всем привет!
попала в мои руки такая железяка, надежная, недорогая - на авито зачастую отдают дешевле чем блок питания к ней стоит. для небольшой сетки в самый раз. короче всяко лучше китайского барахла. одно плохо - доки не найти, cisco.com посылает нахрен :( ну да ладно, вспомнил что помнил, настроил, интернет есть, вайфай работает, vpn для доступа снаружи поднял, одно плохо - хочется чтобы адреса раздавались по соответствующим интерфейсам - для вайфая из одного пула, для эзернета из другого - но никак не получается :( что нужно сказать на dot11radio0? все работает без заморочек через бридж. может кто чего подскажет?
софт  C870 Software (C870-ADVIPSERVICESK9-M), Version 12.4(24)T6, RELEASE SOFTWARE (fc2)
три dhcp pool по 32 адреса из одной сети - для эзернет, вайфай, ppp - тут все как часы, а вот для вайфай циска упорно берет адреса из пула для езернета. адрес роутера на бридже, но даже если присвоить адрес радио интерфейсу из нужного пула - циска плюет на него. если нужен будет конфиг - кину.

Все привет.
По какой технологии оптимальнее объединить две сетки со шлюзами Cisco и Mikrotik?
Cisco в сети Ростелеком получает по dhcp приватный адрес. Mikrotik в сети другого провайдера и имеет статический публичный айпишник. Нужно запилить туннель Cisco -> Mikrotik. Черканите, кто знает. Заранее благодарю.

Всем доброго времени суток. У меня вопрос связан с айпи камерой, и возможным способом бесплатного подключения к любому облачному хранилищу. По месту провели оптоволокно, соответственно я не растерялся и связался с ростелекомом для подключения. Поставили роутер, затем тариф подразумевает 300мбит/сек - ну сами понимаете сорвался от такого счастья..-), взял только пакет интернета и также айпи камеру - IR NETWORK CAMERA model:DS-I 120 4 m m. Взять та я её взял, и подключить не проблема смогу сделать всё необходимое для этого. Но проблема проявилась в том, что все облачные хранилища которые гуглю в инете и набираю специалистам - являются платными, что не актуально для меня, ведь у меня просто частный дом и она стоит - так чтобы было, то есть не для магазина и прочего, потому платить именно за таковое вообще не хочется с учётом того, что я и сам не совсем чайник в технике, потому имею таковое внутреннее состояние не платить какому-то дяденьке по его тарифу а сделать всё своими руками, но вот беда что везде только лишь битая информация, все разговаривают таким языком, что лижбы урвать кусок, либо пошёл ты.. . Я понимаю что бесплатный сыр лишь в мышеловке, но всё же действительно способен и хочется просто её установить и записывать видеотрансляцию куда-либо, то есть например в облако, но не хочется писать на жёсткие диски и тем более флэшки - что со временем в связи с частой записью быстро выйдут из строя!и также не хочется платить какому-то дядя ежемесячно, за то, что можешь сделать сам. Ребят подскажите по поводу этой айпи камеры плиз, что с нею можно выжать по максимуму для удобства пользования, роутер у меня от ростелекома, какая именно камера я уточнил раннее, нужно бесплатное облако для этой камеры, чтобы избежать записи на носители что в скором времени выйдут из строя из-за частой записи ну и вообще не хочется вникать в таковой вариант действий, потому акцент на облако. Какие бесплатные облака можно для неё использовать, ну или найти аналоговые решения?? спрашиваю потому как уже задрался искать ответ на мой вопрос, выручайте ! За абсолютно каждый вразумительный полезный ответ, я буду Вам очень благодарен и признателен!!!! только одна просьба, просто такое часто бывает, что в ответе просто с умничали а толку та.., потому если можно если по ситуации у Вас получается, то напишите более подробно и понятным языком порядок действий как это всё происходит. Обнял каждого, всем всех благ, и побольше улыбок в вашем окружении

Добрый день!
Подскажите, в чем может быть проблема. Есть 3 виртуальных стерры, две из них резервируют друг друга по протоколу VRRP.
При попытке построить VPN туннель выходит ошибка на одном: https://prnt.sc/cK_ivhdZH81w, и на втором: https://prnt.sc/hFC1EFomvtso. Схема сети такая: https://prnt.sc/5klYSg_OtYOw. Cisco-like конфиги тут: https://www.dropbox.com/scl/fo/nxfh0y8mv0rt1e0zqhnu6/h?rlkey...
Буду очень благодарен если поможете)

Добрый день.
Стоит задача настройки AnyConnect Client VPN на ASA5540 для доступа в корпоративную сеть, который будет отказывать в установлении соединения по условию.
Влияния на клиента нет. Т.е. технология Microsoft NAP не подходит из-за необходимости клиентской части.
Подскажите, пожалуйста, какие есть пути решения? В сторону каких технологий/ настроек посмотреть?
Заранее спасибо!

не проходят звонки с голосового шлюза cisco 2901 только по одному направлению , Египет, Александрия. Оператор сообщает, что наше оборудование настроено некорректно.

команда show call history voice compact выдает код disc-cause D1C и D0

1790720 ORG     T0     g711ulaw    TELE        P8102035833534                          D1C
1790719 ANS     T0     g711ulaw    VOIP        P4015     192.168.19.3:26256   D0
1790721 ORG     T0     g711ulaw    VOIP        P8102035833534   213.170.81.130:14434   D0

в логе звонка DisconnectCause=0

Что не так с настройкой с нашей стороны или это проблема у оператора?

Не нашел где почитать о кодах disc-cause

День добрый,
Есть локальная сеть 192.168.150.0/24 в ней gsmsip gateway 192.168.150.7
все это за микротиком с внешним LANIP 192.168.150.1 WANIP 123.123.123.123
у хостера стоит микротик WANIP 234.234.234.234 LANIP 11.0.0.1
за микротиком у хостера стоит сервер на базе PROXMOX(DEBIAN) LANIP 11.0.0.100 LinuxBridgeIP 12.0.0.1
внутри (PROXMOX-а)стоит виртуалка с астериском LANIP 12.0.0.101
Задача поднять VPN типа IPIP между микротиком(123.123.123.123)(на микротике просто создаи интерфейс IPIP) и астериском(12.0.0.101)
при этом IP адреса в тунеле будут микротик 10.60.60.2 астериск 10.60.60.1
Proxmox натит все что надо в Астериск.
Вопрос - что надо пробросить протоколы/порты на микротике у хостера (WANIP 234.234.234.234) и что пробросить на линуксе в PROXMOX.

Здравствуйте,  есть большой список сайтов которые необходимо заблокировать NBAR с ним не справляется т.к. ограничения на 24 условия.
CBAC не приниматься команда  ругается на inspect в ip inspect name webfilter http urlfilter.
Пробовали и ip urlfilter exclusive-domain deny www.yahoo.com
ip urlfilter exclusive-domain deny www.cisco.com
ip inspect name WEBFILTER http urlfilter то же не принимается.
Подскажите как быть .... уж сил нет ....в наличии ISR4321/K9  Cisco 4320 она вообще может что-то??

Добрый день.
Появились в хозяйстве маршрутизаторы Huawei AR6121 и 6280 с софтом V300R022.
Штука новая, до этого с Huawei не приходилось иметь дело.
В процессе переноса настроек с Cisco в части ACL столкнулся с тем, что не могу понять, есть ли у Huawei нечто похожее на object-group, которое есть у Cisco.
В документации нашел только про
User ACL (UCL). Defines rules based on the source/destination IP address, source/destination service group, source/destination user group, source/destination port number, and protocol type. (https://support.huawei.com/enterprise/en/doc/EDOC1100278568/...)
Но как я понял, это не про object-group.
Подскажите, существует ли оно у Huawei, и если да, то где почитать.

Всем привет,

Имеется Cisco 1941/K9. Постоянно вращает вентилятором на максимуме. Есть ли возможность управлять оборотами либо если в чём-то проблема, как-то её диагностировать?

С меня, как всегда... )

Всем привет.
Впорос про 6500 и 7600 - в последнее время у вас не появились частые перезагрузки?
У меня 2 железки начиная с 15 декабря по 2-3 раза в день переходят в перезагрузку без всяких видимых причин.
Софт обновил, конфиг 100 раз перепроверил, крешфайлы почитал...во всех случаях перезагрузка вызвана программным сбоем.
Не знаю что может быть :(

Всем привет.
Объясните вкратце в чем различие прошивок. Качнул торрентом коллекцию IOSов и для своей модели c3750 обнаружил:
*ipservices*
*ipservices-mz*
*ipserviceslmk9*
*ipservicesk9*
*ipbase*
*ipbase-mz*
*ipbaselm*
*ipbaselmk9*
*ipbasek9*
*ipbasek9-mz*
*i9-mz*
*i5*
*i5-mz*
*advipservicek9*
*advipservicek9-mz*
Что всё это значит?

Коллеги, добрый день!
Помогите, пожалуйста, в банальной задаче.
Есть корпоративная сеть работающая на Cisco 3850 (Ядро), Cisco 2960 (DMZ) и Cisco ASA
Схема подключения отражена в облаке, по ссылке https://dropmefiles.com/Yl9uv

Задача: сделать для ПК маршрут таким образом, чтобы в Интернет выходить через IP адрес 10.3.0.130 (VDOM ROOT). В системе не было никаких настроек Прокси сервера.

Сейчас все пользователи выходят через IP 10.3.0.244 (VDOM Proxy)
Когда FortiGate100D внедряли никаких спец. маршрутов не делали.
С ПК 10.343.79.2 адрес 10.3.0.130 пингуется

C:\WINDOWS\system32>tracert 10.3.0.130

Трассировка маршрута к 10.3.0.130 с максимальным числом прыжков 30

  1     2 ms     2 ms     1 ms  10.43.79.1
  2    <1 мс    <1 мс     1 ms  10.3.0.130

Трассировка завершена.

C:\WINDOWS\system32>ipconfig

Адаптер Ethernet Ethernet:

   DNS-суффикс подключения . . . . . :
   Локальный IPv6-адрес канала . . . :
   IPv4-адрес. . . . . . . . . . . . : 10.43.79.2
   Маска подсети . . . . . . . . . . : 255.255.255.0
   Основной шлюз. . . . . . . . . : 10.43.79.1

Основной шлюз живет на Cisco 3850
Если я убираю настройки прокси сервера в системе и включаю снифер на 10.3.0.130, то никаких пакетов в принципе не приходит.
Сейчас у юзеров прописан адрес прокси сервера 10.3.0.244
Мне нужно, чтобы никаких настроек прокси в системе у юзеров не было.
Понимаю, что не всю инфу привел. Скажите какую я предоставлю.

Народ, подскажите модель коммутатора...
Нужен коммутатор 3 уровня, с гигабитными Ethernet портами, в количестве >=16.
Производитель и исполнение не важно.
Ищу архивную модель по причине крайне ограниченного бюджета и возможностью покупки б/у на avito.
С меня, как обычно.

Беру коммутатор Edge-Core 3528M и соеденияю его через консольный кабель с ПК. В порт номер 1 этого коммутатора подключаю сетвой кабель и соединяю его с компьютером. В сетевых параметрах Ethernet ip - адреса нет, определяется как неопознанная сеть. Открываю программу Putty, настраиваю так: Serial line - COM3, Speed - 9600, Connection type - Serial, нажимаю Open.
Далее, заходит в консоль конфигурации коммутатора:
  Настраиваю конфигурацию, так:
User Access Verification
Username: admin
Password:
    CLI session with the ES3528M is opened.
    To end the CLI sesion, enter [Exit].
No configured settings for reloading.
Console#config
Console(config)#interface vlan 1
Console(config-if)#ip address 192.168.0.1 255.255.255.0'
Console(config-if)#exit
Console(config)#exit
Console#cop r s
Startup configuration file name [r]:
Write to flash programming.
Programming flash started.
Success.
Console#exit.

Далее захожу в браузер в адресной строке прописываю адресс 192.168.0.1 и web - интерфейс НЕ открывается. Ошибка?...

Здравствуйте!

К уже работающей сети с ASR1004 пытаемся добавить ASR9001.
RADIUS пока тот-же и с теми же правилами. На сети у нас IPoE и авторизуем пользователей по первому L3 пакету.
Проблема в том, что полученные от RADIUS-а ответы ASR9001 не может правильно интерпретировать.
Получено:

EXITTING 'radius_decrypt'
Radius packet decryption complete with rc = 0
:::
 RADIUS:  Vendor,Cisco        [26]    23
 RADIUS:   ssg-account-info    [250]  17      ABiz_1024000000
 RADIUS:  Vendor,Cisco        [26]    14
 RADIUS:   ssg-account-info    [250]  8       ALocal
 RADIUS:  Vendor,Cisco        [26]    31
 RADIUS:   Cisco AVpair        [1]    25      accounting-list=default

А это работа парсера и итог:

ENTERING 'rad_nas_reply_to_client'
:::
Decoding the attribute: Vendor-Specific, aaa_type invalid attribute, flags 0x21
VSA type 250
Decoding the attribute: Vendor-Specific, aaa_type invalid attribute, flags 0x21
VSA type 250
Decoding the attribute: Vendor-Specific, aaa_type invalid attribute, flags 0x21
:::
Error while getting authentication type
:::
EXITTING 'rad_nas_reply_to_client' with error [AFDF8E00] 'AAA ATTR' detected the 'fatal' condition 'Invalid attribute found'

Версия ASR9001 asr9k-bng-6.9.2.

Инет перешерстил, решения пока не нашел. Может кто сталкивался и знает решение?

Есть Сетевой адаптер HP FlexibleLOM Adapter, 554FLR, 2x10Gb, FlexFabric, SFP+  будет ли с ним работать Трансивер HP 1Gb SFP RJ-45 ?

Есть маршрутизатор CISCO (IOS 12.4 если это зачем-то важно).
Есть вот такая схема сети (связаны два корпоративных сегмента):

сеть2 10.0.2.0/24 - router2 - router1 - cеть1 192.168.1.0/24

При этом между сетями должен ходить трафик, но сеть2 принимает пакеты только от адресов 10.0.0.0/8, допустим. Сделать с этим ничего нельзя (router2 недоступен по управлению).

Соответственно на router1 устраиваем статический NAT и всё прекрасно работает:

Int e1
rem сеть1
Ip addr 192.168.1.1/24
Ip nat inside

Int e2
rem к сети2
172.16.0.1/30
Ip nat outside

ip route 10.0.2.0 255.255.255.0 e1
ip nat inside source static network 192.168.1.0 10.0.1.0 /24

Причем трансляция получается  "один в один", сохраняются все номера портов и если пакет ушёл из сети1 от адреса, допустим от 192.168.1.10, то в сети2 он виден как пришедший от 10.0.1.10, то же самое для любого адреса - т.е. все отправители пакетов, пришедших в сеть2, там однозначно идентифицируется (что нужно).

а теперь задача усложняется. кроме подключения к сети2 на router1 появляется подключение допустим, к Интернету (сети3).

                                сеть3 (интернет)
                                 ^
                                 |
сеть2 10.0.2.0/24 - router2 - router1 - cеть1 192.168.1.0/24

а в сети1 есть один хост (допустим, 192.168.1.100), который должен как ходить как в сеть 2 по прежней схеме, так и в сеть3 (Интернет). А остальные хосты должны по прежнему ходить в сеть2, но не должны в сеть3.

казалось бы должно сработать что-то вроде:

Int e1
rem сеть1
Ip addr 192.168.1.1/24
Ip nat inside

Int e2
rem в сеть2
172.16.0.1/32
Ip nat outside

Int e3
в сеть 3
1.1.1.1/29
ip nat outside

ip route 10.0.2.0 255.255.255.0 e1
ip route 0.0.0.0 0.0.0.0 1.1.1.2

ip nat inside source static network 192.168.1.0 10.0.1.0 /24
ip nat inside source list 150 int e2 overload

access-list 150 rem описывает весь трафик с 192.168.1.100, кроме отправленного в сеть 10.0.2.0 - и этот трафик должен бы попадать в соответствующую запись nat
access-list 150 deny ip host 192.168.1.100 10.0.2.0 0.0.0.255
access-list 150 permit ip ip host 192.168.1.100 any

Но ничего не получается. Трафик от 192.168.1.100, согласно таблицам трансляции и статистике nat, сначала транслируется в трафик от 10.0.1.100, а потом, если отправлен в произвольную сеть, а не на 10.0.2.0, то вообще никуда не попадает.

Понятно, что что-то делаю не так. Но как получить желаемое иначе - придумать не могу.
                                
                                

Здравствуйте. Такая проблема. Тренировался прошивать коммутатор cisco 2950. Через tftp все получилось сделать, оказалось во флеш памяти две версии прошивки. Решил идти дальше и удалил обе прошивки. Естественно коммутатор щас не разгружаться. Пытаюсь выйти в rommon> не получается. Только switch:
Как и с помощью какой программы забросить туда прошивку?

Здравствуйте!

С древних времен VPN создан на cisco 2800, которая перенаправляла запросы на радиус сервер, где проходит авторизация. Т.е на nps сервере добавлена группа AD. Чисто случайно заметил, что человек не состоящий в доменной группе, настроил и подключился к VPN используя свои логин и пароль домена.

На радиус сервере циска как клиент присутствует.

В свойствах учетной записи пользователя, на вкладке Входящие звонки параметр Разрешить доступ стоит - Управление доступом на основе политики сети NPS

Вывод с циски

2811#sh run | i radius
aaa authentication ppp default group radius local
radius-server host 10.3.0.34 auth-port 1645 acct-port 1646   - это радиус другого домена
radius-server host 10.3.0.23 auth-port 1645 acct-port 1646   - это мой радиус
radius-server key 7

Мой НПС сервер по мимо ВПН, еще и к корпоративному wifi доступ разрешает.

Соответственно в логах помимо ВПН еще и вайфайное подключение фигурирует по юзеру - BAA

Посмотрел логи до интересующей меня даты в них нет строки с "NPS" и с названием группы "VPN Allow"

Можете подсказать в решении проблемы?
Как мне правильно debug посмотреть на cisco?

Добрый день, кто-нибудь поделитесь прошивкой
asr1001-universal.03.16.10.S.155-3.S10-ext.bin

Есть внешний адрес 81.200.111.9

В локалке с НАТ есть ASTERISK с адресом 192.168.222.152 ему уже над полный доступ для выхода в интернет.

Прописал на cisco asa для проброса порта 5060 следующие строки:

object network ASTERISK_NAT
host 192.168.222.152
object service udp_5060

service udp destination eq 5060
object service udp_6000
service udp destination eq 6000

object-group service DM_INLINE_SERVICE_12
access-list Metromax_Internet_access_in remark Allow ASTERISK from EXTERNAL
access-list Metromax_Internet_access_in extended permit ip any object ASTERISK_NAT
access-list Metromax_Internet_access_in extended permit udp any any range 10000 20000

object network ASTERISK_NAT
nat (any,Metromax_Internet) static interface service tcp 5060 6000

Теперь из интернета с адреса 81.200.111.9 регистрация на моем ASTERISK проходит, но при звонке в обе стороны не слышно абонента на обоих концах.

Что надо и где прописать, чтобы был голос при звонке?

Привет.
В наличии HP5500 JG542A
Подскажите как посмотреть какой на данный момент management vlan?
И как включить доступ между vlan?

Всем привет!

Есть cisco asa 5516x, один внешний ip, esxi с десятком вебсайтов. Переезжаю с kerio control. У керио встроенный reverse proxy решает вопрос. У циски можно через SNI реализовать? HTTPS мне достаточно.

Кто знает, подскажите на примере?

Всем привет!
Столкнулся с очень странной (для меня) проблемой:
Возникают потери на ip адреса интерфейсов, при этом на hsrp адрес их нет.

Схема состоит из 3 L3 коммутаторов.
Настройки интерфейсов SW1 и SW2:

SW1
show running-config interface Vlan666
interface Vlan666
  no shutdown
  vrf member test1
  ip address 10.0.0.3/29
  hsrp version 2
  hsrp 666
    ip 10.0.0.1
    
SW2    
show running-config interface Vlan666
interface Vlan666
  no shutdown
  vrf member test1
  ip address 10.0.0.2/29
  hsrp version 2
  hsrp 666
    ip 10.0.0.1

SW3 соединен с SW1 и SW2 при помощи провайдерского Q-in-Q:
SW3    
  interface Vlan666
  no shutdown
  vrf member test1
  ip address 10.0.0.6/29

Проблема выглядит так:
При пинге с SW3 (10.0.0.6) адреса 10.0.0.1 - потерь нет.
Но при пинге с SW3 (10.0.0.6) адресов 10.0.0.2 и 10.0.0.3 потери до 70%.

В обратную сторону (с 10.0.0.2/10.0.0.3 на 10.0.0.6) - потери также есть, т.к. там source-ом выступает адрес интерфейса.

Сначала думал, что у провайдера проблемы, но при этом пинг на 10.0.0.1 также жолжен был бы давать потери.

Кто-то сталкивался с подобной проблемой?

Здравствуйте, подскажите в какую сторону смотреть есть cisco 881 конфиг простой:
Building configuration...

Current configuration : 1040 bytes
!
! Last configuration change at 08:07:58 UTC Thu Jun 15 2023
!
version 15.5
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Cisco_881_PVO
!
boot-start-marker
boot-end-marker
!
!
no logging console
!
no aaa new-model
ethernet lmi ce
memory-size iomem 10
!
!
ip cef
no ipv6 cef
!
!
license udi pid C881-K9 sn FCZ194293Q7
!
!
interface FastEthernet0
switchport mode trunk
no ip address
!
interface FastEthernet1
no ip address
!
interface FastEthernet2
no ip address
!
interface FastEthernet3
no ip address
!
interface FastEthernet4
no ip address
duplex auto
speed auto
!
interface Vlan1
no ip address
!
interface Vlan703
no ip address
!
interface Vlan707
no ip address
!
interface Vlan708
ip address 20.10.4.239 255.255.255.0
!
ip forward-protocol nd
no ip http server
no ip http secure-server
!
!
!
!
!
!
line con 0
no modem enable
line aux 0
line vty 0 4
login
transport input none
!
scheduler allocate 20000 1000
!
end

Cisco_881_PVO# tada dase
                ^
% Invalid input detected at '^' marker.

Cisco_881_PVO#data base
               ^
% Invalid input detected at '^' marker.

Cisco_881_PVO#vtp domain autotest
                  ^
% Invalid input detected at '^' marker.

Cisco_881_PVO#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Cisco_881_PVO(config)#vtp domain autotest
Changing VTP domain name from NULL to autotest
Cisco_881_PVO(config)#vtp mode transparent
Setting device to VTP TRANSPARENT mode.
Cisco_881_PVO(config)#Setting device to VTP TRANSPARENT mode.
Cisco_881_PVO#sh run
Building configuration...

Current configuration : 1148 bytes
!
! Last configuration change at 08:20:50 UTC Thu Jun 15 2023
!
version 15.5
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Cisco_881_PVO
!
boot-start-marker
boot-end-marker
!
!
no logging console
!
no aaa new-model
ethernet lmi ce
memory-size iomem 10
!
!
ip cef
no ipv6 cef
!
!
license udi pid C881-K9 sn FCZ194293Q7
!
!
vtp domain autotest
vtp mode transparent
!
!
vlan 703
name LAN_TEU
!
vlan 707
name CAM
!
vlan 708
name LAN
!
!
interface FastEthernet0
switchport mode trunk
no ip address
!
interface FastEthernet1
no ip address
!
interface FastEthernet2
no ip address
!
interface FastEthernet3
no ip address
!
interface FastEthernet4
no ip address
duplex auto
speed auto
!
interface Vlan1
no ip address
!
interface Vlan703
no ip address
!
interface Vlan707
no ip address
!
interface Vlan708
ip address 20.10.4.239 255.255.255.0
!
ip forward-protocol nd
no ip http server
no ip http secure-server
!
!
line con 0
no modem enable
line aux 0
line vty 0 4
login
transport input none
!
scheduler allocate 20000 1000
!
end\
Ноутом (20.10.4.239) встаем на interface FastEthernet0 пинга нет, но пишет 100% отправлено пакетов. по telnet  то же зайти не дает(

Доброго всем нам дня, Товарищи!

Помогите пожалуйста мне разобраться с таким вопросом. У нас на предприятии филиальная сеть, построена она на микротах с VPN подключениями к центральному микроту. Маршрутизация в рамках сети статическая, т.е. на микротах прописаны маршруты куда надо. А надо на самом деле только из филиалов к одному и тому же набору хостов за центральным. Т.е. одному филиалу в другой идти не требуется.

Это всё преамбула, вопрос вот в чём:
Появилось сделать маршрутизацию динамической. Изучив этот вопрос я остановился на OSPF протоколе. Теперь хочу уточнить детали, как лучше производить этот переход? Если я на центральном маршрутизаторе активирую ospf - то имеющаяся статическая маршрутизация слетает или продолжит нормально функционировать? Получится ли в спокойном режиме филиал за филиалом переключать на ospf или уж если начал - то всё слетит пока не будет переведено на новые рельсы?

Дайте пожалуйста свои рекомендации по этому вопросу.

Спасибо!

Всем привет!
Возвращаюсь к своему не решенному вопросу.

Итак, крупная схема сети по ссылке
https://dropmefiles.com/PcSOp

Задача:
1. трафик к внутренним сетям ходил по красной линии
2. трафик к внешним сервисам ходил по синей линии

Все оборудование слева о CORE это DMZ зона, которая толком не используется из-за внедрения FortiGate
Единственное, что осталось рабочим так это VPN, который так же в будущем должен приземляться на FortiGate.

На CORE я пока PBR отключил для vlan437 (сеть 10.43.79.0/24), так  как в эталонной сети, где будут юзеры сидеть PBR не должен использоваться.
Для сети 10.43.79.0/24 опцию DHCP 252 отключил.
Винда Win10 Pro, в настройках прокси снял все флаги, в том числе и автоматическое определение параметров прокси сервера.

На FortiGate в VDOM PROXY я сделал правило для блокировки трафика от сети 10.43.79.0/24
На FortiGate в VDOM ROOT я с делал правило, которое разрешает ВСЕ, поднял в самый верх

Что имею после всех манипуляций. Внутренние ресурсы не доступны, ни 1С ни Портал. Интернета нет вообще.
Захватываю трафик c помощью Wireshark (не сильный в нем спец), и вижу, что мой ПК общается исключительно с 10.3.0.244 (это VDOM PROXY).

Я откровенно не понимаю каким маршрутом оперирует cisco 3850 Core, когда я со своего ПК (10.43.79.2) пытаюсь открыть ya.ru. На Core дефолтный маршрут  0.0.0.0/10.0.1.41  это ASA. На ASA нет никаких отдельных правил для адресов 10.3.0.244 и 10.3.0.130
И в моем понимании маршрут до внутренних сервисов должен обеспечиваться интервланроутингом на CORE, так как шлюзы сетей 10.43.79.0 и  10.45.5.0 живут на CORE

vtz-asa5510# sh run | i 10.3.0.
access-list outside_access_in extended permit ip 10.33.0.0 255.255.0.0 10.3.0.0 255.255.255.0
access-list outside_access_in extended permit tcp 10.0.0.0 255.255.255.240 host 10.3.0.10 eq 3389
access-list outside_access_in extended permit ip 10.33.111.0 255.255.255.0 host 10.3.0.12
access-list outside_access_in extended permit tcp host 10.0.1.46 host 10.3.0.23 range 1645 1646
access-list outside_access_in extended permit udp host 10.0.1.46 host 10.3.0.23 range radius radius-acct
access-list outside_access_in extended permit tcp host 10.0.1.46 host 10.3.0.23 range 1812 1813
access-list outside_access_in extended permit ip host 10.0.1.46 host 10.3.0.23
access-list outside_access_in extended permit ip 10.55.33.0 255.255.255.0 10.3.0.0 255.255.255.0
access-list outside_access_in extended permit ip host 10.0.1.46 host 10.3.0.54
access-list outside_access_in extended permit tcp any host 10.3.0.12 eq https
access-list outside_access_in extended permit tcp any host 10.3.0.28 eq https
access-list outside_access_in extended permit ip 192.168.40.0 255.255.255.0 10.3.0.0 255.255.255.0
access-list outside_access_in extended permit udp host 10.0.1.50 host 10.3.0.9 eq 8818
access-list outside_access_in extended permit udp host 10.0.1.46 host 10.3.0.9 eq 8818
access-list outside_access_in extended permit tcp host 10.0.1.46 host 10.3.0.123 range 1645 1646
access-list outside_access_in extended permit udp host 10.0.1.46 host 10.3.0.123 range radius radius-acct
access-list outside_access_in extended permit udp host 10.0.1.50 host 10.3.0.77 range radius radius-acct
access-list outside_access_in extended permit udp host 10.0.1.50 host 10.3.0.123 range radius radius-acct
access-list outside_access_in extended permit ip host 10.0.1.46 host 10.3.0.123
access-list outside_access_in extended permit ip 10.33.66.0 255.255.255.0 host 10.3.0.123
access-list outside_access_in extended permit udp host 10.0.1.50 host 10.3.0.40 range radius radius-acct
access-list outside_access_in extended permit udp host 10.0.1.51 host 10.3.0.40 range radius radius-acct
access-list outside_access_in extended permit udp host 10.0.1.50 host 10.3.0.16 eq 9996
access-list outside_access_in extended permit udp host 10.55.33.0 host 10.3.0.16 eq 9996
access-list outside_access_in extended permit udp host 10.0.1.50 host 10.3.0.23 range radius radius-acct
access-list outside_access_in extended permit udp host 10.0.1.51 host 10.3.0.23 range radius radius-acct
access-list outside_access_in extended permit udp host 10.0.1.51 host 10.3.0.34 range radius radius-acct
access-list dmz_access_in extended permit udp host 95.66.187.220 host 10.3.0.12 eq domain
static (inside,outside) 10.3.0.0 10.3.0.0 netmask 255.255.255.0
static (inside,info) 10.3.0.0 10.3.0.0 netmask 255.255.255.0
static (inside,outside) 10.3.0.12 10.3.0.12 netmask 255.255.255.255
http 10.3.0.4 255.255.255.255 inside
snmp-server host inside 10.3.0.55 community zabbix
ssh 10.3.0.0 255.255.255.0 inside
ssh 10.3.0.4 255.255.255.255 inside

Возможно, мне необходимо на CORE выключить 2 порта Gi2/0/2 и Gi2/0/12 для того, что убрать связь с DMZ, но я так понимаю мне нужно переписать маршрут 0.0.0.0

Поправьте, пожалуйста, и помогите разрешить мне мой ребус.
Спасибо!

Сейчас вот такие настройки:

object network ASTERISK_NAT
host 192.168.222.152

access-list Interconnect_access_in_1 remark Allow full access to External ASTERISK_NAT
access-list Interconnect_access_in_1 extended permit ip object ASTERISK_NAT any

access-list Metromax_Internet_access_in remark Allow ASTERISK_NAT
access-list Metromax_Internet_access_in extended permit ip any object ASTERISK_NAT

object network ASTERISK_NAT
nat (any,Metromax_Internet) static interface service udp sip sip

object network NAT_22PS_WIFI_via_METROMAX
nat (any,Metromax_Internet) dynamic interface

В самом ASTERISK через WEB морду в конфиге прописал внешний адрес 81.200.111.9, локалку 192.168.222.0/24
и включил NAT
НАСТРОЙКИ--УСТАНОВКИ ASTERISK для SIP--(вкладка ОБЩИЕ НАСТРОЙКИ SIP)
---------------------------------------(вкладка SIP Legasy settings Chan_sip)-- Настройки NAT- ставим ДА

Есть сетка WIFI 192.168.230.0/24 она выходит в интернет через внешний адрес 81.200.111.9 (Metromax_Internet)

К это сетке цепляются сотовые телефоны для выхода в интернет и для звонков по IP-телефонии и эти же телефоны могут через свой GSM-интернет цепляются к Asterisk для звонков по IP-телефонии.

Сейчас сотовые телефоны используя свой GSM-интернет по внешнему адресу 81.200.111.9 звонят по IP-телефонии.

Вопрос: Что и где надо прописать в CISСO ASA и ASTERISK, чтобы они могли работать и через сеть WIFI и через обычный обычный GSM-интернет?

Добрый день!

Собственно проблема в подключении по ssh с железяк Cisco на коммутатор Huawei S5731
При попытке подключения такая ошибка на Хуавее:

%%01SSH/4/SSH_FAIL(s)[0]:Failed to login through SSH. (IP=10.10.10.2, VpnInstanceName= , UserName=, Times=1, FailedReason=Failed to negotiate the encryption algorithm)

Что не так с шифрованием и как это исправить?

P.S. С ПК через putty проблем с подключением нет.