URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 17071
[ Назад ]
Исходное сообщение
"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено ili4 , 02-Сен-08 10:37 
Добрый день.

Cisco 7204VXR + NPE400 в качестве сервера pptp для раздачи интернета.
С Windows XP устанавливаем соединение с циской, получаем от нее реальный IP адрес (xx.xx.186.192) и пингуем www.ru. Ответов нет.

Схема такая:

центральный
роутер                                           cisco                                                 win XP
xx.xx.176.33 ---- FE ---- xx.xx.176.40 - 172.16.100.252  --- FE ---  172.16.100.154

на центральном роутере tcpdump показывает, что пакеты ходят в обе стороны
15:31:58.113679 IP xx.xx.186.192 > 194.87.0.50: ICMP echo request, id 1536, seq 13824, length 40
15:31:58.122582 IP 194.87.0.50 > xx.xx.186.192: ICMP echo reply, id 1536, seq 13824, length 40
(дамп по маку циски)

ip packet debug на циске при входящем пакетк показывает:
1d00h: IP: tableid=0, s=194.87.0.50 (FastEthernet3/0.12), d=xx.xx.186.192 (Virtual-Access2.1), routed via RIB
1d00h: IP: s=194.87.0.50 (FastEthernet3/0.12), d=xx.xx.186.192 (Virtual-Access2.1), g=xx.xx.186.192, len 60, forward
1d00h:     ICMP type=0, code=0

но на интерфейсе Virtual-Access2.1 счетчик исходящих пакетов не увеличивается, увеличивается только счетчик входящих пакетов, когда запущен пинг с WinXP наружу.

конфиг циски:

Current configuration : 2081 bytes
!
version 12.4
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
no service dhcp
!
hostname Router
!
boot-start-marker
boot-end-marker
!
enable secret 5 ****
!
aaa new-model
!
!
aaa group server radius VEDI
server xx.xx.176.35 auth-port 10112 acct-port 10113
!
aaa authentication login vedi group VPN
aaa authentication login vpn group VEDI
aaa authentication ppp vpn group VEDI
aaa authorization exec vpn group VEDI
aaa accounting update periodic 1
aaa accounting network vpn start-stop group VEDI
aaa accounting connection vpn start-stop group VEDI
!
aaa session-id common
!
!
ip nbar port-map dhcp udp 66 68
ip cef
!
!
vpdn enable
vpdn source-ip 172.16.100.252
!
vpdn-group 1
! Default PPTP VPDN group
accept-dialin
  protocol pptp
  virtual-template 1
local name orn
!
!
!
!
interface Loopback0
no ip address
!
interface FastEthernet3/0
no ip address
duplex half
!
interface FastEthernet3/0.10
encapsulation dot1Q 10
ip address 172.16.100.252 255.255.255.0
!
interface FastEthernet3/0.12
encapsulation dot1Q 12
ip address xx.xx.176.40 255.255.255.240
!
interface FastEthernet4/0
no ip address
duplex half
!
interface Virtual-Template1
ip unnumbered Loopback0
no ip proxy-arp
ip flow ingress
ip flow egress
ip virtual-reassembly
no logging event link-status
peer default ip address pool vpnpool
no keepalive
ppp authentication ms-chap-v2 vpn
ppp accounting vpn
!
ip local pool vpnpool xx.xx.186.192 xx.xx.186.220
no ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 xx.xx.176.33
!
no ip http server
!
!
access-list 1 permit 194.135.2.3
access-list 111 permit ip xx.xx.186.192 0.0.0.15 any
access-list 111 permit ip any xx.xx.186.192 0.0.0.15
!
!
!
radius-server host xx.xx.176.35 auth-port 10112 acct-port 10113 key ****
!
control-plane
!
!
!
!
dial-peer cor custom
!
!
!
gatekeeper
shutdown
!
!
line con 0
stopbits 1
line aux 0
stopbits 1
line vty 0
session-timeout 3600
password *****
line vty 1 4
!
!
end

Содержание
Сообщения в этом обсуждении
"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено CrAzOiD , 02-Сен-08 10:57 
>interface Loopback0
> no ip address
>
>interface Virtual-Template1
> ip unnumbered Loopback0

Это так надо?

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено ili4 , 02-Сен-08 11:08 
>>interface Loopback0
>> no ip address
>>
>>interface Virtual-Template1
>> ip unnumbered Loopback0
>
>Это так надо?

поправил на
ip unnumbered FastEthernet3/0.10

ситуация немного улучшилась, теперь проходит каждый второй пакет :)


Ответ от 194.87.0.50: число байт=32 время=9мс TTL=57
Превышен интервал ожидания для запроса.
Ответ от 194.87.0.50: число байт=32 время=9мс TTL=57
Превышен интервал ожидания для запроса.
Ответ от 194.87.0.50: число байт=32 время=15мс TTL=57
Превышен интервал ожидания для запроса.
Ответ от 194.87.0.50: число байт=32 время=9мс TTL=57
Превышен интервал ожидания для запроса.
Ответ от 194.87.0.50: число байт=32 время=10мс TTL=57

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено CrAzOiD , 02-Сен-08 11:13 
>[оверквотинг удален]
>
>Ответ от 194.87.0.50: число байт=32 время=9мс TTL=57
>Превышен интервал ожидания для запроса.
>Ответ от 194.87.0.50: число байт=32 время=9мс TTL=57
>Превышен интервал ожидания для запроса.
>Ответ от 194.87.0.50: число байт=32 время=15мс TTL=57
>Превышен интервал ожидания для запроса.
>Ответ от 194.87.0.50: число байт=32 время=9мс TTL=57
>Превышен интервал ожидания для запроса.
>Ответ от 194.87.0.50: число байт=32 время=10мс TTL=57

:):):) смотрите машрутизацию

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено ili4 , 02-Сен-08 11:20 
>[оверквотинг удален]
>>Превышен интервал ожидания для запроса.
>>Ответ от 194.87.0.50: число байт=32 время=9мс TTL=57
>>Превышен интервал ожидания для запроса.
>>Ответ от 194.87.0.50: число байт=32 время=15мс TTL=57
>>Превышен интервал ожидания для запроса.
>>Ответ от 194.87.0.50: число байт=32 время=9мс TTL=57
>>Превышен интервал ожидания для запроса.
>>Ответ от 194.87.0.50: число байт=32 время=10мс TTL=57
>
>:):):) смотрите машрутизацию

с маршрутизацией все ок.

>[оверквотинг удален]
>> stopbits 1
>>line vty 0
>> session-timeout 3600
>> password *****
>>line vty 1 4
>>!
>>!
>>end
>
> Может на Loopback0 адресок повесить?

пробовал - не помогает.
пробовал разные MTU ставить - тоже без толку..

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено CrAzOiD , 02-Сен-08 12:02 
>[оверквотинг удален]
>>> password *****
>>>line vty 1 4
>>>!
>>>!
>>>end
>>
>> Может на Loopback0 адресок повесить?
>
>пробовал - не помогает.
>пробовал разные MTU ставить - тоже без толку..

кстати... отключи CEF и посмотри что будет.
если без CEF работает значит... ну вообщем тогда и будем разбираться

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено ili4 , 02-Сен-08 14:15 
>[оверквотинг удален]
>>>>!
>>>>end
>>>
>>> Может на Loopback0 адресок повесить?
>>
>>пробовал - не помогает.
>>пробовал разные MTU ставить - тоже без толку..
>
>кстати... отключи CEF и посмотри что будет.
>если без CEF работает значит... ну вообщем тогда и будем разбираться

спасибо, без cef все заработало!
только теперь другая проблема - низкая скорость: через pptp 4-5 мегабит, без него 40-50.
машина с WinXP довольно шустрая, в ней проблем не может быть.

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено CrAzOiD , 02-Сен-08 14:49 
>спасибо, без cef все заработало!
>только теперь другая проблема - низкая скорость: через pptp 4-5 мегабит, без
>него 40-50.
>машина с WinXP довольно шустрая, в ней проблем не может быть.

ессно скорость низкая
CEF надо было отключить для диагностики, без него железкам плохо будет
Теперь понятно что причина - неверная работа CEF. Так что надо включить и разбираться.
Его неверная работа, как правило, из-за неверной конфигурации

Показывай sh adjacency summary
http://www.cisco.com/en/US/tech/tk827/tk831/technologies_tec...


"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено ili4 , 02-Сен-08 15:39 
>[оверквотинг удален]
>>машина с WinXP довольно шустрая, в ней проблем не может быть.
>
>ессно скорость низкая
>CEF надо было отключить для диагностики, без него железкам плохо будет
>Теперь понятно что причина - неверная работа CEF. Так что надо включить
>и разбираться.
>Его неверная работа, как правило, из-за неверной конфигурации
>
>Показывай sh adjacency summary
>http://www.cisco.com/en/US/tech/tk827/tk831/technologies_tec...

Router# sh adjacency
Protocol Interface                 Address
IP       Virtual-Access2.1         point2point(4) (incomplete)
IP       FastEthernet3/0.10        172.16.100.154(5)
IP       FastEthernet3/0.10        172.16.100.149(5)
IP       FastEthernet3/0.12        az-local-176-33.xxx.ru(7) (xx.xx.176.33)
IP       FastEthernet3/0.12        buki.xxx.ru(5) (xx.xx.176.34)
IP       FastEthernet3/0.12        vedi.xxx.ru(5) (xx.xx.176.35)
IP       FastEthernet3/0.10        172.16.100.122(5)
IP       FastEthernet3/0.10        172.16.100.26(5)
IP       FastEthernet3/0.10        172.16.100.10(5)

Router# sh adjacency summary
Adjacency Table has 9 adjacencies
  1 IPv4 incomplete adjacency
  Table epoch: 0 (9 entries at this epoch)

  Interface                 Adjacency Count
  FastEthernet3/0.12        3
  Virtual-Access2.1         1
  FastEthernet3/0.10        5

debug ip cef drops выдает:

1d06h: CEF-Drop: Stalled adjacency for 0.0.0.0 on Virtual-Access2.1 for destinat
ion xx.xx.186.192
1d06h: CEF-Drop: Packet for xx.xx.186.192 -- encapsulation

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено CrAzOiD , 02-Сен-08 15:48 
>Router# sh adjacency summary
>Adjacency Table has 9 adjacencies
>  1 IPv4 incomplete adjacency

Вот она ваша проблема.
Пошаговая инструкция-траблешутинг
http://www.cisco.com/en/US/tech/tk827/tk831/technologies_tec...

а то у вас все адреса вида ххх - разбираться сложно :)

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено ili4 , 02-Сен-08 16:08 
>>Router# sh adjacency summary
>>Adjacency Table has 9 adjacencies
>>  1 IPv4 incomplete adjacency
>
>Вот она ваша проблема.
>Пошаговая инструкция-траблешутинг
>http://www.cisco.com/en/US/tech/tk827/tk831/technologies_tec...
>
>а то у вас все адреса вида ххх - разбираться сложно :)
>

прочитал 2 раза эту статью, не нашел решения своей проблемы :(

пойду, 3й раз прочитаю....

спасибо за помощь :)

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено CrAzOiD , 02-Сен-08 16:20 
>[оверквотинг удален]
>>http://www.cisco.com/en/US/tech/tk827/tk831/technologies_tec...
>>
>>а то у вас все адреса вида ххх - разбираться сложно :)
>>
>
>прочитал 2 раза эту статью, не нашел решения своей проблемы :(
>
>пойду, 3й раз прочитаю....
>
>спасибо за помощь :)

скорей всего прописан куда-то не туда маршрут ручками...
покажи конфиг где у тебя есть ip route команды

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено ili4 , 02-Сен-08 16:22 
>>Router# sh adjacency summary
>>Adjacency Table has 9 adjacencies
>>  1 IPv4 incomplete adjacency
>
>Вот она ваша проблема.
>Пошаговая инструкция-траблешутинг
>http://www.cisco.com/en/US/tech/tk827/tk831/technologies_tec...
>
>а то у вас все адреса вида ххх - разбираться сложно :)
>

не могу разобраться...
маршрут к хосту в таблице маршрутизации есть:
Router#sh ip route
...
Gateway of last resort is 80.76.176.33 to network 0.0.0.0

     80.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C       80.76.186.192/32 is directly connected, Virtual-Access2.1    <<------------
C       80.76.176.32/28 is directly connected, FastEthernet3/0.12
     172.16.0.0/24 is subnetted, 2 subnets
C       172.16.254.0 is directly connected, Loopback0
C       172.16.100.0 is directly connected, FastEthernet3/0.10
S*   0.0.0.0/0 [1/0] via 80.76.176.33

а в adjacency он виден, как Incomplete ((

Router#sh adjacency
Protocol Interface                 Address
IP       Virtual-Access2.1         point2point(4) (incomplete)
IP       FastEthernet3/0.10        172.16.100.154(5)
IP       FastEthernet3/0.10        172.16.100.155(5)
IP       FastEthernet3/0.10        172.16.100.149(5)
IP       FastEthernet3/0.12        az-local-176-33.orn.ru(7) (80.76.176.33)
IP       FastEthernet3/0.12        buki.orn.ru(5) (80.76.176.34)
IP       FastEthernet3/0.12        vedi.orn.ru(5) (80.76.176.35)
IP       FastEthernet3/0.10        172.16.100.122(5)
IP       FastEthernet3/0.10        172.16.100.26(5)
IP       FastEthernet3/0.10        172.16.100.10(5)
IP       FastEthernet3/0.10        172.16.100.1(5)

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено CrAzOiD , 02-Сен-08 16:45 
>[оверквотинг удален]
>IP       FastEthernet3/0.12    
>   vedi.orn.ru(5) (80.76.176.35)
>IP       FastEthernet3/0.10    
>   172.16.100.122(5)
>IP       FastEthernet3/0.10    
>   172.16.100.26(5)
>IP       FastEthernet3/0.10    
>   172.16.100.10(5)
>IP       FastEthernet3/0.10    
>   172.16.100.1(5)

посмотри что говорит sh arp
ну и как вариант (кстати одно из решений в некоторых конфигурациях), отмени на virtual-template CEF, оставь просто fast

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено ili4 , 03-Сен-08 11:56 
>[оверквотинг удален]
>>IP       FastEthernet3/0.10    
>>   172.16.100.122(5)
>>IP       FastEthernet3/0.10    
>>   172.16.100.26(5)
>>IP       FastEthernet3/0.10    
>>   172.16.100.10(5)
>>IP       FastEthernet3/0.10    
>>   172.16.100.1(5)
>
>посмотри что говорит sh arp

маршрут руками только один прописан:
ip route 0.0.0.0 0.0.0.0 80.76.176.33

Router#sh arp
Protocol  Address          Age (min)  Hardware Addr   Type   Interface
Internet  172.16.100.252          -   00d0.9705.e454  ARPA   FastEthernet3/0.10
Internet  172.16.100.154          1   001a.4d58.b789  ARPA   FastEthernet3/0.10
Internet  80.76.176.40            -   00d0.9705.e454  ARPA   FastEthernet3/0.12
Internet  80.76.176.33            0   0017.a4eb.8e69  ARPA   FastEthernet3/0.12
Internet  80.76.176.34          131   001c.c4fa.ad54  ARPA   FastEthernet3/0.12

>ну и как вариант (кстати одно из решений в некоторых конфигурациях), отмени
>на virtual-template CEF, оставь просто fast

пробовал в virtual-template ставить ip route-cache flow - пакеты не теряются, но скорость маленькая (4-5 мбит/сек)

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено CrAzOiD , 03-Сен-08 12:33 
>[оверквотинг удален]
>  0   0017.a4eb.8e69  ARPA   FastEthernet3/0.12
>
>Internet  80.76.176.34          
>131   001c.c4fa.ad54  ARPA   FastEthernet3/0.12
>
>>ну и как вариант (кстати одно из решений в некоторых конфигурациях), отмени
>>на virtual-template CEF, оставь просто fast
>
>пробовал в virtual-template ставить ip route-cache flow - пакеты не теряются, но
>скорость маленькая (4-5 мбит/сек)

ммм... счас на свужую голову еще подумаю
покажи sh ip route и поясни какие адреса ты выдаешь клиентам, что там в пуле прописано?
похоже затык тут

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено ili4 , 03-Сен-08 13:01 
>[оверквотинг удален]
>>>ну и как вариант (кстати одно из решений в некоторых конфигурациях), отмени
>>>на virtual-template CEF, оставь просто fast
>>
>>пробовал в virtual-template ставить ip route-cache flow - пакеты не теряются, но
>>скорость маленькая (4-5 мбит/сек)
>
>ммм... счас на свужую голову еще подумаю
>покажи sh ip route и поясни какие адреса ты выдаешь клиентам, что
>там в пуле прописано?
>похоже затык тут

проблема снова приняла совсем другой оборот:
без pptp такая же низкая скорость (с включенным cef)

interface FastEthernet3/0.10
encapsulation dot1Q 10
ip address 80.76.186.201 255.255.255.252
!

на winXP IP 80.76.186.202 и шлюз 201. скорость ~4 мбит/сек.

шнурок к циске в порядке. пробовал использовать другой fastEthernet интерфейс на циске - тоже самое.

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено CrAzOiD , 03-Сен-08 13:08 
>[оверквотинг удален]
>
>interface FastEthernet3/0.10
> encapsulation dot1Q 10
> ip address 80.76.186.201 255.255.255.252
>!
>
>на winXP IP 80.76.186.202 и шлюз 201. скорость ~4 мбит/сек.
>
>шнурок к циске в порядке. пробовал использовать другой fastEthernet интерфейс на циске
>- тоже самое.

У тебя же в начальной конфигурации было так:
interface FastEthernet3/0.10
encapsulation dot1Q 10
ip address 172.16.100.252 255.255.255.0
!
interface FastEthernet3/0.12
encapsulation dot1Q 12
ip address xx.xx.176.40 255.255.255.240

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено ili4 , 03-Сен-08 13:22 
>[оверквотинг удален]
>>- тоже самое.
>
>У тебя же в начальной конфигурации было так:
>interface FastEthernet3/0.10
>encapsulation dot1Q 10
>ip address 172.16.100.252 255.255.255.0
>!
>interface FastEthernet3/0.12
>encapsulation dot1Q 12
>ip address xx.xx.176.40 255.255.255.240

да, я проверял пропуск трафика напрямую (без pptp), чтоб не поднимать НАТ прописал на этом интерфейсе реальный IP, другой реальный IP прописал на WinXP, указав там шлюзом циску.
т.е. vpn не поднимается, весь тарфик с WinXP идет на циску, циска маршрутизирует его в инет. но скорость при этом 4-5 мбит.

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено ili4 , 03-Сен-08 15:45 
>[оверквотинг удален]
>>interface FastEthernet3/0.12
>>encapsulation dot1Q 12
>>ip address xx.xx.176.40 255.255.255.240
>
>да, я проверял пропуск трафика напрямую (без pptp), чтоб не поднимать НАТ
>прописал на этом интерфейсе реальный IP, другой реальный IP прописал на
>WinXP, указав там шлюзом циску.
> т.е. vpn не поднимается, весь тарфик с WinXP идет на циску,
>циска маршрутизирует его в инет. но скорость при этом 4-5 мбит.
>

проблема скорости решена установкой скорости на серевой карте WinXP принудительно в 100Full.
через pptp с cef по прежнему теряются пакеты, но без cef все отлично работает, скорость 100 mbit.

всем спасибо :)

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено CrAzOiD , 03-Сен-08 16:16 
>[оверквотинг удален]
>> т.е. vpn не поднимается, весь тарфик с WinXP идет на циску,
>>циска маршрутизирует его в инет. но скорость при этом 4-5 мбит.
>>
>
>проблема скорости решена установкой скорости на серевой карте WinXP принудительно в 100Full.
>
>через pptp с cef по прежнему теряются пакеты, но без cef все
>отлично работает, скорость 100 mbit.
>
>всем спасибо :)

:)
CEF бы, конечно, надо бы победить....

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено GolDi , 02-Сен-08 11:00 
>[оверквотинг удален]
> stopbits 1
>line aux 0
> stopbits 1
>line vty 0
> session-timeout 3600
> password *****
>line vty 1 4
>!
>!
>end

Может на Loopback0 адресок повесить?

"cisco 7206 pptp - пакетычерез vpn уходят, но не возвращаются"
Отправлено ili4 , 02-Сен-08 11:25 
>[оверквотинг удален]
>> stopbits 1
>>line vty 0
>> session-timeout 3600
>> password *****
>>line vty 1 4
>>!
>>!
>>end
>
> Может на Loopback0 адресок повесить?

пробовал - не помогает.
пробовал разные MTU ставить - тоже без толку..


debug vpdn packet при прохождении пакета выдает:
1d02h: Vi2.1 VPDN FS/CEF Into tunnel: Sending 124 byte pak
1d02h: Vi2.1 VPDN FS Network to tunnel: Pak send successful
1d02h: VPDN CEF From tunnel: Received 142 byte pak
1d02h: Vi2.1 VPDN FS Tunnel to network: Sending 88 byte pak
1d02h: Vi2.1 VPDN CEF From tunnel: Pak send successful

при потере - ничего.