URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 18073
[ Назад ]
Исходное сообщение
"Туннель IPSec через два ISP"
Отправлено SPIDERL33T , 23-Янв-09 12:38 
Есть lan-2-lan IPSec туннель по Ethernet с "белыми" IP.
----------------------------------
ASA 5510 <===> Cisco870 (IOS 12.4)
----------------------------------
ASA 5510 outside: 10.0.10.5
ASA 5510 inside: 192.168.1.10 255.255.255.0
GW: 10.0.10.254

Cisco870 outside(ISP-1): 10.0.20.5
GW(ISP-1): 10.0.20.254
Cisco870 outside(ISP-2): 10.0.30.5
GW(ISP-2): 10.0.30.254
Cisco870 inside: 192.168.5.10 255.255.255.0

870-я Cisco - это филиал с провайдером, у которого иногда возникают проблемы. Было решено развернуть вторую линию. Подключили ещё одного провайдера, получили "белый" IP.

Подскажите, пожалуйста, как реализовать следующую схему:

Два канала на роутере870 висят в онлайн. Вся inside-сеть этого роутера "192.168.5.0/24" идёт через ISP-1 по IPSec во внутреннюю сеть ASA5510 ("192.168.1.0/24"), а единственный хост этой сети "192.168.5.25" идёт только по ISP-2.
Если линия ISP-1 "падает", то вся сеть 192.168.5.0/24 "заворачивается" в IPS-2 и по IPSec уходит, опять же, в inside-сеть ASA 5510.

По работе с двумя ISP`ами документации и примеров в сети полно, но у меня помимо роутинга на два провайдера ещё и IPSec-туннели есть.
Не сочтите за труд, окажите помощь.

Заранее благодарен.
С уважением.

Содержание
Сообщения в этом обсуждении
"Туннель IPSec через два ISP"
Отправлено SPIDERL33T , 23-Янв-09 18:46 
>[оверквотинг удален]
>Если линия ISP-1 "падает", то вся сеть 192.168.5.0/24 "заворачивается" в IPS-2 и
>по IPSec уходит, опять же, в inside-сеть ASA 5510.
>
>По работе с двумя ISP`ами документации и примеров в сети полно, но
>у меня помимо роутинга на два провайдера ещё и IPSec-туннели есть.
>
>Не сочтите за труд, окажите помощь.
>
>Заранее благодарен.
>С уважением.

Мде, блин... Сам уже разобрался.

"Туннель IPSec через два ISP"
Отправлено plohish , 29-Янв-09 16:51 
>[оверквотинг удален]
>>
>>По работе с двумя ISP`ами документации и примеров в сети полно, но
>>у меня помимо роутинга на два провайдера ещё и IPSec-туннели есть.
>>
>>Не сочтите за труд, окажите помощь.
>>
>>Заранее благодарен.
>>С уважением.
>
>Мде, блин... Сам уже разобрался.

Здравствуйте. У меня была аналогичная проблема, я писал сюда о своем решении и проблемой с ним. У вас наблюдается такое ?

1.Трекинг статических маршрутов до провайдеров на ASA:

sla monitor 1
type echo protocol ipIcmpEcho 92.242.xxx.xx interface pri_isp_subif   пингуем шлюз основного провайдера  num-packets 3  frequency 10 sla monitor schedule 1 life forever start-time now track 1 rtr 1 reachability route pri_isp_subif 0.0.0.0 0.0.0.0 92.242.xxx.xx 1 track 1 route sec_isp_subif 0.0.0.0 0.0.0.0 195.5.y.yyy 254

2.isakmp и crypto-map на ASA включены на обоих интерфейсах.

3.Роутер филиала:

crypto isakmp policy 50
encr aes 256
authentication pre-share
group 5
crypto isakmp key secret address 92.242.nnn.nn crypto isakmp key secret address 82.207.mmm.mmm !
!
crypto ipsec transform-set SET esp-aes 256 esp-md5-hmac !
crypto map MAP 50 ipsec-isakmp
set peer 92.242.nnn.nn default
set peer 82.207.mmm.mmm
set transform-set SET
match address 120

4.Ложим линк с основным провайдером. Маршрут на ASA переключается – ОК.
VPN от филиалов переподключается к 82.207.mmm.mmm (ip интерфейса, подключенного к резевному провайдеру) – OK. На данном этапе я добился желаемого.

5.Восстанавливаем линк с основным провайдером (линк с резервным не трогаем).
Маршрут на ASA возвращается  на основного провайдера - OK. VPN от филиалов остается подключенным к 82.207.mmm.mmm ???!!!
Судя по debug - keepalive ASA получает и туннель ложить не собирается, хотя данные по нему не ходят, потому как основной маршрут на основного провайдера.
Если, к примеру, сделать
route sec_isp_subif 192.168.65.0 255.255.255.0 195.5.y.yyy – становится доступной и передача данных по каналу резервного провайдера при установленном маршруте по умолчанию через основного.
Если, при этом, положить линк с резевным провайдером, keepalive ходить перестают, туннель успешно прибивается и переподключается через основного.
Резюмируя, VPN уходит на резервного провайдера, при падении основного и остается там при восстановлении основного.

"Туннель IPSec через два ISP"
Отправлено ILF , 30-Июн-09 04:03 
>[оверквотинг удален]
>Судя по debug - keepalive ASA получает и туннель ложить не собирается,
>хотя данные по нему не ходят, потому как основной маршрут на
>основного провайдера.
>Если, к примеру, сделать
>route sec_isp_subif 192.168.65.0 255.255.255.0 195.5.y.yyy – становится доступной и передача данных по
>каналу резервного провайдера при установленном маршруте по умолчанию через основного.
>Если, при этом, положить линк с резевным провайдером, keepalive ходить перестают, туннель
>успешно прибивается и переподключается через основного.
>Резюмируя, VPN уходит на резервного провайдера, при падении основного и остается там
>при восстановлении основного.

Получилось ли как-нибудь забороть данный трабл?

"Туннель IPSec через два ISP"
Отправлено plohish , 02-Июл-09 12:20 
>[оверквотинг удален]
>>основного провайдера.
>>Если, к примеру, сделать
>>route sec_isp_subif 192.168.65.0 255.255.255.0 195.5.y.yyy – становится доступной и передача данных по
>>каналу резервного провайдера при установленном маршруте по умолчанию через основного.
>>Если, при этом, положить линк с резевным провайдером, keepalive ходить перестают, туннель
>>успешно прибивается и переподключается через основного.
>>Резюмируя, VPN уходит на резервного провайдера, при падении основного и остается там
>>при восстановлении основного.
>
>Получилось ли как-нибудь забороть данный трабл?

Нет. Перед 5510 у меня 2821, так вот я ipsec на нее перевесил и ospf (в процессе..)