connection timed out; remote host not responding的解决方法

您好，
r1#ping 20.1.1.1
type escape sequence to abort.
sending 5, 100-byte icmp echos to 20.1.1.1, timeout ** 2 seconds:
!!!!!
success rate ** 100 percent (5/5), round-trip min/**g/max = 76/101/132 ms
r4#telnet 10.1.1.1 /source loopback 0
trying 10.1.1.1 …
% connection reset by user
—————————————————–
r4#telnet 10.1.1.1 /source loopback 0
trying 10.1.1.1 … open
user access verification
password:
r1>
配置一切正常…vpn基本实验完成
ping可以成功也说明防火墙没有收到高到低回来ping没有接受监控必须放行才能通的限制，证明在vpn默认情况下，asa是不做检查直接进来的加密流量解密后就放行了
=====================================================================
如果在这个时候我们在防火墙上敲如下命令：
c**coasa(config)# no sysopt connection permit-vpn
这个时候在做测试：
r1#telnet 20.1.1.1
trying 20.1.1.1 … open
user access verification
password:
r4>q
[connection to 20.1.1.1 closed by foreign host]
—————————————————
r1#ping 20.1.1.1
type escape sequence to abort.
sending 5, 100-byte icmp echos to 20.1.1.1, timeout ** 2 seconds:
…..
success rate ** 0 percent (0/5)
————————————————–
r4#telnet 10.1.1.1 /source loopback 0
trying 10.1.1.1 …
% connection timed out; remote host not responding
这个时候我们发现只有r1—tcp（telnet）—r4流量是可以出去的，剩下的都不行了
这是因为r1—r4的流量是高到低的，防火墙默认是放行的，所以出去后回来的流量也被放行了
但是ping就不行了，因为icmp没有被默认监控所以回来的流量被丢弃
r4—-tcp（telent）—r1的流量因为是低去往高的所以直接来了就被丢弃
这个时候我们就会发现，防火墙默认这个命令是被关闭的，默认对加密流量直接进行解密就放行了
如果这个命令白开启，防火墙则需要在按照规则进行一次检查…
这个时候acl对流量进行放行
c**coasa(config)# access-l**t weiba extended permit tcp 20.1.1.0 255.255.255.0 10.1.1.0 255.255.255.0
c**coasa(config)# access-l**t weiba extended permit icmp 20.1.1.0 255.255.255.0 10.1.1.0 255.255.255.0
c**coasa(config)# access-group weiba in interface outside
—————————————————————————–
r4#telnet 10.1.1.1 /source loopback 0
trying 10.1.1.1 …
% connection timed out; remote host not responding
———————————————————————————
r4#telnet 10.1.1.1 /source loopback 0
trying 10.1.1.1 … open
user access verification
password:
r1>q
[connection to 10.1.1.1 closed by foreign host]
r4#ping 10.1.1.1 so 20.1.1.1
type escape sequence to abort.
sending 5, 100-byte icmp echos to 10.1.1.1, timeout ** 2 seconds:
packet sent with a source address of 20.1.1.1
!!!!!
success rate ** 100 percent (5/5), round-trip min/**g/max = 80/92/100 ms
放行后 流量正常可以ping和telnet了
asa l2l的时候
不用放行**a esp 流量
因为asa 的acl 不对到达自身流量做影响
sysopt connection permit-vpn
默认自动放行vpn解密后所有流量
如果想控制vpn解密后流量
no sysopt connection permit-vpn
再用acl控制
注释：
#默认asa运行vpn网络到其内部网络的所有入向流量，这意味着即使外部接口的入向acl拒绝这些加密的流量，asa仍然会放行。希望外部接口的acl对ipsec保护的流量进行检查过滤，可进行如下操作：
#1.在外部接口的acl中定义一个入向acl
#2.禁用vpn sysopt特性，它允许vpn上发起的新入向连接绕过所有访问列表检查。