URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 17759
[ Назад ]
Исходное сообщение
"маршрутизация между cisco 851"
Отправлено kastet , 05-Дек-08 17:13 
Здравствуйте, возникла проблема при настройки VPN(Ipsec+GRE) туннеля между двумя офисами с реальными ip адресами. Эти конфигурации работали раньше, когда провайдер делал нам отдельную подсеть между ними. Ну, то есть с одной стороны адрес 172.16.0.5, а с другой 172.16.0.2. Сейчас новый провайдер с двух сторон разные адреса итд. Привожу конфигурации. За любой совет спасибо.
вот схема:
Офис1
внутренний адрес 192.168.1.251
внешний 78.107.219.163
офис2
внутр. адрес 192.168.0.1
внешний 78.107.133.178

офис1

version 12.4
no service pad
service tcp-keepalives-in
service tcp-keepalives-out
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
no service dhcp
!
hostname sevast-corb
!
boot-start-marker
boot-end-marker
!
logging buffered 51200
!
no aaa new-model
clock timezone PCTime 3
!
crypto pki trustpoint TP-self-signed-889844593
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-889844593
revocation-check none
rsakeypair TP-self-signed-889844593
!
!
crypto pki certificate chain TP-self-signed-889844593
certificate self-signed 01
        quit
dot11 syslog
no ip dhcp use vrf connected
ip dhcp excluded-address 10.10.10.1
!
ip dhcp pool sdm-pool
   import all
   network 10.10.10.0 255.255.255.248
   default-router 10.10.10.1
   lease 0 2
!
!
ip cef
no ip domain lookup
!
!
!
username admin privilege 15 secret 5 xxxxxxxxxxxxxxxx
!
!
crypto isakmp policy 30
hash md5
authentication pre-share
crypto isakmp key ******* address 78.107.133.178 no-xauth
!
!
crypto ipsec transform-set TSZT esp-des esp-md5-hmac
mode transport
!
crypto map CM 10 ipsec-isakmp
set peer 78.107.133.178
set transform-set TSZT
match address 101
!
archive
log config
  hidekeys
!
!
!
!
!
interface Tunnel0
ip address 192.168.100.2 255.255.255.252
ip broadcast-address 0.0.0.0
ip mtu 1400
ip virtual-reassembly
tunnel source FastEthernet4
tunnel destination 78.107.133.178
tunnel path-mtu-discovery
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface FastEthernet4
description telecom
ip address 78.107.219.163 255.255.255.240
ip broadcast-address 0.0.0.0
ip virtual-reassembly
duplex auto
speed auto
crypto map CM
!
interface Vlan1
description LAN
ip address 192.168.1.251 255.255.255.0
ip broadcast-address 0.0.0.0
no ip redirects
no ip unreachables
no ip proxy-arp
ip virtual-reassembly
ip route-cache flow
ip tcp adjust-mss 1360
!
ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 78.107.219.161
ip route 192.168.0.0 255.255.255.0 Tunnel0
!
no ip http server
ip http access-class 23
ip http authentication local
no ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
!
access-list 101 permit gre host 78.107.219.163 host 78.107.133.178
no cdp run
!
control-plane
!
!
line con 0
login local
no modem enable
line aux 0
line vty 0 4
access-class 23 in
privilege level 15
login local
transport input telnet ssh
!
scheduler max-task-time 5000
end


Офис2

!
version 12.4
no service pad
service tcp-keepalives-in
service tcp-keepalives-out
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
service sequence-numbers
no service dhcp
!
hostname corbina-kash
!
boot-start-marker
boot-end-marker
!
logging buffered 51200
logging console critical
enable secret 5 xxxxxxxxxxxxxxxxxx
!
no aaa new-model
!
!
dot11 syslog
no ip source-route
!
!
ip cef
no ip bootp server
no ip domain lookup
!
!
!
username admin privilege 15 secret 5 xxxxxxxxxxxxxxxxxx
!
!
crypto isakmp policy 30
hash md5
authentication pre-share
crypto isakmp key xxxxxxxx address 78.107.219.163 no-xauth
!
!
crypto ipsec transform-set TSZT esp-des esp-md5-hmac
mode transport
!
crypto map CM 10 ipsec-isakmp
set peer 78.107.219.163
set transform-set TSZT
match address 101
!
archive
log config
  hidekeys
!
!
ip tcp synwait-time 10
ip ssh time-out 60
ip ssh authentication-retries 2
!
!
!
interface Tunnel0
ip address 192.168.100.1 255.255.255.252
ip mtu 1400
ip virtual-reassembly
tunnel source FastEthernet4
tunnel destination 78.107.219.163
tunnel path-mtu-discovery
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface FastEthernet4
description ex
ip address 78.107.133.178 255.255.255.240
no ip redirects
no ip unreachables
no ip proxy-arp
ip virtual-reassembly
ip route-cache flow
duplex auto
speed auto
crypto map CM
!
interface Vlan1
description Local Area Network
ip address 192.168.0.1 255.255.255.0
no ip redirects
no ip unreachables
no ip proxy-arp
ip route-cache flow
ip tcp adjust-mss 1452
!
ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 78.107.133.177
ip route 192.168.1.0 255.255.255.0 Tunnel0
!
no ip http server
no ip http secure-server
!
access-list 101 permit gre host 78.107.219.163 host 78.107.133.178
no cdp run
!
control-plane
!
banner login ^CAuthorized access only! !^C
!
line con 0
login local
no modem enable
transport output telnet
line aux 0
line vty 0 4
login
!
scheduler max-task-time 5000
end


Где ошибка?  

Содержание
Сообщения в этом обсуждении
"маршрутизация между cisco 851"
Отправлено waff_ez , 05-Дек-08 17:33 
А почему бы не сделать вот так?


interface Tunnel0
crypto map CM

access-list 101 permit ip 192.168.0.0 0.0.0.255 192.168.1.0 0.0.0.255

"маршрутизация между cisco 851"
Отправлено kastet , 05-Дек-08 17:45 
>А почему бы не сделать вот так?
>
>
>interface Tunnel0
> crypto map CM
>
>access-list 101 permit ip 192.168.0.0 0.0.0.255 192.168.1.0 0.0.0.255

а с gre как быть? заменить просто этим?


"маршрутизация между cisco 851"
Отправлено kastet , 08-Дек-08 10:13 
проблема не решена, помогите пожалуйста...


"маршрутизация между cisco 851"
Отправлено Коля , 08-Дек-08 11:58 
>проблема не решена, помогите пожалуйста...

есть 2 способа приготовить сосиску правильно - сварить, неправильно гвозди на проводах проткнуть и включить в 220 :)

криптомапы на реальных интерфейсах ужо не актуально :)
Делаем так:

crypto isakmp policy 10
encr ххххххх
hash ххххххх
authentication pre-share
crypto isakmp key ВАШ_КЕЙ address ВАШ_РЕМОУТ_БЕЛЫЙ АЙПИ

!
!
crypto ipsec transform-set ИМЯ_ТРСЕТА ххххх-политики шифрования
!
crypto ipsec profile ИМЯ_ПРОФАЙЛА
set transform-set ИМЯ_ТРСЕТА


Далее по вашему конфигу чуток изменим на первой циске

interface Tunnel0
ip address 192.168.100.1 255.255.255.252
ip mtu 1400
ip virtual-reassembly
tunnel source FastEthernet4
tunnel destination 78.107.219.163
tunnel path-mtu-discovery
tunnel protection ipsec profile ИМЯ_ПРОФАЙЛА
crypto ipsec df-bit clear

на второй циске

interface Tunnel0
ip address 192.168.100.2 255.255.255.252
ip mtu 1400
ip virtual-reassembly
tunnel source FastEthernet4
tunnel destination 78.107.219.163
tunnel path-mtu-discovery
tunnel protection ipsec profile ИМЯ_ПРОФАЙЛА
crypto ipsec df-bit clear

Не забываем правильно смаршрутизировать на одной и другой стороне. Кажись все

"маршрутизация между cisco 851"
Отправлено Коля , 08-Дек-08 12:12 
Ты бы листами прикрыл свое счастье (access 23) а то тебя на изнанку ща вывернут с чесными ай-пи адресами
"маршрутизация между cisco 851"
Отправлено kastet , 08-Дек-08 15:01 
Исправил) спасибо большое!
Теперь интерфейсы с цисок пингуются а в локальной сети адреса нет.
Наверно с маршрутами что то не то?
"маршрутизация между cisco 851"
Отправлено Коля , 08-Дек-08 16:31 
>Исправил) спасибо большое!
>Теперь интерфейсы с цисок пингуются а в локальной сети адреса нет.
>Наверно с маршрутами что то не то?

давай покажи свою маршрутизацию явно не дописал куда какие сети рулить.

"маршрутизация между cisco 851"
Отправлено kastet , 08-Дек-08 16:42 
>>Исправил) спасибо большое!
>>Теперь интерфейсы с цисок пингуются а в локальной сети адреса нет.
>>Наверно с маршрутами что то не то?
>
>давай покажи свою маршрутизацию явно не дописал куда какие сети рулить.

на 1 роутере
ip route 0.0.0.0 0.0.0.0 78.107.133.177
ip route 192.168.1.0 255.255.255.0 Tunnel0

на втором

ip route 0.0.0.0 0.0.0.0 78.107.219.161
ip route 192.168.0.0 255.255.255.0 Tunnel0

ещё что интересно, с роутера1 пингуется внутренний интерфейс циски на другом конце, а с роутера2 нет

sevast-corb#ping 192.168.0.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.0.1, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

"маршрутизация между cisco 851"
Отправлено kastet , 09-Дек-08 15:33 
пинги пошли а вот RDP не работает...
побывал MTU FastEthernet4 выставить 1444 не помогает.
telnet по 3389 порту работает.. что может быть?
"маршрутизация между cisco 851"
Отправлено Gosha , 17-Дек-08 07:49 
>пинги пошли а вот RDP не работает...
>побывал MTU FastEthernet4 выставить 1444 не помогает.
>telnet по 3389 порту работает.. что может быть?

Аналогичная ситуация и схожие конфиги.
Внутренний интерфейс кошки и сетка за ней пингуется
только с одной стороны. А с другой нет, хоть убейся...
  Как решили проблему с пропинговкой ???
Кстати RADMIN рулит, но опять же только с одной стороны...