The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Настройка GRE туннеля между маршрутизаторами Cisco (cisco tunnel gre)


<< Предыдущая ИНДЕКС Исправить src / Печать Следующая >>
Ключевые слова: cisco, tunnel, gre,  (найти похожие документы)
From:Alexey Nizhegolenko <ratibor@adminhouse.org.ua.> Newsgroups: email Date: Mon, 19 Dec 2007 14:31:37 +0000 (UTC) Subject: Настройка GRE туннеля между маршрутизаторами Cisco Текст можно взять здесь http://www.adminhouse.org.ua/cisco/zametki/gre/gre.html В данной заметке постараюсь вкратце описать процесс организации GRE туннеля между двумя Cisco маршрутизаторами. Generic Routing Encapsulation (GRE) - протокол туннелирования сетевых пакетов, разработанный фирмой Cisco. Этот протокол используется для передачи пакетов одной сети, через другую сеть. GRE туннель представляет собой соединение точка - точка, его можно считать одной из разновидностей VPN туннеля, без шифрования. Основное достоинство GRE (лично для меня) это возможность передавать широковещательный трафик, что позволяет пропускать через такой туннель протоколы маршрутизации использующие его, IPSec туннели в чистом виде этого не могут. Так что причин для организации GRE туннеля может быть множество от банальной необходимости пробросить свою сеть через чужое IP пространство до использования протоколов OSPF, RIPv2, EGRP совместно с IPSec. Так же GRE может помочь пробросить немаршрутизируюмые протоколы, такие как NetBios, IPX, AppleTalk. При использовании публичных сетей необходимо совместно с GRE применять IPSec для реализации защищенных VPN соединений, пример такой конфигурации описан здесь. В нашем случае построим простой GRE туннель через доверенную сеть, без шифрования. В примере мы уже имеем арендованный канал в удаленный офис, протокол маршрутизации OSPF, нужно организовать резервный канал к этому офису используя чужую IP сеть. Схема рассматриваемого примера изображена на рисунке: В примере участвуют два маршрутизатора, Cisco 2811 в главном офисе и Cisco 1841 в удаленном офисе. Между офисами имеется уже действующий асинхронный выделенный канал связи (10.10.255.0/30), так же в главном и удаленном офисе присутствуют каналы из "дружественной" сети 10.44.0.0 В нашем случае это Ethernet каналы, сеть 10.44.0.0 не против пустить наш трафик, осталось поднять GRE туннель и получить еще один канал связи между офисами. Организация GRE туннеля на Cisco довольно проста, ниже приведена выдержка из конфигурации двух участвующих маршрутизаторов. В простейшем случае нужно поднять на каждом из них виртуальный интерфейс Tunnel0 (номер интерфейса может быть другим) и провести простейшую его настройку. Назначить Tunnel0 ip адрес, указать интерфейс через который подымать туннель и ip адрес интерфейса удаленного маршрутизатора используемого для создания туннеля. Cisco 1841 удаленный офис: interface Tunnel0 description GRE tunnel to main office ip address 10.10.255.6 255.255.255.252 ip tcp adjust-mss 1436 tunnel source FastEthernet0/1 tunnel destination 10.44.2.1 interface FastEthernet0/0 description Lokalniy ethernet ip address 10.10.2.1 255.255.255.0 duplex auto speed auto interface FastEthernet0/1 description Network 10.44.0.0 ip address 10.44.3.2 255.255.255.0 duplex auto speed auto Cisco 2811 главный офис: interface Tunnel0 description GRE tunnel na office 1 ip address 10.10.255.5 255.255.255.252 ip tcp adjust-mss 1436 tunnel source FastEthernet0/1 tunnel destination 10.44.3.2 interface FastEthernet0/0 description Lokalniy ethernet ip address 10.10.1.1 255.255.255.0 duplex auto speed auto interface FastEthernet0/1 description Network 10.44.0.0 ip address 10.44.2.1 255.255.255.0 duplex auto speed auto При работе с GRE туннелями могут возникнуть проблемы с MTU пакетов пересылаемых через туннель, так называемая проблема бита DF, подробнее можно прочесть здесь. Параметром ip tcp adjust-mss 1436 я решил проблемы с пакетами имеющими бит DF, правда это поможет только для TCP сессий. Для отслеживания состояния GRE туннеля можно использовать опцию keepalive на Tunnel0 интерфейсе, подробнее можно прочесть здесь. Проверяем результаты нашего труда, командами sh interfaces tunnel 0, sh ip interface brief, sh ip ro ospf. Должен появится активный интерфейс Tunnel0 на обоих маршрутизаторах и новый маршрут в таблице OSPF. Таким образом мы получили еще один канал в удаленный офис с работающим через него OSPF используя чужую IP сеть. Этот простой пример не охватывает всех тонкостей работы с GRE туннелями, но позволит на простом примере быстро их настроить. Удачи ! Ratibor aka VOLAND ratibor@adminhouse.org.ua 17.12.2007

<< Предыдущая ИНДЕКС Исправить src / Печать Следующая >>

Обсуждение [ RSS ]
  • 1.1, denis (??), 23:39, 19/12/2007 [ответить]  
  • +/
    ip tcp adjust-mss 1436 выставляет не MTU, а размер окна TCP сессии, которые начинаю корректно работать даже при установленном DF бите. Для UDP проблема этой командой не решается. Более подробно: http://dormestmass.blogspot.com/2007/08/df.html
     
     
  • 2.2, VOLAND (ok), 09:40, 20/12/2007 [^] [^^] [^^^] [ответить]  
  • +/
    Спасибо за дельное замечание, действительно я немного не точно выразился по поводу параметра  tcp adjust-mss, Maximum Segment Size (MSS) на интерфейсе Tunnel. Он выставляет значениея MSS для TCP SYN пакетов отправленых через интерфейс, а не MTU самого интерфеса и будет действовать только для TCP сесиий.
     
  • 2.3, nick (??), 15:30, 20/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    не размер окна TCP сессии, ибо это бред,окно меняется постоянно в зависимости от условий среды, а именно MSS, это 2 большие разницы
     

  • 1.4, strideradmin (??), 11:16, 23/12/2009 [ответить]  
  • +/
    ip address 10.44.2.1 255.255.255.0
    из условий сетка между офисами 255.255.0.0
     
  • 1.5, Alexander (??), 12:14, 09/04/2011 [ответить]  
  • +/
    Я так понимаю на одном маршрутизаторе можно несколько тунелей ноднять.. Сколько они ресурсов сжирают?? с3825 потянет 60 тунелей??
     
  • 1.6, Ольга (??), 13:12, 22/03/2013 [ответить]  
  • +/
    Здравствуйте!
    Можно задать вопрос о GRE+BVI ?
    Нужно реализовать схему:
    офис1---switch---cisco------cisco---switch---офис2

    Т.е. объединить два офиса. В интере много статей на эту тему.
    Но у меня в обоих офисах одинаковые сети 192.168.0.х.
    При обычном туннелировании (типа GRE) в каждом офисе на каждом ПК надо ставить шлюзы до цисок,
    т.е. такой вариант не пройдет. Можно использовать L2TPv3, но это пока не реально в силу некоторых причин.
    А можно ли использовать GRE+BVI?
    Накидала такую конфигурацию:

    interface Tunnel0
      ip address 10.10.10.1 255.255.255.0 // На другой циске адрес туннеля = 10.10.10.2
       tunnel mode gre
       tunnel source FastEthernet0/1
       tunnel destination 1.1.1.2 // На другой циске указано на 1.1.1.1

    bridge irb
    bridge 1 protocol ieee
    bridge 1 route ip

    bridge-group 1
    bridge-group 1 spanning-disabled

    interface FastEthernet0/1
        ip address 1.1.1.1 255.255.255.0 // На другой циске 1.1.1.2
        duplex auto
        speed auto
        bridge-group 1

    interface FastEthernet0/0
      no ip address
      full-duplex
      no cdp enable
      bridge-group 1

    interface BVI1
      no ip address

    ip route 0.0.0.0 0.0.0.0 10.10.10.2 // На другой циске к 10.10.10.1 (надо ли?)

     
     
  • 2.7, Roman (??), 11:51, 15/04/2013 [^] [^^] [^^^] [ответить]  
  • +/
    Добрый день, Ольга!
    Да. Для того, чтобы офисы начали слать друг другу пакеты именно через туннель - строчка ip route 0.0.0.0 0.0.0.0 10.10.10.2 необходима.
    Более того, чтобы поднялся протокол туннеля необходимо, чтобы циска хоть куда-нибудь стала слать пакеты с адресом 1.1.1.2 (дестинейшн). Тем не менее работать он не будет. Чтобы поднялся туннель надо прописать еще один роут (более точный): 1.0.0.0 255.0.0.0 1.1.1.3 (3 - это пример. Тут надо указать второй конец линка вашего fa0/1. Маску я так же указал рандомную. Всё зависит от настроек линка с провайдером). По мимо этого маршрутизаторы провайдера должны знать о сети 1.1.1.0.
     

  • 1.8, ali (??), 15:03, 09/01/2019 [ответить]  
  • +/
    я настроил gre tennel между 3 роутера у меня проблема туннели по один сторону видит а па другой стране не видит
    у меня 3 cisco router и один в середине  
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:




    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2020 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру