思科配置常見問題及其解決方法
思科配置常見問題及其解決方法
思科提供了許多處理連接性的方法，這使得排除的故障和解決問題成為一個并不輕松的問題。從包括在某些思科路由器中的性能到PIX防火墻所提供的服務(wù)，再到思科的 Concentrator，其中的每一個都有其自身的特點(diǎn)?？紤]到選項的復(fù)雜性，本文所討論的這些技巧并不一定適用于所有的思科配置。不過，下面學(xué)習(xí)啦小編將會為您解決類似的問題提供一個很好的起點(diǎn)，歡迎大家參考和學(xué)習(xí)。
問題一：某個運(yùn)行互聯(lián)網(wǎng)連接共享的用戶不能安裝思科3000 客戶端。
這個問題易于解決。用戶需要在安裝客戶端之前在其機(jī)器上禁用ICS。筆者建議用戶用一個支持防火墻的路由器代替ICS。注意，如果機(jī)器只是通過另外一個使用ICS的機(jī)器進(jìn)行連接的話，這樣做就不必要了。要禁用ICS，可以單擊“開始(Start)”/“控制面板(Control Panel)”/“管理工具(Administrative Tools)”/“服務(wù)(Services)”/“Internet連接共享(Internet Connection Sharing)”，并禁用“在啟動時加載(Load On Startup)”選項。
此外，還要保證用戶們知道客戶端禁用了XP的歡迎屏幕和快速用戶切換，這些通常用在多用戶的家用電腦中。組合鍵[Ctrl]+[Alt]+[Delete]仍適用，而且用戶需要鍵入其用戶名和口令。(注意：快速用戶切換可以通過禁用客戶端的‘登錄前開始’特性禁用。不過，這也有其自身的問題，因此，除非你確實需要快速用戶切換，筆者并不推薦這樣做。)
關(guān)于客戶端安裝的另外一個問題：思科并不推薦在同一的PC上安裝多個客戶端。如果對此你有任何問題，并且需要支持，可以先卸載其它的客戶端，然后再打電話尋求支持。
問題二：日志指示一個密鑰問題
如果與預(yù)共享密鑰有關(guān)的日志中存在著錯誤，你就可能在連接的任何一端上錯配密鑰。這種情況下，你的日志會指明客戶端與服務(wù)器之間的交換很好地切合IKE的首要模式安全性。在這種交換之后，日志會指明一個密鑰問題。要解決之，可以在集中器上找到“配置(Configuration)”/“系統(tǒng)(System)”/“隧道協(xié)議(Tunneling Protocol)”/“IPSec局域網(wǎng)到局域網(wǎng)(IPSec LAN-to-LAN)”選項，并選擇你的IPSec配置。在預(yù)共享密鑰(Preshared Key)字段中，輸入你的預(yù)共享密鑰。在一個用于與集中器關(guān)聯(lián)的思科PIX防火墻上，應(yīng)使用命令：
sakmp key password address xx.xx.xx.xx netmask 255.255.255.255
在這里的口令即是你的預(yù)共享密鑰。用于你的集中器中的密鑰和PIX防火墻上的密鑰應(yīng)當(dāng)正確地匹配。
問題三：在試圖連接到時，運(yùn)行防火墻軟件的用戶報告錯誤
在防火墻軟件中，有一些端口需要打開，如BlackIce(BlackIce也存在著與思科的客戶端相關(guān)的其它問題。你可以參考它的發(fā)布注釋尋求更多的信息。)，Zone Alarm，Symantec，還有Windows平臺的其它互聯(lián)網(wǎng)安全程序,以及Linux系統(tǒng)上的ipchains 和 iptables?？傮w而言，如果用戶在其軟件中打開了下面的端口，你就該看到一些抱怨的終結(jié)：
UDP 端口： 500, 1000 和 10000
IP 協(xié)議 50 (ESP)
為IPSec/TCP而配置的TCP 端口
NAT-T 端口 4500
問題四：家庭用戶抱怨說，在連接建立后，他們不能訪問其家用網(wǎng)絡(luò)上的其它資源。
一般而言，這種問題是由于禁用了隧道分離造成的。雖然隧道分離會引起安全風(fēng)險，可以通過采取強(qiáng)健的、增強(qiáng)的安全策略而將這些風(fēng)險減輕到某個程度，并自動地擴(kuò)展到客戶端連接(例如，一個策略可能要求安裝最新的反病毒軟件或安裝一個防火墻)。在一個PIX上，可以使用這個命令來啟用隧道分離：
group groupname split-tunnel split_tunnel_acl
你應(yīng)當(dāng)用對應(yīng)的訪問列表命令來定義哪些內(nèi)容可以通過加密的通道，哪些通信可以以明文的形式發(fā)送出去。例如：
access-list split_tunnel_acl permit ip 10.0.0.0 255.255.0.0 any
或者任何你指定的IP地址范圍。
在一個思科Cisco Series 3000 Concentrator 上，你需要告訴設(shè)備哪些網(wǎng)絡(luò)應(yīng)通過加密通道通信?？梢酝ㄟ^如下步驟進(jìn)行：轉(zhuǎn)到“配置(Configuration)”/“用戶管理(User Management)”/“基群(Base Group)”，并且從“客戶配置(Client Config)”選項卡中，選擇“Only Tunnel Networks In The List(僅列表中的隧道網(wǎng)絡(luò))”選項，并在你應(yīng)該由保護(hù)的站點(diǎn)上創(chuàng)建一個網(wǎng)絡(luò)列表，而且要在“Split Tunneling Network List(分離隧道網(wǎng)絡(luò)列表)”下拉列表框中選擇這個網(wǎng)絡(luò)列表。
問題五：一個遠(yuǎn)程用戶的網(wǎng)絡(luò)正在使用與服務(wù)器的本地網(wǎng)絡(luò)相同的IP地址范圍(采用支持虛擬適配器的Client 4.6,環(huán)境：Windows 2000/XP)
對這些特定的操作系統(tǒng)來說，這可能有點(diǎn)兒特別，不過診斷Cisco 4.6的這些IP地址沖突可能會使人灰心喪氣。在這些情況下，由于沖突的存在，那些假定通過隧道的通信仍保留在本地。
在受到影響的客戶端上，單擊“開始(Start)”/“控制面板(Control Panel)”/“網(wǎng)絡(luò)和撥號連接(Network And Dialup Connections)”/“本地適配器(local adapter)”，在適配器上右擊，并選擇“屬性(Properties)”。在“屬性(Properties)”頁上，選擇TCP/IP，然后單擊“屬性(Properties)”按鈕。下一步，單擊“高級(Advanced)”選項，找到“Interface Metric”選項，將其值增加1。這就有效地告訴了你的計算機(jī)第二次使用本地適配器。適配器將可能擁有metric值1,這使它成為一個通信目地的首要選擇。
問題六：某些路由器/固件組合引起了客戶端的連接問題
思科的客戶端在一些較老的(有時是較新的)家用路由器中會產(chǎn)生問題，通常是針對特定的固件版本。如果你的用戶存在著一致的連接問題，就需要讓它們升級其路由器的固件，特別是在他們擁有一個較老的設(shè)備單元時。在眾多的路由器中，已知會產(chǎn)生思科客戶端問題的有：
固件版本低于1.44的Linksys BEFW11S4
固件版本低于2.15的Asante FR3004 Cable/DSL 路由器
Nexland Cable/DSL 路由器型號 ISB2LAN
如果所有其它的措施都失效，可以將一個空閑的路由器給用戶使用，幫助它們限制潛在的問題范圍。最終有問題的路由器可能需要替換。
問題七：用戶報告說，在他們試圖建立連接時，其客戶端連接會終結(jié)
在這種情況下，用戶會看到一個錯誤消息，類似于“ Connection terminated locally by the Client. Reason 403: Unable to contact the security gateway”( 連接被客戶端終結(jié)。原因403：不能聯(lián)系到安全網(wǎng)關(guān)。)這種錯誤可能是由多種原因造成的：
用戶可能輸入了不正確的組口令
用戶可能并沒有為遠(yuǎn)程端點(diǎn)鍵入恰當(dāng)?shù)拿Q或IP地址
用戶可能存在著其它的互聯(lián)網(wǎng)連接問題
基本而言，由于某種原因，IKE協(xié)商會失效。你可以檢查客戶端的日志，(單擊log/enable)，設(shè)法找到使哈希認(rèn)證無法進(jìn)一步縮小問題范圍的錯誤。
問題八：從NAT設(shè)備后建立一個連接時，發(fā)生故障;或者建立一個到NAT設(shè)備后的服務(wù)器的連接時，發(fā)生故障。
在允許傳輸期間對數(shù)據(jù)包的頭部進(jìn)行修改之前，這個問題是固有的，所以這個問題出現(xiàn)在所有的思科硬件中。要糾正這個問題，就要在你的硬件上啟用NAT-Traversal (NAT-T)，并允許UDP端口4500通過防火墻。
如果你正將一個PIX防火墻既用作防火墻又用作端點(diǎn)，就要在你的配置中用命令nat-traversal 20啟用NAT-T，并打開4500端口。這里的20是NAT的保持活動的時間周期。如果你擁有一個獨(dú)立的防火墻和一個思科集中器，就要在擁有集中器目標(biāo)地址的防火墻上打開UDP端口4500。然后，在集中器上，轉(zhuǎn)到“Configuration(配置)/ Tunneling And Security(隧道和安全性)/IPSec /NAT Transparency(NAT 透明度)”,并選擇“IPSec Over NAT-T”選項。而且，還要保障任何在用戶端點(diǎn)上使用的客戶端都支持NAT-T。
問題九：用戶成功地建立了一個鏈接，不過卻周期性的掉線。
同樣，為了明確問題，你還要檢查多個地方。首先，確認(rèn)用戶的計算機(jī)并沒有進(jìn)入Standby Mode (待命模式)、休眠模式，也沒有啟動屏幕保護(hù)程序。在客戶期望到達(dá)一個服務(wù)器的持續(xù)連接時，待命模式、休眠模式能夠中斷你的網(wǎng)絡(luò)連接。為了節(jié)省電力，你的用戶還有可能配置其計算機(jī)使其在一段時間之后關(guān)閉一個網(wǎng)絡(luò)適配器(網(wǎng)卡)。
如果使用了無線技術(shù)，你的用戶有可能漫游到一個無線信號很弱(或不存在)的地方，那么有可能因此斷開。還有，你的用戶的網(wǎng)絡(luò)電纜可能有問題，也有可能是路由器或互聯(lián)網(wǎng)連接的問題，或者是其它的物理連接問題。
還有這樣一些報告指出，如果一個端點(diǎn)(PIX或3000集中器)耗盡其IP地址池中的資源，也會導(dǎo)致在客戶端上導(dǎo)致這種錯誤。
問題十：某用戶報告說，計算機(jī)在本地網(wǎng)絡(luò)上不再可“見”，即使客戶端被禁用。
其它癥狀還可能包括用戶網(wǎng)絡(luò)上的其它許多計算機(jī)不能Ping通計算機(jī)，即使這臺計算機(jī)能夠看到網(wǎng)絡(luò)上的其它計算機(jī)。出現(xiàn)這種情況，這個用戶有可能啟用了客戶端上的內(nèi)置防火墻。如果防火墻被啟用，它就會保持運(yùn)行狀態(tài)，甚至在客戶端不運(yùn)行時仍然如此。要解決問題，就要打開客戶端，并從選項(options)頁上，取消選擇“stateful firewall”選項的復(fù)選框。
以上介紹的僅是思科中的十個比較常見的問題及其解決方法，不過，可以看作是拋磚引玉。