URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 19010
[ Назад ]
Исходное сообщение
"GRE тунель через PAT и без IPSEC"
Отправлено RET , 05-Июн-09 12:28 
Реально ли поднять GRE туннель между 2 цисками, если одна из них находится за PAT? Примеры находил, но во всех используются ещё и IPSEC, а у его использовать у меня не получается т.к. одна из цисок довольно старая и IOS с IPSEC'ом в неё не помещается.
Содержание
Сообщения в этом обсуждении
"GRE тунель через PAT и без IPSEC"
Отправлено petrovichr , 05-Июн-09 12:41 
>Реально ли поднять GRE туннель между 2 цисками, если одна из них
>находится за PAT? Примеры находил, но во всех используются ещё и
>IPSEC, а у его использовать у меня не получается т.к. одна
>из цисок довольно старая и IOS с IPSEC'ом в неё не
>помещается.

Ну так не накладывай ipsec на тунель. Работать будет.

"GRE тунель через PAT и без IPSEC"
Отправлено Николай , 05-Июн-09 13:14 
>Реально ли поднять GRE туннель между 2 цисками, если одна из них
>находится за PAT? Примеры находил, но во всех используются ещё и
>IPSEC, а у его использовать у меня не получается т.к. одна
>из цисок довольно старая и IOS с IPSEC'ом в неё не
>помещается.

Работает за 2-мя НАТ и IPSEC почему такой изврат не спрашивай :)
В чем проблема с GRE?
R1
interface Tunnel2
description
ip address 10.222.223.70 255.255.255.252
tunnel source 10.255.2.14
tunnel destination 10.222.222.9
tunnel mode ipip
R2
interface Tunnel2
description
ip address 10.222.223.69 255.255.255.252
tunnel source 10.222.222.9
tunnel destination 10.255.2.14
tunnel mode ipip

Та что за ПАТ выбрось необходимые порты и протоколы выбрось наружу и вперед с песнями :)

"GRE тунель через PAT и без IPSEC"
Отправлено RET , 05-Июн-09 13:18 
>Та что за ПАТ выбрось необходимые порты и протоколы выбрось наружу и
>вперед с песнями :)

Пробросить порты не вариант т.к. PAT не на нашей железке поднят.


"GRE тунель через PAT и без IPSEC"
Отправлено RET , 05-Июн-09 14:06 
Делаю по примеру конфигов из этого поста:
https://www.opennet.ru/openforum/vsluhforumID6/15508.html

туннель на spoke не поднимается, в дебаге вот это:

Jun  3 20:34:50 GDT: NHRP: Attempting to send packet via DEST 192.168.55.53
Jun  3 20:34:50 GDT: NHRP: Pak out FastEthernet0 would leave logical NBMA network
Jun  3 20:34:50 GDT: NHRP: Resetting retransmit due to hold-timer for 192.168.55.53
Jun  3 20:35:10 GDT: NHRP: Attempting to send packet via DEST 192.168.55.53
Jun  3 20:35:10 GDT: NHRP: Pak out FastEthernet0 would leave logical NBMA network
Jun  3 20:35:10 GDT: NHRP: Resetting retransmit due to hold-timer for 192.168.55.53
Jun  3 20:35:30 GDT: NHRP: Attempting to send packet via DEST 192.168.55.53
Jun  3 20:35:30 GDT: NHRP: Pak out FastEthernet0 would leave logical NBMA network
Jun  3 20:35:30 GDT: NHRP: Resetting retransmit due to hold-timer for 192.168.55.53
Jun  3 20:35:50 GDT: NHRP: Attempting to send packet via DEST 192.168.55.53
Jun  3 20:35:50 GDT: NHRP: Pak out FastEthernet0 would leave logical NBMA network
Jun  3 20:35:50 GDT: NHRP: Resetting retransmit due to hold-timer for 192.168.55.53
Jun  3 20:36:10 GDT: NHRP: Attempting to send packet via DEST 192.168.55.53
Jun  3 20:36:10 GDT: NHRP: Pak out FastEthernet0 would leave logical NBMA network
Jun  3 20:36:10 GDT: NHRP: Resetting retransmit due to hold-timer for


192.168.55.52/30 - сеть для туннеля, а 55.53 - это интерфейс тунеля на том конце

1750-My-cisco#sh ip nhrp
192.168.55.53/32 via 192.168.55.53, Tunnel1 created 00:11:01, never expire
  Type: static, Flags: authoritative
  NBMA address: XXX.XXX.XXX.XXX

XXX.XXX.XXX.XXX   внешний интерфейс на том конце (HUB) с реальным IP

на HUB в дебаге и в sh ip nhrp  вообще пусто

ещё одно уточнение: PAT поднят на Windows XP путем расшаривания 3G соединения