форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[ Отслеживать ]

"Связать два роутера"

Сообщение от ShyLion (??) on 25-Июл-08, 11:22

Есть две кисы, 2800, c2801-adventerprisek9-mz.124-16 У одной статический внешний IP, на другой pppoe клиент, с постоянно меняющимся IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель. Какие будут мысли? pptp отпадает, потому что киса не умеет быть pptp клиентом. пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил.

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Связать два роутера"

Сообщение от Ярослав Росомахо (ok) on 25-Июл-08, 12:58

>Есть две кисы, 2800, c2801-adventerprisek9-mz.124-16 > >У одной статический внешний IP, на другой pppoe клиент, с постоянно меняющимся >IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель. > > >Какие будут мысли? >pptp отпадает, потому что киса не умеет быть pptp клиентом. >пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил. Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно? R1 (с динамическим адресом): crypto isakmp policy 10 encr 3des hash md5 authentication pre-share crypto isakmp key VERYBIGSECRET address <внешний статический адрес R2> ! ! crypto ipsec transform-set 3DES_MD5 esp-3des esp-md5-hmac ! crypto map VPN 10 ipsec-isakmp set peer <внешний статический адрес R2> set transform-set 3DES_MD5 match address CRYPTO ip access-list extended CRYPTO permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 ip route 192.168.2.0 255.255.255.0 <адрес дефолт гейтвея или имя внешнего интерфейса> interface FastEthernet1/0 (внешний интерфейс) crypto map VPN R2 (со статическим IP): crypto isakmp policy 10 encr 3des hash md5 authentication pre-share crypto isakmp key VERYBIGSECRET address 0.0.0.0 0.0.0.0 crypto ipsec transform-set 3DES_MD5 esp-3des esp-md5-hmac crypto dynamic-map DYNAMIC 10 set transform-set 3DES_MD5 ip route 192.168.1.0 255.255.255.0 <адрес дефолт гейтвея или имя внешнего интерфейса> crypto map VPN 10 ipsec-isakmp dynamic DYNAMIC interface FastEthernet1/0 (внешний интерфейс) crypto map VPN где 192.168.1.0/24 - внутренние сети за маршрутизатором R1, а 192.168.2.0/24 - внутренние сети за маршрутизатором R2 Если используется NAT, то для пакетов ходящих из 192.168.1.0 в 192.168.2.0 и наоборот он должен быть отключен.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "Связать два роутера"
	Сообщение от ShyLion (??) on 25-Июл-08, 13:05
	>[оверквотинг удален] >> >>У одной статический внешний IP, на другой pppoe клиент, с постоянно меняющимся >>IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель. >> >> >>Какие будут мысли? >>pptp отпадает, потому что киса не умеет быть pptp клиентом. >>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил. > >Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно? OSPF куда повесить в этом случае?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "Связать два роутера"
	Сообщение от Ярослав Росомахо (ok) on 25-Июл-08, 13:29
	>[оверквотинг удален] >>>IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель. >>> >>> >>>Какие будут мысли? >>>pptp отпадает, потому что киса не умеет быть pptp клиентом. >>>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил. >> >>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно? > >OSPF куда повесить в этом случае? Если вам нужна динамическая маршрутизация между маршрутизаторами, тогда либо GRE внутри IPSec, либо апгрейдить IOS на 12.4T и использовать Dynamic VTI Ipsec.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "Связать два роутера"
	Сообщение от Solodark (??) on 30-Июл-08, 12:23
	>[оверквотинг удален] >>>>Какие будут мысли? >>>>pptp отпадает, потому что киса не умеет быть pptp клиентом. >>>>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил. >>> >>>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно? >> >>OSPF куда повесить в этом случае? > >Если вам нужна динамическая маршрутизация между маршрутизаторами, тогда либо GRE внутри IPSec, >либо апгрейдить IOS на 12.4T и использовать Dynamic VTI Ipsec. маленькое дополнение по поводу "не умеет быть pptp клиентом" = 871/851 могут быть pptp/pppoe клиентом как и 1721(я не помню - кажется на ней тоже поднимал) - почему этого не могут 28-е ?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "Связать два роутера"
	Сообщение от Solodark (??) on 30-Июл-08, 12:27
	>[оверквотинг удален] >>>>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно? >>> >>>OSPF куда повесить в этом случае? >> >>Если вам нужна динамическая маршрутизация между маршрутизаторами, тогда либо GRE внутри IPSec, >>либо апгрейдить IOS на 12.4T и использовать Dynamic VTI Ipsec. > >маленькое дополнение по поводу "не умеет быть pptp клиентом" = 871/851 могут >быть pptp/pppoe клиентом как и 1721(я не помню - кажется на >ней тоже поднимал) - почему этого не могут 28-е ? И еще один вопрос - как можно поднять gre на удаленный меняющийся адрес ?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "Связать два роутера"
	Сообщение от Ярослав Росомахо (ok) on 30-Июл-08, 12:33
	>>маленькое дополнение по поводу "не умеет быть pptp клиентом" = 871/851 могут >>быть pptp/pppoe клиентом как и 1721(я не помню - кажется на >>ней тоже поднимал) - почему этого не могут 28-е ? > >И еще один вопрос - как можно поднять gre на удаленный меняющийся >адрес ? 1. pppoe клиентами может быть любая циска официально ppptp клиентом официально может быть только VPN3002 hardware client, другие продукты - только неофициально через "service internal" 2. На меняющийся адрес GRE поднять нельзя, зато можно поднять на удаленный лупбек, маршрут к которому лежит через туннель IPSec
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "Связать два роутера"
	Сообщение от ShyLion (??) on 30-Июл-08, 12:44
	>2. >На меняющийся адрес GRE поднять нельзя, зато можно поднять на удаленный лупбек, >маршрут к которому лежит через туннель IPSec Слишком громоздко получается, гораздо проще в моем случае l2tp, что я и сделал.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "Связать два роутера"
	Сообщение от ShyLion (??) on 30-Июл-08, 12:48
	>[оверквотинг удален] >>>>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно? >>> >>>OSPF куда повесить в этом случае? >> >>Если вам нужна динамическая маршрутизация между маршрутизаторами, тогда либо GRE внутри IPSec, >>либо апгрейдить IOS на 12.4T и использовать Dynamic VTI Ipsec. > >маленькое дополнение по поводу "не умеет быть pptp клиентом" = 871/851 могут >быть pptp/pppoe клиентом как и 1721(я не помню - кажется на >ней тоже поднимал) - почему этого не могут 28-е ? использовать недокументированые фичи нет особого желания конфиг должен быть понятен в понедельник рано утром
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "Связать два роутера"
	Сообщение от Solodark (??) on 30-Июл-08, 14:22
	Ярослав, а можно "пример" такого конфига ? Я представляю как можно поднять IPsec внутри GRE (случай когда шифрование вешаем на физический интерфейс).. представляю случай когда GRE живет внутри IPsec (шифрование вешаем на тунельный) но как приземлить GRE на лупбек через тунель IPsec чего-то не понимаю :(
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "Связать два роутера"
	Сообщение от Ярослав Росомахо (ok) on 30-Июл-08, 14:35
	>Ярослав, а можно "пример" такого конфига ? > >Я представляю как можно поднять IPsec внутри GRE (случай когда шифрование вешаем >на физический интерфейс).. представляю случай когда GRE живет внутри IPsec (шифрование >вешаем на тунельный) но как приземлить GRE на лупбек через тунель >IPsec чего-то не понимаю :( как-то так R1 (с динамическим адресом): crypto isakmp policy 10 encr 3des hash md5 authentication pre-share crypto isakmp key VERYBIGSECRET address <внешний статический адрес R2> ! ! crypto ipsec transform-set 3DES_MD5 esp-3des esp-md5-hmac ! crypto map VPN 10 ipsec-isakmp set peer <внешний статический адрес R2> set transform-set 3DES_MD5 match address CRYPTO ip access-list extended CRYPTO permit ip host 1.1.1.2 host 1.1.1.1 ip route 1.1.1.1 255.255.255.255 <адрес дефолт гейтвея или имя внешнего интерфейса> interface Loopback0 ip address 1.1.1.2 255.255.255.255 interface FastEthernet1/0 (внешний интерфейс) crypto map VPN interface Tunnel0 ip addr <адрес маска> или  ip unnumbered Loopback0 tu source Loopback0 tu de 1.1.1.1 R2 (со статическим IP): crypto isakmp policy 10 encr 3des hash md5 authentication pre-share crypto isakmp key VERYBIGSECRET address 0.0.0.0 0.0.0.0 crypto ipsec transform-set 3DES_MD5 esp-3des esp-md5-hmac crypto dynamic-map DYNAMIC 10 set transform-set 3DES_MD5 set reverse-route crypto map VPN 10 ipsec-isakmp dynamic DYNAMIC interface Loopback0 ip address 1.1.1.1 255.255.255.255 interface FastEthernet1/0 (внешний интерфейс) crypto map VPN interface Tunnel0 ip addr <адрес маска> или  ip unnumbered Loopback0 tu source Loopback0 tu de 1.1.1.2
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

11. "Связать два роутера"

Сообщение от KiM on 30-Июл-08, 15:08

>Есть две кисы, 2800, c2801-adventerprisek9-mz.124-16 > >У одной статический внешний IP, на другой pppoe клиент, с постоянно меняющимся >IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель. > > >Какие будут мысли? >pptp отпадает, потому что киса не умеет быть pptp клиентом. >пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил. cisco умеет быть pptp клиентом:) darksid.blog.ru - ссылка на настройку. проверено на практике

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	12. "Связать два роутера"
	Сообщение от Solodark (??) on 30-Июл-08, 16:46
	Ярослав, благодарю !!!
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]