URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 16782
[ Назад ]
Исходное сообщение
"Связать два роутера"
Отправлено ShyLion , 25-Июл-08 11:22 
Есть две кисы, 2800, c2801-adventerprisek9-mz.124-16

У одной статический внешний IP, на другой pppoe клиент, с постоянно меняющимся IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель.

Какие будут мысли?
pptp отпадает, потому что киса не умеет быть pptp клиентом.
пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил.

Содержание
Сообщения в этом обсуждении
"Связать два роутера"
Отправлено Ярослав Росомахо , 25-Июл-08 12:58 
>Есть две кисы, 2800, c2801-adventerprisek9-mz.124-16
>
>У одной статический внешний IP, на другой pppoe клиент, с постоянно меняющимся
>IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель.
>
>
>Какие будут мысли?
>pptp отпадает, потому что киса не умеет быть pptp клиентом.
>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил.

Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно?

R1 (с динамическим адресом):
crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
crypto isakmp key VERYBIGSECRET address <внешний статический адрес R2>
!
!
crypto ipsec transform-set 3DES_MD5 esp-3des esp-md5-hmac
!
crypto map VPN 10 ipsec-isakmp
set peer <внешний статический адрес R2>
set transform-set 3DES_MD5
match address CRYPTO

ip access-list extended CRYPTO
permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

ip route 192.168.2.0 255.255.255.0 <адрес дефолт гейтвея или имя внешнего интерфейса>

interface FastEthernet1/0 (внешний интерфейс)
crypto map VPN

R2 (со статическим IP):
crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
crypto isakmp key VERYBIGSECRET address 0.0.0.0 0.0.0.0
crypto ipsec transform-set 3DES_MD5 esp-3des esp-md5-hmac
crypto dynamic-map DYNAMIC 10
set transform-set 3DES_MD5
ip route 192.168.1.0 255.255.255.0 <адрес дефолт гейтвея или имя внешнего интерфейса>
crypto map VPN 10 ipsec-isakmp dynamic DYNAMIC
interface FastEthernet1/0 (внешний интерфейс)
crypto map VPN


где 192.168.1.0/24 - внутренние сети за маршрутизатором R1, а 192.168.2.0/24 - внутренние сети за маршрутизатором R2


Если используется NAT, то для пакетов ходящих из 192.168.1.0 в 192.168.2.0 и наоборот он должен быть отключен.

"Связать два роутера"
Отправлено ShyLion , 25-Июл-08 13:05 
>[оверквотинг удален]
>>
>>У одной статический внешний IP, на другой pppoe клиент, с постоянно меняющимся
>>IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель.
>>
>>
>>Какие будут мысли?
>>pptp отпадает, потому что киса не умеет быть pptp клиентом.
>>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил.
>
>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно?

OSPF куда повесить в этом случае?

"Связать два роутера"
Отправлено Ярослав Росомахо , 25-Июл-08 13:29 
>[оверквотинг удален]
>>>IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель.
>>>
>>>
>>>Какие будут мысли?
>>>pptp отпадает, потому что киса не умеет быть pptp клиентом.
>>>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил.
>>
>>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно?
>
>OSPF куда повесить в этом случае?

Если вам нужна динамическая маршрутизация между маршрутизаторами, тогда либо GRE внутри IPSec, либо апгрейдить IOS на 12.4T и использовать Dynamic VTI Ipsec.

"Связать два роутера"
Отправлено Solodark , 30-Июл-08 12:23 
>[оверквотинг удален]
>>>>Какие будут мысли?
>>>>pptp отпадает, потому что киса не умеет быть pptp клиентом.
>>>>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил.
>>>
>>>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно?
>>
>>OSPF куда повесить в этом случае?
>
>Если вам нужна динамическая маршрутизация между маршрутизаторами, тогда либо GRE внутри IPSec,
>либо апгрейдить IOS на 12.4T и использовать Dynamic VTI Ipsec.

маленькое дополнение по поводу "не умеет быть pptp клиентом" = 871/851 могут быть pptp/pppoe клиентом как и 1721(я не помню - кажется на ней тоже поднимал) - почему этого не могут 28-е ?

"Связать два роутера"
Отправлено Solodark , 30-Июл-08 12:27 
>[оверквотинг удален]
>>>>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно?
>>>
>>>OSPF куда повесить в этом случае?
>>
>>Если вам нужна динамическая маршрутизация между маршрутизаторами, тогда либо GRE внутри IPSec,
>>либо апгрейдить IOS на 12.4T и использовать Dynamic VTI Ipsec.
>
>маленькое дополнение по поводу "не умеет быть pptp клиентом" = 871/851 могут
>быть pptp/pppoe клиентом как и 1721(я не помню - кажется на
>ней тоже поднимал) - почему этого не могут 28-е ?

И еще один вопрос - как можно поднять gre на удаленный меняющийся адрес ?

"Связать два роутера"
Отправлено Ярослав Росомахо , 30-Июл-08 12:33 
>>маленькое дополнение по поводу "не умеет быть pptp клиентом" = 871/851 могут
>>быть pptp/pppoe клиентом как и 1721(я не помню - кажется на
>>ней тоже поднимал) - почему этого не могут 28-е ?
>
>И еще один вопрос - как можно поднять gre на удаленный меняющийся
>адрес ?

1.
pppoe клиентами может быть любая циска официально
ppptp клиентом официально может быть только VPN3002 hardware client, другие продукты - только неофициально через "service internal"

2.
На меняющийся адрес GRE поднять нельзя, зато можно поднять на удаленный лупбек, маршрут к которому лежит через туннель IPSec

"Связать два роутера"
Отправлено ShyLion , 30-Июл-08 12:44 
>2.
>На меняющийся адрес GRE поднять нельзя, зато можно поднять на удаленный лупбек,
>маршрут к которому лежит через туннель IPSec

Слишком громоздко получается, гораздо проще в моем случае l2tp, что я и сделал.

"Связать два роутера"
Отправлено ShyLion , 30-Июл-08 12:48 
>[оверквотинг удален]
>>>>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно?
>>>
>>>OSPF куда повесить в этом случае?
>>
>>Если вам нужна динамическая маршрутизация между маршрутизаторами, тогда либо GRE внутри IPSec,
>>либо апгрейдить IOS на 12.4T и использовать Dynamic VTI Ipsec.
>
>маленькое дополнение по поводу "не умеет быть pptp клиентом" = 871/851 могут
>быть pptp/pppoe клиентом как и 1721(я не помню - кажется на
>ней тоже поднимал) - почему этого не могут 28-е ?

использовать недокументированые фичи нет особого желания
конфиг должен быть понятен в понедельник рано утром

"Связать два роутера"
Отправлено Solodark , 30-Июл-08 14:22 
Ярослав, а можно "пример" такого конфига ?

Я представляю как можно поднять IPsec внутри GRE (случай когда шифрование вешаем на физический интерфейс).. представляю случай когда GRE живет внутри IPsec (шифрование вешаем на тунельный) но как приземлить GRE на лупбек через тунель IPsec чего-то не понимаю :(


"Связать два роутера"
Отправлено Ярослав Росомахо , 30-Июл-08 14:35 
>Ярослав, а можно "пример" такого конфига ?
>
>Я представляю как можно поднять IPsec внутри GRE (случай когда шифрование вешаем
>на физический интерфейс).. представляю случай когда GRE живет внутри IPsec (шифрование
>вешаем на тунельный) но как приземлить GRE на лупбек через тунель
>IPsec чего-то не понимаю :(

как-то так

R1 (с динамическим адресом):
crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
crypto isakmp key VERYBIGSECRET address <внешний статический адрес R2>
!
!
crypto ipsec transform-set 3DES_MD5 esp-3des esp-md5-hmac
!
crypto map VPN 10 ipsec-isakmp
set peer <внешний статический адрес R2>
set transform-set 3DES_MD5
match address CRYPTO

ip access-list extended CRYPTO
permit ip host 1.1.1.2 host 1.1.1.1

ip route 1.1.1.1 255.255.255.255 <адрес дефолт гейтвея или имя внешнего интерфейса>

interface Loopback0
ip address 1.1.1.2 255.255.255.255

interface FastEthernet1/0 (внешний интерфейс)
crypto map VPN

interface Tunnel0
ip addr <адрес маска> или  ip unnumbered Loopback0
tu source Loopback0
tu de 1.1.1.1

R2 (со статическим IP):
crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
crypto isakmp key VERYBIGSECRET address 0.0.0.0 0.0.0.0
crypto ipsec transform-set 3DES_MD5 esp-3des esp-md5-hmac
crypto dynamic-map DYNAMIC 10
set transform-set 3DES_MD5
set reverse-route
crypto map VPN 10 ipsec-isakmp dynamic DYNAMIC

interface Loopback0
ip address 1.1.1.1 255.255.255.255

interface FastEthernet1/0 (внешний интерфейс)
crypto map VPN

interface Tunnel0
ip addr <адрес маска> или  ip unnumbered Loopback0
tu source Loopback0
tu de 1.1.1.2

"Связать два роутера"
Отправлено KiM , 30-Июл-08 15:08 
>Есть две кисы, 2800, c2801-adventerprisek9-mz.124-16
>
>У одной статический внешний IP, на другой pppoe клиент, с постоянно меняющимся
>IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель.
>
>
>Какие будут мысли?
>pptp отпадает, потому что киса не умеет быть pptp клиентом.
>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил.

cisco умеет быть pptp клиентом:)
darksid.blog.ru - ссылка на настройку. проверено на практике

"Связать два роутера"
Отправлено Solodark , 30-Июл-08 16:46 
Ярослав, благодарю !!!