vpn tra un pc(mediante software)dietro asa e un routerRemoto

[ErGasti]

Salve avrei il seguente problema:
router zyxel - asa 5505 che fa da firewall, pc con software per vpn (ZyWALL IPSec VPN Client) la comunicazione inizia ma non si chiude la vpn
(l'asa fa anche da vpn server)

Se qualcuno ha idea di cosa vada aggiunto alla conf. dell'asa per lasciar passare la comunicazione..... Grazie

[ErGasti]

Giusto per curiosità, hai provato a collegare il pc con il client vpn zyxel dietro la dmz dell'asa per vedere cosa succede? Se così funzionasse potresti provare a creare una regola che lasci passare tutto il traffico udp inbound generato dal indirizzo ip del router vpn zyxel verso i client interessati.
Che intendi per

(l'asa fa anche da vpn server)

Ci sono dei client remoti che si connetto alla rete collegata dietro all'asa tramite client vpn cisco?
Emiliano

Prima di tutto: Grazie!
intendo che l'asa è configurato per:

Codice: Seleziona tutto

crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
crypto dynamic-map CRYPTO-dyn 10 set transform-set ESP-3DES-SHA
crypto dynamic-map CRYPTO-dyn 10 set security-association lifetime seconds 288000
crypto map CRYPTO 10 ipsec-isakmp dynamic CRYPTO-dyn
crypto map CRYPTO interface outside
crypto isakmp enable outside
crypto isakmp policy 10
 authentication pre-share
 encryption 3des
 hash sha
 group 2
 lifetime 86400
crypto isakmp nat-traversal 21
...........................
.....................
...........
webvpn
group-policy CRYPTO internal
group-policy CRYPTO attributes
 vpn-simultaneous-logins 10
 vpn-tunnel-protocol IPSec
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value crypto
username .................
username CRYPTO ........
 vpn-group-policy CRYPTO
 vpn-group-policy CRYPTO
tunnel-group CRYPTO type remote-access
tunnel-group CRYPTO general-attributes
 address-pool CRYPTO
 default-group-policy CRYPTO
tunnel-group CRYPTO ipsec-attributes
 pre-shared-key *****
!
class-map inspection_default
 match default-inspection-traffic
!

per permettere al pc di attraversare l'asa per collegarsi in vpn con il software zyxel ho aggiunto:

Codice: Seleziona tutto

access-list static extended permit udp host ipRemoto any range 1 490
access-list cap-in extended permit ip host ipPC host ipRemoto
access-list cap-in extended permit ip host ipRemoto host ipPC
access-list cap-out extended permit ip any host ipRemoto
access-list cap-out extended permit ip host ipRemoto any

Grazie