OpenForum RSS: два провайдера на циске и впн-клиент https://www.opennet.ru/openforum/vsluhforumID6/18165.html добрый день <br>проблема в следующем, есть циска с двумя интерфейсами смотрящими наружу<br>fa0 - провайдер &#8470;1<br>fa1 - провайдер &#8470;2<br>настроен впн-сервер, <br>когда я подключаюсь клиентом к fa0 все отлично, получаю полный доступ к локальной сети, которая находится за циской. когда подключаюсь к fa1 то не вижу ни одного компа в локале.<br>проблема с таблицей маршрутизации, у меня в 0.0.0.0 сеть маршрут по умолчанию через fa0. <br>как сделать чтобы если я цепляюсь клиентом к fa1 обратно пакеты шли через него же?<br>таблица маршрутизации берется через бгп<br>настройки интерфесов:<br>!<br>interface FastEthernet0<br> description prov1<br> encapsulation dot1Q 863<br> ip address a.a.a.a 255.255.255.252<br> ip access-group Firewall-in in<br> ip flow ingress<br> ip nat outside<br> ip virtual-reassembly<br> ip policy route-map Policy<br> no snmp trap link-status<br> no cdp enable<br> crypto map CRYPTOMAP<br>!<br>interface FastEthernet1<br> description prov2<br> ip address b.b.b.b 255.255.255.252<br> ip access-group Firewall-in in<br> ip flow ingress<br> ip nat ou два провайдера на циске и впн-клиент (bmonk) https://www.opennet.ru/openforum/vsluhforumID6/18165.html#10 Wed, 04 Mar 2009 05:12:51 GMT спасибо попробую<br>если по русски то идея в том чтобы при подключении через второго прова не маршрутизировать на первого?<br><br><br> два провайдера на циске и впн-клиент (j_vw) https://www.opennet.ru/openforum/vsluhforumID6/18165.html#9 Mon, 02 Mar 2009 17:29:24 GMT "снифер"<br>#debug ip packet ?<br> &lt;1-199&gt; Access list<br> &lt;1300-2699&gt; Access list (expanded range)<br> detail Print more debugging detail<br> &lt;cr&gt;<br><br> два провайдера на циске и впн-клиент (bokl) https://www.opennet.ru/openforum/vsluhforumID6/18165.html#8 Wed, 25 Feb 2009 08:48:13 GMT &gt;[оверквотинг удален]<br>&gt;&gt; ip local policy route-map 123 <br>&gt;<br>&gt;local policy у меня работает, иначе к этому интерфейсу у меня бы <br>&gt;просто не подключался впн-клиент как мне кажется, кроме того к нему <br>&gt;постоянно цепляются по 80, 22, 25 порту и ответ идет через <br>&gt;него же, <br>&gt;но вот в виртуальную подсетку через него пакеты уже не хотят идти <br>&gt;<br>&gt;как можно проследить направление пакетов на циске? есть ли тут чтото наподобе <br>&gt;снифера? <br><br>router bgp 1<br> no synchronization<br> bgp log-neighbor-changes<br> redistribute connected<br> redistribute static<br> neighbor 172.16.1.1 remote-as 2<br> neighbor 172.16.1.1 route-map FROM_AS2_LP in<br> neighbor 172.22.1.1 remote-as 3<br> neighbor 172.22.1.1 route-map FROM_AS3 in<br> neighbor 172.22.1.1 advertise-map MY non-exist-map FROM_AS2<br> no auto-summary<br>!<br>ip http server<br>!<br>!<br>ip as-path access-list 50 permit ^2$<br>!<br>access-list 60 permit 20.20.20.20<br>access-list 70 permit 10.10.10.10<br>!<br>route-map MY permit 10<br> match ip address 70<br>!<br>route-map FROM_AS2_LP permit 10<br> set local-pr два провайдера на циске и впн-клиент (bmonk) https://www.opennet.ru/openforum/vsluhforumID6/18165.html#7 Wed, 25 Feb 2009 07:53:16 GMT &gt;ip access-list standard route_back <br>&gt; permit IP_INTERFACE_ISP2 <br>&gt;<br>&gt; route-map 123 permit 10 <br>&gt; description ROUTE BACK ISP2 <br>&gt; match ip address route_back <br>&gt; set ip next-hop IP_GATEWAY_ISP2 <br>&gt;<br>&gt; ip local policy route-map 123 <br><br>local policy у меня работает, иначе к этому интерфейсу у меня бы просто не подключался впн-клиент как мне кажется, кроме того к нему постоянно цепляются по 80, 22, 25 порту и ответ идет через него же,<br>но вот в виртуальную подсетку через него пакеты уже не хотят идти<br>как можно проследить направление пакетов на циске? есть ли тут чтото наподобе снифера?<br> два провайдера на циске и впн-клиент (bmonk) https://www.opennet.ru/openforum/vsluhforumID6/18165.html#6 Wed, 11 Feb 2009 08:30:24 GMT выкладываю конфиг урезанный надеюсь ничего нужного для анализа не вырезал<br>aaa new-model<br>!<br>aaa authentication login default local<br>aaa authentication login userauthen local<br>aaa authorization exec default local <br>aaa authorization network groupauthor local <br>!<br>aaa session-id common<br>!<br>resource policy<br>!<br>crypto isakmp policy 1<br> encr 3des<br> hash md5<br> authentication pre-share<br> group 2<br> lifetime 480<br>crypto isakmp key ddddd address x.x.x.x no-xauth // и так еще 5 филиалов<br>crypto isakmp invalid-spi-recovery<br>!<br>crypto isakmp client configuration group cisco_vpn_client<br> key cisco<br> dns 192.168.0.1 192.168.0.3<br> domain krup.int<br> pool VPNclients<br> acl 108<br>!<br>!<br>crypto ipsec transform-set vpn1 esp-3des esp-sha-hmac <br>!<br>crypto dynamic-map dynmap 10<br> set transform-set vpn1 <br>!<br>!<br>crypto map filial_and_client client authentication list userauthen<br>crypto map filial_and_client isakmp authorization list groupauthor<br>crypto map filial_and_client client configuration address respond<br>!<br>crypto map filial_and_ два провайдера на циске и впн-клиент (j_vw) https://www.opennet.ru/openforum/vsluhforumID6/18165.html#5 Mon, 09 Feb 2009 16:57:04 GMT Я же тебе дал кусок рабочего конфига для доступа к обеим интерфейсам.<br>Забыл упомянуть, в сторону первого ISP, просто, работает defaulе route.<br><br>Или приводи весь свой конфиг, а то непонятно, например, что за интерфейсы fa0 и fa1 и нафига на них роут мепы.<br><br>Да и аксесс листы какие то кривые.<br> два провайдера на циске и впн-клиент (bmonk) https://www.opennet.ru/openforum/vsluhforumID6/18165.html#4 Mon, 09 Feb 2009 05:49:35 GMT спасибо за ответы, в эту сторону уже копал ((<br>вот что есть<br>!<br>ip access-list extended prov1<br> permit ip host ip_prov1 any<br>!<br>ip access-list extended prov2<br> permit esp host ip_prov2 any***// может все дело в этом ))<br> permit ip host ip_prov2 any<br>!<br>route-map LokalPolicy permit 10<br> match ip address prov1<br> set ip next-hop GWprov1<br>!<br>route-map LokalPolicy permit 20<br> match ip address prov2<br> set ip next-hop GWprov2<br>!<br>fa0<br>ip policy route-map LokalPolicy<br>!<br>fa1<br>ip policy route-map LokalPolicy<br>!<br>ip local policy route-map LokalPolicy<br><br>прбовал ip policy route-map LokalPolicy удалить из настроек интерфейсов - не помогло<br>есть еще идеи ??? <br> два провайдера на циске и впн-клиент (j_vw) https://www.opennet.ru/openforum/vsluhforumID6/18165.html#3 Sat, 07 Feb 2009 20:58:04 GMT ip access-list standard route_back<br> permit IP_INTERFACE_ISP2<br> <br> route-map 123 permit 10<br> description ROUTE BACK ISP2<br> match ip address route_back<br> set ip next-hop IP_GATEWAY_ISP2<br> <br> ip local policy route-map 123<br> два провайдера на циске и впн-клиент (igpr) https://www.opennet.ru/openforum/vsluhforumID6/18165.html#2 Sat, 07 Feb 2009 10:51:06 GMT Думаю, что нужно смотреть в эту сторону:<br>ip local policy route-map<br><br><br>