Problemas túnel VPN Site to Site RV340

[Jvilchez]

Buenas a todos,

Actualmente tengo dos Routers Cisco RV340 configurados cada uno en un site diferente a través de un túnel VPN site-to-site.

El problema reside en que el túnel se levanta correctamente y durante un periodo de tiempo variable, (1h, 2h, 5h) el túnel funciona correctamente, accediendo del Site-B al Site-A a un servidor de ficheros sin problema, pero llega un punto en que dejo de poder tener conexión contra el servidor de ficheros o servidor web de la otra sede.

Cuando eso ocurre, sigo pudiendo hacer pings entre sites correctamente, e incluso puedo acceder por SSH a un servidor Linux ubicado en el Site-A desde el Site-B, pero al servidor de ficheros o vía web no es capaz de acceder, teniendo que forzar a un reinicio del Router ISP, desconectar/conectar latiguillo o puerto WAN o reinicio del Router Cisco para que se restablezca la conexión y vuelta a empezar...

Site-A: 1 WAN Fibra.

Site-B: 2 WAN (1 navegación, 1 túnel VPN).

Ambos con firmware 1.0.03.21

¿Alguien podría orientarme un poco que está ocurriendo?

Estaré muy activo en el foro.

Muchas gracias de Antemano.

[Javier Acuña]

@JvilchezSaludos, tube una falla muy parecida y se debia apoliticas aplicadas en el Server en mi caso particular era Windows con las policitcas forzadas,  Podiras validar esta opción.

Saludos cordiales.

[Jvilchez]

Buenas Javier,

El servidor de ficheros es un NAS con carpetas compartidas, por lo que no veo que tenga relación.

Tras realizar varias pruebas, he visto que cuando se cae el túnel, a parte de mantener el ping entre sedes, la ruta de Site-A a Site-B sigue activa, puedo acceder vía web al cisco del Site-B pero viceversa no... Paradójico...

[Javier Acuña]

@Jvilchezen efecto no tiene nada de relación, me indicas que la comunicación fuinciona en el siguiente sentido A to B pero Bto A no es posible, ejecuta un tracer Router y valida donde se esta quedando la comunicación, haz un seguimiento del paquete para descartar porque un dispositivo no esta respondiendo, Lo más oaradojico es que es despues de cierto tiempo.

Saludos cordiales.

[Jvilchez]

@Javier Acuña, perfecto.

Realizaré las pruebas y postearé los resultados hallados.

Muchas gracias por tu paciencia.

Saludos cordiales.

[Jvilchez]

Buenas @Javier Acuña , tras realizar varias pruebas con la VPN "caída":

- Tracer, Site-A to Site-B y viceversa, OK.

- Protocolos SSH, FTP, Site-A to Site-B y viceversa, OK.

- SMB, HTTP/HTTPS, Site-A to Site-B, OK // Site-B to Site-A, KO.

- Router WAN2(VPN) test de velocidad: 15Mbps subida/1,3Mbps bajada y latencia de 500+ms de respuesta transmitiendo el puerto RouterWAN-Cisco a FastEthernet.

¿Es posible que el ancho de banda del RouterWAN2(VPN) esté afectando a la estabilidad del túnel? Seguro...

Por otro lado, en el Site-A, el router del proveedor ISP es de Movistar, no se si tiene el Firewall levantado ya que no dan acceso a él y este acabe bloqueando peticiones de SMB, HTTP/HTTPS por que detecte múltiples conexiones y piense que es un ataque... Pendiente hablar con el proveedor para que me verifiquen el estado de ese Firewall y en caso de que esté levantado, que lo deshabiliten, ya que controlo todo desde el Cisco.

Saludos cordiales.

[iotovmbp74475]

Tengo el mismo problema con un escenario similar, de un lado tengo Fibertel y del otro lado Movistar.

Firmware 10.0.03.27

Cuando del lado que esta Movistar pongo Fibertel (y ambas conexiones quedan con Fibertel) El problema (similar al que describis) deja de existir!!!
Pero cuando llamo a Movistar indican que el servicio no tiene limitacion de ningun tipo...*"#!*

[Jvilchez]

Tras snifar todo el tráfico de Red, descubrí que el túnel VPN utiliza
puertos por encima de 50.000. Al realizar una DMZ en el router de Movistar
que apunte hacia tu Cisco, no te derivan lo puertos por encima del
50.000-55.000 (no recuerdo exactamente) en adelante. Por ende, cuando un
paquete intenta viajar por encima, nunca llega a su destino y el túnel se
cae. Elimina a Movistar de la ecuación y todo funcionará correctamente.

¡Ya me cuentas!