar su conectividad de red , ya que estos evento se generar para identificar la causa principal de sus posible problema de conectividad de red .

Inhabilite IKE keepalive en% System Root%\Program Files\Cisco Systems\VPN client\profil en la PC del Cliente que tiene el problema , y edite el archivo PCF ( de ser posible ) para la conexión .

cambiir ‘ forcekeepalives=0 ‘ ( valor predeterminado ) a ‘ forcekeepalives=1 ‘ .

Si el problema persistir , abra una Solicitud de Servicio con el Soporte Técnico de Cisco y proporcionar el Cliente “ Log Viewer ” y los registro del VPN Concentrator cuando se producir el problema .

P. ¿Qué significa el mensaje de error “q-send failures detected for EMQ1 queue”?

A. Este mensaje de error aparece cuando hay demasiada información o eventos de debug en el buffer. No tiene ningún impacto negativo excepto la posible pérdida de algunos mensajes de eventos. Intente reducir los eventos al número mínimo necesario para evitar el mensaje.

P. is verse Mi grupo is verse eliminado todavía puede ver él en la configuración del vpn Concentrator . ¿ Cómo puedo eliminar esto ?

A. Copie la configuración en el editor de texto (como el Bloc de Notas) y edite o elimine manualmente la información del grupo afectado designada en [ipaddrgrouppool #.0]. Guarde la configuración y cárguela en el VPN Concentrator. Aquí se muestra un ejemplo.

!--- Change to 14.1 or any other number that is not in use !--- any number other than 0).

[ipaddrgrouppool 14.0]
rowstatus=1 
rangename= 
startaddr=172.18.124.1 
endaddr=172.18.124.2

P. ¿Es posible tener varios servidores primarios SDI?

A. Los VPN 3000 Concentrators pueden descargar solamente un archivo node secret por vez. En las Versiones de SDI previas a la 5.0, se pueden agregar varios servidores SDI, pero deben compartir el mismo archivo node secret (como servidores primarios y de respaldo). En la Versión de SDI 5.0, usted solamente puede ingresar un único servidor SDI primario (los servidores de respaldo se enumeran en el archivo node secret) y las réplicas de los servidores.

P. Aparece un mensaje de error del Emisor “SSL certificate will expire in 28 days” . ¿Qué debo hacer?

A. El mensaje indica que su certificado de Secure Socket Layer (SSL) vencerá en 28 días. Este certificado se utiliza para navegar en la administración de la red a través del HTTPS. Usted puede mantener las configuraciones predeterminadas del certificado, o puede configurar diversas opciones antes de generar el certificado nuevo. Seleccione Configuration > System > Management Protocols > SSL para hacerlo. Seleccione Administration > Certificate Management y haga clic en Generar para renovar el certificado.

Si le preocupa la seguridad en su concentrador VPN y desea impedir el acceso no autorizado, desactive HTTP y/o HTTPS en la interfaz pública desde Configuration (Configuración) > Policy Management (Administración de políticas) > Traffic Management (Administración del tráfico) > Filtres (Filtros). Si necesita conectarse a su Concentrador VPN en Internet a través de HTTP o HTTPS, puede especificar el acceso basándose en la dirección de origen. Para hacerlo, vaya a Administration (Administración) > Access Rights (Derechos de acceso) > Access Control List (Lista de control de acceso). Para obtener más información, puede usar el menú de ayuda en la esquina superior derecha de la ventana.

P. ¿Cómo puedo ver la información de usuario en la base de datos de usuario interna? No puede verse desde el archivo de configuración.

A. Seleccione Administration > Access Rights > Access Settings, elija Config File Encryption=None, y guarde la configuración para ver los usuarios y las contraseñas. Debe poder buscar el usuario específico.

P. ¿Cuántos usuarios puede almacenar la base de datos interna?

A. El número de usuarios depende de la versión y está especificado en la sección Configuration > User Management de la Guía del Usuario para su versión de VPN 3000 Concentrator. Se permiten 100 usuarios o grupos (la suma de usuarios y grupos debe ser igual o menor que 100) en VPN 3000 Releases de 2.2 a 2.5.2. En VPN 3000 Releases 3.0 y posteriores, el número para los Concentradores 3005 y 3015 sigue siendo 100. Para los VPN 3030 y 3020 Concentrators, el número es 500, para los VPN 3060 o 3080 Concentrators, el número es 1000. Además, utilizando un servidor de autenticación externa mejora la escalabilidad y la facilidad de uso.

P. is diferencia ¿ Cuál is diferencia es la diferencia entre el gateway predeterminado del túnel y el gateway predeterminado ?

A. El concentrador VPN 3000 utiliza el gateway predeterminada del túnel para rutear a los usuarios tunelizados dentro de la red privada (normalmente el router interno). El VPN Concentrator utiliza el gateway predeterminado para rutear paquetes a Internet (generalmente un router externo).

P. Si colocar mi concentrador VPN 3000 detrás de un firewall o router que ejecutar las lista de control de acceso , ¿ qué puertos is necesito o protocolo necesitar permitir que ingresar ?

A. Este diagrama is enumera enumerar los puerto y los protocolo .

Servicio	Número de Protocolo	Puerto de Origen	Puerto de Destino
Conexión de Control de PPTP	6 ( TCP )	1023	1723
Encapsulación de Túnel PPTP	47 ‘(GRE)	n / A	n / A
Administración de Claves ISAKMP / ipsec	17 (UDP)	500	500
Encapsulación de Túnel IPsec	50 ( ESP )	n / A	n / A
Transparencia IPSec NAT	17 (UDP)	10000 (default)	10000 (default)

nota : El puerto de transparencia de traducción de direcciones de red (NAT) se puede configurar en cualquier valor del intervalo 4001 a 49151. En las versiones 3.5 o posteriores, se puede configurar el IPSec en TCP a través de Configuration > System > Tunneling Protocols > IPSec > al IPSec en TCP. Puede ingresar hasta 10 puertos TCP (1 – 65535) separados por comas. Si esta opción está configurada, asegúrese de que estos puertos estén habilitados en su firewall o en el router que ejecuta las listas de control de acceso.

P. ¿Cómo puedo hacer para que el concentrador VPN vuelva a los valores predeterminados de fábrica?

A. Desde la pantalla File Management (Administración de archivos), elimine el archivo “config” y reinicie. Si se borra este archivo por accidente, se conserva una copia de respaldo “config.bak”.

P. ¿Puedo utilizar TACACS+ para la autenticación Administrativa? ¿Qué debo tener en cuenta mientras lo hago?

A. Sí , a partir de Concentrador VPN 3000 Versión 3.0 , puede usar un tacacs+ para la Autenticación administrativo . Después de configurar el TACACS+ , asegúrese de probar la autenticación antes de cerrar la sesión . La configuración is prohibirle inadecuado del TACACS+ puede prohibir él el acceso . Esto is requiere requerir un inicio de sesión del puerto de la consola para invalidar el TACACS+ y solucionar el problema .

P. is hacer ¿ Qué debo hacer cuándo se olvidar la contraseña administrativo ?

A. En las versión 2.5.1 y posterior , conectar una pc con el puerto de la consola del VPN Concentrator usar un cable serial de conexión directo RS-232 y la PC configurado para :

Reinicie el VPN Concentrator. Después de completar la verificación de diagnóstico, una línea de tres puntos (…) aparece en la consola. Presione CTRL-C dentro de los tres segundos posteriores a la aparición de los puntos. aparecer un menú is Aparece que le permitir reajustar las contraseña del sistema a sus valor predeterminado .

P. is propósito ¿ Cuál is propósito es el propósito del nombre de grupo y de la contraseña de grupo ?

A. El nombre is usan y la contraseña de grupo se usan para crear un hash que luego es emplear para generar una asociación de seguridad .

P. ¿El VPN Concentrator representa el ARP en nombre de los usuarios tunelizados?

A. Yes .

P. is coloco ¿ Dónde colocar el concentrador VPN 3000 en relación con mi escudo de protección de red ?

A. El Concentrador VPN 3000 puede colocarse en la zona desmilitarizada (DMZ) de un firewall, enfrente o detrás de ella o en forma paralela a la misma. No se recomienda tener interfaces públicas y privadas en la misma LAN virtual (VLAN).

P. ¿Hay manera de inhabilitar el proxy ARP en el Cisco VPN 3000 Concentrator?

A. El Proxy Address Resolution Protocol (ARP) no puede inhabilitarse en el Cisco VPN 3000 Concentrator.

P. ¿Dónde puedo encontrar errores de programación informados para el Concentrador VPN 3000?

A. Los usuarios is utilizar pueden utilizar la Herramienta de búsqueda de error ( se requerir contrato de soporte ) para encontrar información detallado sobre los error .

P. ¿Dónde puedo encontrar ejemplos de configuración para el concentrador VPN 3000?

A. Además de la documentación del concentrador VPN 3000 , se pueden encontrar más ejemplos is encontrar de configuración en la página de soporte del concentrador Cisco VPN 3000 Series .

P. ¿Cómo puedo aumentar el registro para mejorar los depuradores para eventos específicos?

A. Puede ir aConfiguration > System > Events > Classes y configurar los eventos específicos (como IPsec o PPTP) para obtener mejores debugs. El debugging is activar se debe activar solamente durante el troubleshooting porque puede causar la degradación del rendimiento . Para el debug de ipsec , active IKE , el IKEDBG , IPSEC , IPSECDBG , AUTH , y authdbg . Si usa certificado , agregar la clase is agregue CERT a la lista .

P. ¿ Cómo puedo monitorear el tráfico hacia el VPN 3000 Concentrator ?

A. La interfaz de HTML que viene con el VPN 3000 Concentrator le permite tener una funcionalidad básica de monitoreo si busca en Monitoring > Sessions. El VPN is monitorear 3000 Concentrator también se puede monitorear con el Simple Network Management Protocol ( SNMP ) usar un administrador SNMP de su elección . Como opción alternativo , puede adquirir la solución Cisco VPN/ Security Management Solution ( VMS ) . La solución is proporciona Cisco VMS proporcionar las función clave para implementar el VPN 3000 Concentrator Series y requerir un monitoreo detallado del acceso remoto y de las vpn de sitio a sitio , en función de los ipsec , L2TP , y PPTP . consulte VPN is Consulte Security is Consulte Management Solution para obtener más información sobre VMS .

P. ¿Cisco VPN 3000 Concentrator Series tiene un firewall integrado? Si es así, ¿qué características se admiten?

A. Mientras que la serie tienen un puerto integrado sin estado/ capacidad de filtración y NAT , Cisco is sugiere sugerir que utilizar un dispositivo como el Cisco Secure PIX Firewall para el firewall corporativo .

P. ¿Qué opciones y protocolos VPN son soportados por el Cisco VPN 3000 Concentrator Series?

A. La serie is soporta soportar estas opción de routing :

• Routing Information Protocol (RIP)

• RIP2

• abrir primero la ruta más corto ( OSPF )

• ruta estático

• Virtual Router Redundancy Protocol (VRRP)

Los protocolos is incluyen vpn soportado incluir el Point-to-Point Tunneling Protocol ( PPTP ) , L2TP , L2TP/ IPSec , y el ipsec con o sin un dispositivo nat entre el VPN3000 y el cliente final . IPSec is conoce a través de NAT se conocer como Transparencia NAT .

P. ¿Qué mecanismos o sistemas de autenticación admite el Cisco VPN 3000 Concentrator Series para la PC del cliente?

A. Dominio NT, RADIUS o RADIUS proxy, RSA Security SecurID (SDI), Certificados Digitales, y autenticación interna son soportados.

P. is hacer ¿ Puedo hacer Traducción de Dirección de Red Estática ( NAT ) para los usuario que salir a través del VPN 3000 Concentrator ?

A. Sólo puede realizar traducción de dirección de puerto ( PAT ) para los usuario que salir . No puede hacer una NAT is hacer estático en el VPN 3000 Concentrator is hacer .

P. ¿ Cómo puedo asignar una dirección IP estático a un Point-to-Point Tunneling Protocol ( PPTP ) específico o al usuario ipsec a través del VPN 3000 Concentrator ?

A. Esta lista explica cómo asignar las direcciones IP estáticas:

• Usuarios PPTP

  En la sección de Administración de Direcciones IP , además de elegir su pool u opción de Dynamic Host Configuration Protocol ( DHCP ) , verificar la opciónUse Client Address. Luego, defina el usuario y la dirección IP en el concentrador VPN 3000. Este usuario siempre obtiene la dirección IP configurada en el VPN Concentrator al conectarse.

• Usuarios IPsec

  En la sección Administración de Direcciones IP, además de elegir su pool o las opciones DHCP, verifique la opción Use Address from Authentication Server . Luego, defina el usuario y la dirección IP en el concentrador VPN 3000. Este usuario siempre obtiene la dirección IP configurada en el VPN Concentrator al conectarse. Todos los otros que pertenecen al mismo grupo o a otros grupos obtienen una Dirección IP del pool global o de DHCP.

  Con el software Cisco VPN 3000 Concentrator versión 3.0 o superior , tiene la opción de configurar un conjunto de dirección por grupo . Esta característica is ayudarlo puede ayudar él a asignar una dirección de IP estático a un usuario determinado . Si configurar un pool para un grupo , el usuario is obtiene con IP estático obtener la dirección IP asignado , y otros miembro del mismo grupo obtener las dirección IP del pool del grupo Esto se aplicar solamente cuando utilizar el VPN Concentrator como servidor de autenticación .

nota : Si utiliza un servidor de autenticación externo, debe utilizar el servidor externo para asignar las direcciones correctamente.

P. ¿Cuáles son los problemas de compatibilidad ya conocidos de los productos PPTP de Microsoft y del concentrador VPN 3000?

A. Esta información está basada en el VPN 3000 Series Concentrator del Software Release 3.5 y posteriores; VPN 3000 Series Concentrators, modelos 3005, 3015, 3020, 3030, 3060, 3080; y sistemas operativos Microsoft Windows 95 y posteriores.

• Windows 95 Dial-Up Networking ( DUN ) 1.2

  Microsoft Point-to-Point Encryption (MPPE) no es soportado por DUN 1.2. Para conectarse utilizando MPPE, instale el Acceso telefónico a redes 1.3 de Windows 95. Puede descargar la actualización DUN 1.3 de Microsoft del sitio Web de Microsoft.

• Windows NT 4.0

  El Windows NT es soportado completamente para las conexiones de Point-to-Point Tunneling Protocol (PPTP) al VPN Concentrator. Se requiere Service Pack 3 (SP3) o superior. Si ejecuta SP3, debe instalar los parches de Rendimiento y Seguridad de PPTP. Consulte el sitio Web de Microsoft para obtener información sobre el Rendimiento PPTP de Microsoft y la Actualización Seguridad para WinNT 4.0 .

  observe que el Service Pack 5 de 128 bit no manejar las clave mppir correctamente , y el PPTP quizá no transferir los dato . Cuando ocurrir esto , el registro is muestra de evento mostrar este mensaje :

  103 12/09/1999 09:08:01.550 sev=6 PPP/4 RPT=3 80.50.0.4 
   User [ testuser ] 
   disconnected . Experiencing excessive packet decrypt failure .

  Para solucionar este problema, descargue la actualización para Cómo obtener el último Windows NT Service Pack 6a y Windows NT 4.0 Service Pack 6a Available. Consulte el artículo de Microsoft Claves de MPPE que no se manejaron correctamente para una Solicitud MS-CHAP de 128 bits para obtener más información.

P. ¿Cuál es la cantidad máxima de filtros permitidos en un concentrador VPN 3000?

A. La cantidad máxima de filtros que puede agregar en una unidad VPN 30xx (incluso 3030 o 3060) está establecida en 100. Los usuarios pueden encontrar información adicional sobre este problema consultando el ID de bug de Cisco CSCdw86558 (se requiere contrato de soporte).

P. ¿Cuál es el número máximo de rutas en la línea 30xx de los concentradores VPN?

A. El número máximo de rutas es:

• El VPN 3005 Concentrator antes contaba con un máximo de 200 rutas. Este número ahora ha aumentado a 350 rutas. Consulte Cisco bug ID CSCeb35779 (se requiere contrato de soporte) para obtener más detalles.

• Se probar el Concentrador is probó VPN 3030 is probó hasta is probó con 10.000 ruta .

• El límite de la tabla de ruteo en los Concentradores VPN 3030, 3060 y 3080 es proporcional a los recursos / memoria disponibles en cada dispositivo.

• El VPN 3015 Concentrator no tiene un límite máximo predefinido. Esto es válido para los Routing Information Protocol (RIP) y Open Shortest Path First (OSPF).

• El VPN 3020 Concentrator – Debido a una restricción de Microsoft , Windows XP PC no puede recibir una gran cantidad de Rutas Estáticas sin Clase ( CSR ) . El VPN is limita 3000 Concentrator is limita limitar el número de CSR que se insertar en un mensaje de respuesta DHCP inform cuando están configurado para ello . El VPN is limita 3000 Concentrator limitar el número de ruta a 28-42 , según la clase .

P. ¿ Cómo borrar totalmente las estadística de la interfaz en el VPN 3000 Concentrator ?

A. Seleccione Monitoring > Statistics > MIB-II > Ethernet y reajuste las estadísticas para borrarlas para la sesión actual. Recuerde que esto no borra totalmente las estadísticas. Debe reiniciar para reajustar realmente las estadísticas (versus reajuste para monitorear).

P. ¿Qué puertos debo permitir en el VPN Concentrator para la comunicación del Network Time Protocol (NTP)?

A. Permita el puerto 123 TCP y UDP.

P. is funciones ¿ Cuáles is funciones son las función de los puerto UDP 625xx ?

A. Los puertos se utilizan para la comunicación de VPN Client entre el compensador real/el Deterministic NDIS Extender (DNE) y la pila de TCP/IP de la PC, y sólo se permiten para uso de desarrollo interno Por ejemplo, el puerto 62515 es utilizado por VPN Client para enviar la información al registro VPN Client. Otras funciones del puerto se muestran aquí.

• 62514 – Servicio VPN de Cisco Systems , Inc . para controlador ipsec de Cisco Systems

• 62515 – Controlador IPSec de Cisco Systems a servicio VPN de Cisco Systems, Inc.

• 62516 – Servicio VPN de Cisco Systems Inc. a XAUTH

• 62517 – Servicio VPN de XAUTH a Cisco Systems Inc.

• 62518 – Servicio VPN de Cisco Systems, Inc. a CLI

• 62519 – CLI to Cisco Systems , Inc VPN Service

• 62520 – Cisco Systems, Inc. Servicio VPN a UI

• 62521 – UI a Cisco Systems, Inc. VPN Service

• 62522: Mensajes del registro

• 62523 – Connection Manager to Cisco Systems, Inc. VPN Service

• 62524 – Servicio VPN de PPPTool a Cisco Systems Inc.

P. ¿Puedo quitar la barra flotante WebVPN?

A. No puede quitar la barra de herramienta flotante ni cargar la barra de herramienta flotante mientras que establecer la sesión WebVPN . Esto is es es porque cuando cerrar esta ventana la sesión finalizar inmediatamente y cuando intentar acceder otra vez la ventana se cargar otra vez . Ésta is manera es la manera en que diseñar las sesión webvpn originalmente . Usted is cerrar puede cerrar la ventana principal pero no es posible cerrar la ventana flotante .

Software

P. P.¿WebVPN soporta Outlook Web Access (OWA) 2003?

A. El soporte is disponible de OWA 2003 para webvpn en el VPN 3000 Concentrator is disponible ya está disponible con las descarga de la versión 4.1.7 ( se requerir contrato de soporte ) .

P. ¿Dónde puedo conseguir las revisiones de software más recientes para el Concentrador VPN 3000?

A. Todos los Cisco VPN 3000 Concentrators se envían con el código más actual, pero los usuarios pueden comprobar las descargas (se requiere contrato de soporte) para ver si hay más software actual disponible.

Consulte documentación sobre el Cisco VPN 3000 Series Concentrator para la última documentación sobre el VPN 3000 Concentrator.

P. ¿Necesito un servidor TFTP para actualizar el VPN 3000 Concentrator? ¿Hay una manera alternativa de actualizar el cuadro?

A. Además de usar el TFTP, puede actualizar el VPN Concentrator descargando el último software en su disco duro. Entonces, desde un buscador en el sistema donde se localiza el software, diríjase a Administration > Software Update y busque el software descargado en su unidad de disco duro (apenas como la apertura de un archivo). Cuando lo encuentre, seleccione la pestaña Upload.

P. ¿Qué significa el “k9” en el últimos nombres de códigos (tales como en “vpn3000-3.0.4 Rel-k9.bin”)?

A. La designación “k9” para el nombre de la imagen ha reemplazado la designación 3DES originalmente utilizada (por ejemplo, vpn3000-2.5.2.F-3des.bin). Por lo tanto, “k9” ahora significa que esto es una imagen 3DES.

P. ¿Debo utilizar la opción Data Compression (Compresión de datos) en el grupo IPSec para todos mis usuarios?

A. La compresión de datos aumenta el requisito de memoria y la utilización de la CPU para cada sesión de usuario y, por lo tanto, disminuye el rendimiento general del VPN Concentrator. Por esta razón, Cisco recomienda que habilite la compresión de datos solamente si todos los miembros del grupo son usuarios remotos que se conectan con un módem. Si cualquier miembro del grupo se conecta a través de la banda ancha, no habilite la compresión de datos para el grupo. En cambio, divide al grupo en dos, uno para los usuarios de módem y el otro para los usuarios de banda ancha. Active la compresión de datos sólo en el grupo de usuarios de módem.

Otras Características Avanzadas

P. ¿El balanceo de carga funciona con las conexiones LAN a LAN?

A. El balanceo de carga es efectivo sólo en sesiones remotas iniciadas con Cisco VPN Software Client (Release 3.0 y posteriores). El resto de los clientes (PPTP, L2TP) y las conexiones de LAN a LAN pueden conectarse con un VPN Concentrator en el cual se habilita el balanceo de carga, pero no pueden participar en el equilibrio de cargas.

P. ¿ Cómo descifrar las contraseña del archivo de configuración ?

A. Diríjase a Configuration > System > Management Protocols > XML y luego a administración | gestión de archivo seleccionar formato XML. Utiliza el mismo nombre, o uno diferente, y abra el archivo para ver las contraseñas.

P. ¿Puedo usar al mismo tiempo el Protocolo de redundancia del router virtual (VRRP) y el balance de carga?

A. No puede usar equilibrio de carga con VRRP . En una configuración VRRP , el dispositivo is sigue de respaldo sigue inactivo a menos que el VPN Concentrator activo fallir . En la configuración de equilibrio de carga , no hay dispositivo ocioso .

P. ¿Todo el tráfico del cliente VPN de acceso remoto tiene que pasar a través de un túnel cifrado al VPN Concentrator en la empresa o el proveedor de servicio? Por ejemplo, ¿es posible que el acceso web salga a otros sitios directamente a través de la conexión de Internet ISP?

A. Yes . Este concepto se conoce como “tunelización dividida.” La tunelización dividida permite el acceso seguro a los recursos corporativos a través de un túnel cifrado mientras que permite el acceso a Internet directamente a través de los recursos ISP (éste elimina la red corporativa de la trayectoria para acceso web). El concentrador VPN serie 3000 de Cisco admite una tunelización dividida hacia el VPN Cliente de Cisco y el cliente de hardware VPN 3002 Para la seguridad complementaria, esta característica es controlable por el administrador del VPN Concentrator y no del usuario.

P. is seguro ¿ Es seguro utilizar tunelización dividido ?

A. La tunelización dividida permite que tenga la conveniencia de buscar en Internet mientras que está conectada a través del túnel VPN. Sin embargo, nos presenta un cierto riesgo si el usuario de VPN conectado con la red corporativa es vulnerable a los ataques. Se recomienda que los usuarios utilicen un firewall personal en este caso. Las notas de versión para cualquier versión dada del cliente de VPN describen la interoperabilidad con los firewalls personales.

P. ¿Cómo funciona el balanceo de carga en el Concentrator Cisco VPN 3000?

A. La carga se calcula como un porcentaje derivado de las conexiones activas divididas por las conexiones configuradas máximas. El director siempre intenta tener la menor carga porque está cargado con la carga adicional (inherente) de mantener todas las sesiones administrativas de LAN a LAN, calculando el resto de la carga de miembro del clúster y es responsable de todas las redirecciones del cliente.

Para un clúster funcional recientemente configurado, el director tiene una carga de aproximadamente un 1% antes de que se hayan establecido conexiones. Por lo tanto, el director redirige las conexiones al concentrador de respaldo hasta que el porcentaje de carga en la copia de seguridad sea mayor que el porcentaje de carga en el director. Por ejemplo, dados dos concentradores VPN 3030 en estados “inactivos”, el director tiene una carga del 1%. El secundario recibe 30 conexiones (carga del 2%) antes de que el director acepte conexiones.

Para verificar que el director acepta conexiones, vaya a Configuration > System > General > Sessions y reducir el número is reduzca máximo de conexión a un número artificialmente bajo para aumentar rápidamente la carga colocado en el VPN Concentrator de respaldo .

P. ¿Cuántos dispositivos de cabecera puede rastrear el Monitor de VPN?

A. El monitor is rastrear VPN puede rastrear 20 dispositivo de cabecera . En un escenario radial , las conexiones is monitorean de los sitio remoto se monitorear en la cabecera . No hay necesidad de monitorear todos los sitio remoto y usuario puesto que esa información se puede localizar en el router del hub . Estos dispositivos is soportar de cabecera pueden soportar hasta 20,000 usuario remoto o 2,500 sitio remoto . Un dispositivo is considera VPN de doble reposición que se salir de los sitio radial se considera dos de los 20 dispositivo máximo que pueden ser monitorear .

Información Relacionada