URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 17025
[ Назад ]
Исходное сообщение
"помогите с OSPF over IPSEC"
Отправлено plohish , 27-Авг-08 11:29 
Здравствуйте, Уважаемые! Есть схема:

LAN1 - ASA 5510 ---(IPSEC)--- CS1841 - LAN2

Цель: настроить OSPF, чтобы на ASA получать маршрут в LAN2 не статиком, а посредством OSPF.

ASA:

router ospf 65
network 92.242.xx.xxx 255.255.255.255 area 0 <- outside интерфейс CS1841
network 92.242.yyy.yy 255.255.255.255 area 0 <- это, я так понял, нужно для того, чтобы заставить работать ospf на outside ASA.
network 192.168.60.0 255.255.255.0 area 0 <- LAN1
neighbor 92.242.xx.xxx interface outside
log-adj-changes

interface Ethernet0/0.1
nameif outside
security-level 0
ip address 92.242.yyy.yy 255.255.255.252
ospf network point-to-point non-broadcast

что шифровать:

access-list VPN_ACL extended permit ip 192.168.60.0 255.255.255.0 192.168.65.0 255.255.255.0
access-list VPN_ACL extended permit ospf interface outside host 92.242.xx.xxx

CS 1841:

router ospf 65
log-adjacency-changes
network 92.242.xx.xxx 0.0.0.0 area 0
network 92.242.yyy.yy 0.0.0.0 area 0
network 192.168.65.0 0.0.0.255 area 0
neighbor 92.242.xxx.xx

что шифровать:

access-list 120 permit ip 192.168.65.0 0.0.0.255 192.168.60.0 0.0.0.255
access-list 120 permit ospf host 92.242.xx.xxx host 92.242.yyy.yy

Neighbor ID     Pri   State           Dead Time   Address         Interface
            N/A   0   DOWN/  -           -         92.242.xx.xxx   outside

?

Содержание
Сообщения в этом обсуждении
"помогите с OSPF over IPSEC"
Отправлено punks , 27-Авг-08 11:45 
поднимать надо gre over ipsec чтоб ходили мультикасты оспф.Просто айписек их не пропускает
http://www.cisco.com/en/US/tech/tk583/tk372/technologies_con...

"помогите с OSPF over IPSEC"
Отправлено plohish , 27-Авг-08 11:59 
>поднимать надо gre over ipsec чтоб ходили мультикасты оспф.Просто айписек их не
>пропускает
>http://www.cisco.com/en/US/tech/tk583/tk372/technologies_con...

http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/produc...

не разу тут про gre не сказано..

"помогите с OSPF over IPSEC"
Отправлено KiM , 27-Авг-08 12:21 
>>поднимать надо gre over ipsec чтоб ходили мультикасты оспф.Просто айписек их не
>>пропускает
>>http://www.cisco.com/en/US/tech/tk583/tk372/technologies_con...
>
>http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/produc...
>
>не разу тут про gre не сказано..

про 1841 тоже тут ни разу не сказано:)
если вы заметили то они строят тунель между 2мя фаерволами а не между рутёром и фаером

"помогите с OSPF over IPSEC"
Отправлено plohish , 27-Авг-08 12:33 
>[оверквотинг удален]
>>>пропускает
>>>http://www.cisco.com/en/US/tech/tk583/tk372/technologies_con...
>>
>>http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/produc...
>>
>>не разу тут про gre не сказано..
>
>про 1841 тоже тут ни разу не сказано:)
>если вы заметили то они строят тунель между 2мя фаерволами а не
>между рутёром и фаером

Т.е. построить ospf по ipsec между асой и иос-роутера невозможно ?

"помогите с OSPF over IPSEC"
Отправлено KiM , 27-Авг-08 13:13 
>[оверквотинг удален]
>>>
>>>http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/produc...
>>>
>>>не разу тут про gre не сказано..
>>
>>про 1841 тоже тут ни разу не сказано:)
>>если вы заметили то они строят тунель между 2мя фаерволами а не
>>между рутёром и фаером
>
>Т.е. построить ospf по ipsec между асой и иос-роутера невозможно ?

IMHO нет

"помогите с OSPF over IPSEC"
Отправлено chocholl , 27-Авг-08 15:39 
попробуй использовать ospf network NBMA
и в access list-е написать не ospf а полностью ip между внешними адресами устройств.