Ipsec Freebsd + Cisco - не запускается

[ita]

2 фаза сейчас как выглядит ?

Нет. Сейчас так

Код: Выделить всё

sainfo (subnet 10.10.104.1/32 any address 10.10.17.4/32 any)
{
        pfs_group 2;
        lifetime time 8 hour;
        encryption_algorithm 3des;
        authentication_algorithm hmac_sha1;
        compression_algorithm deflate;
}

по поводу убрать pfs_group 2; я писал выше.

Настройки второй стороны:

Код: Выделить всё

tunnel-group 1.1.1.1 type ipsec-l2l
tunnel-group 1.1.1.1 general-attributes
 no accounting-server-group
 default-group-policy DfltGrpPolicy
tunnel-group 1.1.1.1 ipsec-attributes
 pre-shared-key *****
 peer-id-validate req
 no chain
 no trust-point
 isakmp keepalive threshold 10 retry 2

crypto isakmp policy 50
 authentication pre-share
 encryption 3des
 hash sha
 group 2
 lifetime 86400

crypto map outside_map 1 match address outside_cryptomap
crypto map outside_map 1 set peer 1.1.1.1
crypto map outside_map 1 set transform-set ESP-3DES-SHA
crypto map outside_map 1 set phase1-mode aggressive 

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[gumeniuc]

попробуйте так

Код: Выделить всё

exchange_mode aggressive

поменяйте 2ую фазу

Код: Выделить всё

sainfo (subnet 10.10.104.1/32 any address 10.10.17.4/32 any)
{
        lifetime time 1 hour;
        encryption_algorithm 3des;
        authentication_algorithm hmac_sha1;
        compression_algorithm deflate;
}

[gumeniuc]

Ошибся, вроде в асе sa lifetime по умолчанию 8 часов. Так что надо убрать только pfs

[ita]

Вроде работает. Огромное спасибо.

Итог:
1.не верная запись в sainfo
2.pfs_group 2; мне оказался не нужен.
3. возможно exchange_mode aggressive - с первоначальной настройкой не пробовал.
вернуть lifetime пока тоже не пробовал.