Уважаемые, помогите пожалуйста советом. Поднимаю туннель. При применении crypto map вешается интерфейс на который она применяется. И никак не могу поднять соединение. Туннели зашифрованные с помощью ipsec profile работают без проблем. Но у меня задача, подключить много розничных точек, так что кучу VTI создавать нет желания.Предполагается, что каждая розничная точка будет иметь подсеть с 28-битной маской. И все они будут объединены в supernet 172.17.0.0 255.255.0.0, чтобы не писать множественные маршруты и access листы.
a.a.a.a - внешний IP филиала 1
b.b.b.b - внешний IP филиала 2
x.x.x.x - внешний IP предполагаемого магазина
c.c.c.c - внешний IP выделеной ISP подсети маршрутизируемой вовне (является шлюзом для этой подсети)
z.z.z.z - внешний IP к ISP
y.y.y.y - шлюз ISPКонфиг:
!
crypto keyring Branch1Key
pre-shared-key address a.a.a.a key Superkey1
crypto keyring Branch2Key
pre-shared-key address b.b.b.b key Superkey2
crypto keyring ShopsKey
pre-shared-key address 0.0.0.0 0.0.0.0 key MegaSuperKey
!
crypto isakmp policy 10
encr 3des
authentication pre-share
group 2
crypto isakmp profile Branch1
keyring Branch1Key
match identity address a.a.a.a 255.255.255.255
crypto isakmp profile Branch2
keyring Branch2Key
match identity address b.b.b.b 255.255.255.255
crypto isakmp profile Shops
keyring ShopsKey
match identity address 0.0.0.0
!
!
crypto ipsec transform-set 3DES-SHA esp-3des esp-sha-hmac
mode transport
crypto ipsec transform-set 3DES-MD5 esp-3des esp-md5-hmac
mode transport
!
crypto ipsec profile Branch1IPSec
set transform-set 3DES-SHA
set isakmp-profile Branch1
!
crypto ipsec profile Branch2IPSec
set transform-set 3DES-SHA
set isakmp-profile Branch2
!
!
!
!
!
!
!
!
crypto map VPNShops 10 ipsec-isakmp
set peer x.x.x.x
set security-association lifetime seconds 28800
set transform-set 3DES-SHA
set pfs group2
set isakmp-profile Shops
match address 100
!
!
!
!
!
!
interface Tunnel0
description ===== Branch1 =====
ip address 192.168.100.1 255.255.255.252
ip mtu 1400
ip tcp adjust-mss 1360
tunnel source c.c.c.c
tunnel mode ipsec ipv4
tunnel destination a.a.a.a
tunnel protection ipsec profile Branch1IPSec
!
interface Tunnel1
description ===== Branch2 =====
ip address 192.168.101.1 255.255.255.252
ip mtu 1400
ip tcp adjust-mss 1360
tunnel source c.c.c.c
tunnel mode ipsec ipv4
tunnel destination b.b.b.b
tunnel protection ipsec profile Branch2IPSec
!
interface Embedded-Service-Engine0/0
no ip address
shutdown
!
interface GigabitEthernet0/0
no ip address
duplex auto
speed auto
!
interface GigabitEthernet0/0.1
description ===== DMZ =====
encapsulation dot1Q 6
ip address c.c.c.c 255.255.255.240
crypto map VPNShops
!
interface GigabitEthernet0/1
no ip address
duplex auto
speed auto
!
interface GigabitEthernet0/1.1
description ===== Management =====
encapsulation dot1Q 10
ip address 192.168.10.1 255.255.255.0
!
interface GigabitEthernet0/1.2
!
interface GigabitEthernet0/2
description ===== Internet Comstar =====
ip address z.z.z.z 255.255.255.252
duplex auto
speed auto
!
ip forward-protocol nd
!
no ip http server
no ip http secure-server
!
ip route 0.0.0.0 0.0.0.0 y.y.y.y
ip route 172.17.0.0 255.255.0.0 GigabitEthernet0/0.1
ip route 192.168.110.0 255.255.255.0 192.168.10.254
ip route 192.168.111.0 255.255.255.0 192.168.10.254
ip route 192.168.120.0 255.255.255.0 Tunnel0
ip route 192.168.121.0 255.255.255.0 Tunnel1
!
access list 100 permit ip any anyПочему перестаёт работать доступ в Интернет и из Интернета через с.с.с.с при применении crypto map?
Првильно ли написан конфиг для туннеля на crypto map?
И правильно ли я понимаю supernet и маршрутизацию в пределах данной задачи?
Заранее прошу прощения за детские ошибки, если есть, моё познание Cisco только начинается.
1. Потому что весь трафик попадает под access-list 100 и cisco пытается его запихнуть в туннель.
2. Писать много access листов все равно придется.
На каждый магазин нужен свой:
crypto map VPNShops XX ipsec-isakmp
set peer x.x.x.x
set security-association lifetime seconds 28800
set transform-set 3DES-SHA
set pfs group2
set isakmp-profile Shops
match address XXXCisco по access-list`у будет выбирать на какой peer слать трафик через тунель. Так что от громоздкой конфигурации не сильно спасет.
3. Вопрос: что за сеть c.c.c.c. Общий широковещательный домен /28, или много мелких сеток для каждого филиала? Связан вопрос с тем, что ip route 172.17.0.0 255.255.0.0 GigabitEthernet0/0.1 - будет генерить arp запрос для каждого хоста из сети 172.17/16 и слать его широковещательно в сеть c.c.c.c
>[оверквотинг удален]
> set transform-set 3DES-SHA
> set pfs group2
> set isakmp-profile Shops
> match address XXX
> Cisco по access-list`у будет выбирать на какой peer слать трафик через тунель.
> Так что от громоздкой конфигурации не сильно спасет.
> 3. Вопрос: что за сеть c.c.c.c. Общий широковещательный домен /28, или много
> мелких сеток для каждого филиала? Связан вопрос с тем, что ip
> route 172.17.0.0 255.255.0.0 GigabitEthernet0/0.1 - будет генерить arp запрос для каждого
> хоста из сети 172.17/16 и слать его широковещательно в сеть c.c.c.cСпасибо, за оперативность.
1. Понятно. В access list надо указать только те сети траффик которых нужно туннелировать. Правильно?
2. Это я знал. Но мне кажется лучше применить одну crypto map VPNShops на интерфейс, чем создавать кучу VTI. Или я не прав?
3. Я боюсь ошибиться в терминологии, но по-моему это именно широковещательный домен. Это белый IP выданный провайдером который является шлюзом для внешней сети с.с.с.с/28, которая маршрутизируется в интернет через z.z.z.z/30. Если неправильно посылать arp запросы в эту белую сеть (с.с.с.с/28), то у меня встречный вопрос: как тогда написать, чтобы сети 192.168.110.0/24 192.168.111.0/24 (о которых этот роутер знает потому что 192.168.10.0/24 в итоге приходит на Catalist 3750 192.168.10.254, где все они определены Vlan'ами) видели суперсеть 172.17.0.0/16
>[оверквотинг удален]
> нужно туннелировать. Правильно?
> 2. Это я знал. Но мне кажется лучше применить одну crypto map
> VPNShops на интерфейс, чем создавать кучу VTI. Или я не прав?
> 3. Я боюсь ошибиться в терминологии, но по-моему это именно широковещательный домен.
> Это белый IP выданный провайдером который является шлюзом для внешней сети
> с.с.с.с/28, которая маршрутизируется в интернет через z.z.z.z/30. Если неправильно посылать
> arp запросы в эту белую сеть (с.с.с.с/28), то у меня встречный
> вопрос: как тогда написать, чтобы сети 192.168.110.0/24 192.168.111.0/24 (о которых этот
> роутер знает потому что 192.168.10.0/24 в итоге приходит на Catalist 3750
> 192.168.10.254, где все они определены Vlan'ами) видели суперсеть 172.17.0.0/161. Конечно траффик МЕЖДУ которыми нужно туннелировать. Написал как надо. Интернет не пропал. Все существующие сети между собой видны. По sh crypto isakmp sa видно даже что туннель ACTIVE, хотя на той стороне сейчас DLink на котором нет настроек IPSec (уходя из дома я снял тестируемый и поставил обратно свой). Остаются вопросы 2 и 3 (особенно интересный).
>[оверквотинг удален]
>> arp запросы в эту белую сеть (с.с.с.с/28), то у меня встречный
>> вопрос: как тогда написать, чтобы сети 192.168.110.0/24 192.168.111.0/24 (о которых этот
>> роутер знает потому что 192.168.10.0/24 в итоге приходит на Catalist 3750
>> 192.168.10.254, где все они определены Vlan'ами) видели суперсеть 172.17.0.0/16
> 1. Конечно траффик МЕЖДУ которыми нужно туннелировать. Написал как надо. Интернет не
> пропал. Все существующие сети между собой видны. По sh crypto isakmp
> sa видно даже что туннель ACTIVE, хотя на той стороне сейчас
> DLink на котором нет настроек IPSec (уходя из дома я снял
> тестируемый и поставил обратно свой). Остаются вопросы 2 и 3 (особенно
> интересный).Туннель в итоге я поднял, но сети не видят друг друга. В связи с чем 3 вопрос становиться всё более актаульным. Пробовал на Cisco прописать маршрут не в супернет, а явно в тустовую сеть, в DLink добавил статический маршрут - тоже не помогает. Помогите советом пожалуйста.
>>[оверквотинг удален]До конца не понял вопрос про "сети не видят друг друга".
Если вы про то что филиалы не видят другие филиалы, то так и будет если вы используете crypto map вместо VTI.
Если про сети за каталистом, то на нем нужен статик:
ip route 172.17.0.0 255.255.0.0 192.168.10.1и соответственно добавить в access-list IPSEC`а правило гнать трафик из 192.168.110.0/24 в филиалы через туннель.
И "ip route 172.17.0.0 255.255.0.0 GigabitEthernet0/0.1" я бы все таки рекомендовал заменить на отдельные записи для каждого филиала. Что то типа:
ip route 172.17.x.0 255.255.255.0 c.c.c.xКонфиг не сильно раздуется (у вас всего то /28 сеть), но зато будет прозрачнее работать.
Записи тип ip route IP_NET MASK INT придумали когда то для PPP линков с /31 маской, и плохо работают в multipoint сетях.По сути вопроса 2:
При вашем выборе оборудования разницы особой нет. DLink не умеет динамики, QoS и прочее, поэтому все преимущества VTI сходят на нет. Тут выбор стоит делать из личных предпочтений: насколько хорошо вам понятен принцип работы того или иного подхода, как хорошо вы сможете из траблшутить в случае чего.
>[оверквотинг удален]
> Конфиг не сильно раздуется (у вас всего то /28 сеть), но зато
> будет прозрачнее работать.
> Записи тип ip route IP_NET MASK INT придумали когда то для PPP
> линков с /31 маской, и плохо работают в multipoint сетях.
> По сути вопроса 2:
> При вашем выборе оборудования разницы особой нет. DLink не умеет динамики, QoS
> и прочее, поэтому все преимущества VTI сходят на нет. Тут выбор
> стоит делать из личных предпочтений: насколько хорошо вам понятен принцип работы
> того или иного подхода, как хорошо вы сможете из траблшутить в
> случае чего.Так "ip route 172.17.x.0 255.255.255.0 c.c.c.x" я написать не могу. Cisco ругается, что сделующий шаг этот же роутер. Но для каждого магазина могу написать "ip route 172.17.x.x 255.255.255.240 GigabitEthernet0/0.1" (Ну как не сильно раздуется? у меня около 200 розничных точек.)
На Catalist, естественно, я маршрут написал :)
Надобности в том, чтобы сети магазинов видели друг друга нет абсолютно никакой.
Вчера после поднятия туннеля я пинговал с машины за DLink 172.17.0.18 роутер Cisco 192.168.10.1 и в обратную сторону. Пингов нет. Мало того в таблице маршрутизации на DLink я не вижу маршрута в 192.168.10.0/24
Сейчас на Cisco написано так:ip route 0.0.0.0 0.0.0.0 y.y.y.y
ip route 172.17.0.0 255.255.0.0 GigabitEthernet0/0.1
ip route 192.168.110.0 255.255.255.0 192.168.10.254
ip route 192.168.111.0 255.255.255.0 192.168.10.254
ip route 192.168.120.0 255.255.255.0 Tunnel0
ip route 192.168.121.0 255.255.255.0 Tunnel1
!
access list 100 permit ip 192.168.10.0 0.0.0.255 172.17.0.0 0.0.255.255
access list 100 permit iсmp 192.168.10.0 0.0.0.255 172.17.0.0 0.0.255.255
access list 100 permit ip 192.168.110.0 0.0.0.255 172.17.0.0 0.0.255.255
access list 100 permit iсmp 192.168.110.0 0.0.0.255 172.17.0.0 0.0.255.255
access list 100 permit ip 192.168.111.0 0.0.0.255 172.17.0.0 0.0.255.255
access list 100 permit iсmp 192.168.111.0 0.0.0.255 172.17.0.0 0.0.255.255
access list 100 deny ip any any
access list 100 deny iсmp any anyНужно чтобы пакеты из 172.17.0.16/28 ходили в 192.168.10.0/24 192.168.110.0/24 192.168.111.0/24 и обратно. На Catalist всё ровно. Трассировка 172.17.0.18 уходит на 192.168.10.1 и там затыкается. Сегодня попробую ещё раз вечером. Тестовый DLink дома и приходится, уходя, его заменять домашним роутером, чтобы Инет дома был, а то супруга и дети не поймут:)
И по поводу Crypto Map vs. VTI мне особо не совсем понятно. Разницу вижу только явную. Что первое вешается на интерфейс, а под второй создаётся отдельный интерфейс. Читал, что через VTI нельзя загнать не IP траффик, в этом его минус. Может не так чего понял, но это тема для отдельной беседы. Я только начинаю с Cisco знакомится. Динамическая маршрутизация и QoS для меня тёмный лес пока. У меня стоит задача и руководство поджимает, другие глобальные я делать из-за этого не могу. Денег на учёбу не выделили... ну как обычно.
> у меня около 200 розничных точек.)почему тогда сеть c.c.c.c с маской /28? Т.е. магазины не в ней, а в интернете?
И, кстати, тебе придется сделать 200 разных access листов, чтобы cisco поняла за каким пиром какая сеть сидит.> На Catalist, естественно, я маршрут написал :)
> Надобности в том, чтобы сети магазинов видели друг друга нет абсолютно никакой.Это хорошо.
> Вчера после поднятия туннеля я пинговал с машины за DLink 172.17.0.18 роутер
> Cisco 192.168.10.1 и в обратную сторону. Пингов нет. Мало того в
> таблице маршрутизации на DLink я не вижу маршрута в 192.168.10.0/24
> Сейчас на Cisco написано так:
> ip route 0.0.0.0 0.0.0.0 y.y.y.y
> ip route 172.17.0.0 255.255.0.0 GigabitEthernet0/0.1Я вот никак не пойму. За какой сетью у тебя сидят все филиалы, если y.y.y.y твой интернет шлюз. Если они в интернете, то зачем вешать crypto map на внутренний интерфейс?
Проще повесить его на GigabitEthernet0/2 и вообще убрать "ip route 172.17.0.0 255.255.0.0 GigabitEthernet0/0.1."
Router не будет знать где 172.17 и все будет лить на шлюз по умолчению, и на внешнем интерфейсе cryto map перехватит все в ipsec> Нужно чтобы пакеты из 172.17.0.16/28 ходили в 192.168.10.0/24 192.168.110.0/24 192.168.111.0/24
Если у каждого филиала своя /28 из сети 172.17 то надо делать так:
На cisco:
!Для 1го магазина
ip access-list ext Tunnel-to-Shop001
permit ip 192.168.0.0 0.0.255.255 172.17.0.16 0.0.0.15
crypto map VPNShops 10 ipsec-isakmp
set peer x.x.x.x !(внешний адресс 1го магазина)
set security-association lifetime seconds 28800
set transform-set 3DES-SHA
set pfs group2
set isakmp-profile Shops
match address Tunnel-to-Shop001!Для 2го магазина
ip access-list ext Tunnel-to-Shop002
permit ip 192.168.0.0 0.0.255.255 172.17.0.32 0.0.0.15crypto map VPNShops 20 ipsec-isakmp
set peer x.x.x.x !(внешний адресс 2го магазина)
set security-association lifetime seconds 28800
set transform-set 3DES-SHA
set pfs group2
set isakmp-profile Shops
match address Tunnel-to-Shop002и так далее.
interface GigabitEthernet0/2
crypto map VPNShops
На DLink`ах обратные access-list
Local IP 172.17.0.16/29
Remote IP 192.168.0.0/16Должно работать.
> И по поводу Crypto Map vs. VTI мне особо не совсем понятно.
> Разницу вижу только явную. Что первое вешается на интерфейс, а под
> второй создаётся отдельный интерфейс.Т.е. ты работаешь с ними по логике, как будто все филиалы включены шнурками напрямую в cisco. Отсюда простота в понимании процесса и привычные вещи в управлении: роутинг и полисинг.
> Читал, что через VTI нельзя загнать не IP траффик, в этом его минус.
А ты собрался гонять IPX или еще чего похуже?
> У меня стоит задача и руководство поджимает,
Напоминаю, что в SEC лицензии у ipsec: Currently that limitation is 170Mbps throughput (85 Mbps in each direction) and 225 tunnels. Тебе хватит этого?
Во-первых, хотел поблагодарить за участие, а то и помочь некому.> почему тогда сеть c.c.c.c с маской /28? Т.е. магазины не в ней,
> а в интернете?сеть c.c.c.c/28 - это сеть белых IP выданных ISP, ну к примеру 58.235.72.176/28, Cisco имеет IP 58.235.72.177 и является шлюзом для хостов находящихся с ней в этой сети (почта, прокси, фтп и т.д.)
> И, кстати, тебе придется сделать 200 разных access листов, чтобы cisco поняла
> за каким пиром какая сеть сидит.Это тоже понятно.
> Я вот никак не пойму. За какой сетью у тебя сидят все
> филиалы, если y.y.y.y твой интернет шлюз. Если они в интернете, то
> зачем вешать crypto map на внутренний интерфейс?
> Проще повесить его на GigabitEthernet0/2 и вообще убрать "ip route 172.17.0.0
> 255.255.0.0 GigabitEthernet0/0.1."
> Router не будет знать где 172.17 и все будет лить на шлюз
> по умолчению, и на внешнем интерфейсе cryto map перехватит все в
> ipsecА через сеть y.y.y.y ну к примеру 195.17.46.100/32, вот эту сеть 58.235.72.176/28 провайдер маршрутизирует в Интернет. Надобность, чтобы магазины соединялись с IP 58.235.72.177. И через него маршрутизировались во внутренние сети. Про y.y.y.y можно в принципе забыть, как мне кажется. Ведь с.с.с.с (58.235.72.177) белый IP видный из Интернета. Т.е. GigabitEthernet0/0.1 это НЕ ВНУТРЕННИЙ интерфейс, он является белым IP и шлюзом для его сети в Интернет, да что уж там, мы все через него в Инет ходим, т.е. пакет в Интернет из внутренней сети офиса идёт, на Catalist 192.168.10.254 оттуда на Прокси (192.168.110.101/58.235.72.179). Если на Catalist прописан маршрут, сразу на роутер (192.168.10.1/58.235.72.177/195.17.46.102) для VPN'ов. А с роутера уже отправляется к провайдеру. Нам выделена сеть белых IP. У нас много внешних сервисов.
> Если у каждого филиала своя /28 из сети 172.17 то надо делать
> так:
> На cisco:
> !Для 1го магазина
> ip access-list ext Tunnel-to-Shop001
> permit ip 192.168.0.0 0.0.255.255 172.17.0.16 0.0.0.15т.е. супернет вот так 192.168.0.0 0.0.255.255 172.17.0.0 0.0.255.255, чтобы охватить все магазины в одном access-list не получиться?
>[оверквотинг удален]
> set pfs group2
> set isakmp-profile Shops
> match address Tunnel-to-Shop002
> и так далее.
> interface GigabitEthernet0/2
> crypto map VPNShops
> На DLink`ах обратные access-list
> Local IP 172.17.0.16/29
> Remote IP 192.168.0.0/16
> Должно работать.access-list на DLink'ах звучит страшно :)
> А ты собрался гонять IPX или еще чего похуже?
Да нет, не собирался. Мне надо магазинные машины в домен загнать. Ну удобство управления, удешевление администрирования, Group Policies, антивирус enterprise. Всё такое.
> Напоминаю, что в SEC лицензии у ipsec: Currently that limitation is 170Mbps
> throughput (85 Mbps in each direction) and 225 tunnels. Тебе хватит
> этого?Надеюсь хватит, пока магазинов около 160, но открываются всё новые. Спасибо, кстати, за предупреждение. Не знал. Ну может через пару лет новый роутер купят.
Сейчас написано так:
crypto map VPNShops 10 ipsec-isakmp
set peer х.х.х.х
set security-association lifetime seconds 28800
set transform-set 3DES-SHA
set pfs group2
set isakmp-profile Shops
match address 101
!
interface GigabitEthernet0/0
no ip address
duplex auto
speed auto
!
interface GigabitEthernet0/0.1
description ===== DMZ =====
encapsulation dot1Q 7
ip address 58.235.72.177 255.255.255.240
crypto map VPNShops
!
interface GigabitEthernet0/1
no ip address
duplex auto
speed auto
!
interface GigabitEthernet0/1.1
encapsulation dot1Q 10
ip address 192.168.10.1 255.255.255.0
!
interface GigabitEthernet0/1.2
!
interface GigabitEthernet0/2
description ===== Internet =====
ip address 195.17.46.102 255.255.255.252
duplex auto
speed auto
!
ip route 0.0.0.0 0.0.0.0 195.17.46.101
ip route 172.17.0.16 255.255.255.240 GigabitEthernet0/0.1
ip route 192.168.10.0 255.255.255.0 192.168.10.254
ip route 192.168.110.0 255.255.255.0 192.168.10.254
ip route 192.168.111.0 255.255.255.0 192.168.10.254
!
access-list 101 permit ip 192.168.10.0 0.0.0.255 172.17.0.16 0.0.0.15
access-list 101 permit icmp 192.168.10.0 0.0.0.255 172.17.0.16 0.0.0.15
access-list 101 deny ip any any
access-list 101 deny icmp any anyПроверял опять из дома. D-Link пишет что какие-то пакеты идут, но пинга нет. Туннель поднят. Почему у него в таблицах маршрутизации нету маршрута к 192.168.10.0? NAT-T, я правильно понимаю, нужен для того, чтобы хосты в сети за NAT в туннель IPSec не NATились?
> т.е. супернет вот так 192.168.0.0 0.0.255.255 172.17.0.0 0.0.255.255, чтобы охватить все магазины в одном access-list не получиться?Crypto map обрабатывается по порядку, начиная с младшего. Трафик, предназначенный для, например, 5го филиала удовлетворит первой же записи в crypto map (172.17.0.0 0.0.255.255) и будет отправлен в 1ый филиал.
Вернемся, к баранам:
Для crypto map VPNShops сделай отдельный ipsec transform-set и выстави в нем mode tunnel. Проверь чтоб на D-Link стоял такой же.
Настройки D-Link`a:
Policy type: Auto
IKE version: IPv4 IKEv1
Ipsec mode: Tunnel
Remote Endpoint: 58.235.72.177
Protocol: ESP
Local IP: 172.17.0.16/28
Remote IP: 192.168.0.0/16Проверь на DLink настройки Phase I и Phase II. Они должны совпадать с crypto isakmp policy и crypto isakmp profile (для Phase I) и crypto map VPNShops 10 ipsec-isakmp (для Phase II)
поставь пинг и покажи
sh cry ips saЕсли не заработало - выкладывай debug cry isa и debug cry ips
P.s. Я бы все таки перевесил бы crypto map на 195.17.46.102 чтобы исключить проблемы с попаданием трафика в crypto map
>> т.е. супернет вот так 192.168.0.0 0.0.255.255 172.17.0.0 0.0.255.255, чтобы охватить все магазины в одном access-list не получиться?
> Crypto map обрабатывается по порядку, начиная с младшего. Трафик, предназначенный для,
> например, 5го филиала удовлетворит первой же записи в crypto map (172.17.0.0
> 0.0.255.255) и будет отправлен в 1ый филиал.
> Вернемся, к баранам:
> Для crypto map VPNShops сделай отдельный ipsec transform-set и выстави в нем
> mode tunnel. Проверь чтоб на D-Link стоял такой же.Если выставить mode tunnel туннель перестаёт работать.
>[оверквотинг удален]
> Policy type: Auto
> IKE version: IPv4 IKEv1
> Ipsec mode: Tunnel
> Remote Endpoint: 58.235.72.177
> Protocol: ESP
> Local IP: 172.17.0.16/28
> Remote IP: 192.168.0.0/16
> Проверь на DLink настройки Phase I и Phase II. Они должны совпадать
> с crypto isakmp policy и crypto isakmp profile (для Phase I)
> и crypto map VPNShops 10 ipsec-isakmp (для Phase II)Всё так и есть, только в crypto map у меня set security-association lifetime seconds 28800, а D-Link'е эта настройка на Phase I, в Phase II 3600
> поставь пинг и покажи
> sh cry ips sa
> Если не заработало - выкладывай debug cry isa и debug cry ipsНе стал делать, было поздно.
> P.s. Я бы все таки перевесил бы crypto map на 195.17.46.102 чтобы
> исключить проблемы с попаданием трафика в crypto map
UP. Коллеги, задача так и не решена. Кто-нибудь в состоянии помочь? Задача подключить несколько розничных точек с помощью crypto map.Пробовал и с динамическими и со статическими, и со статическим маршрутом и с reverse-route, crypto map вешал и на interface GigabitEthernet0/1.1 и на interface GigabitEthernet0/0, и с DLink DSR-150 и с Mikrotik 750. Всё одно туннель ставится, траффик не идёт. Где грабли-то?
Ещё раз конфиг: актуальный
a.a.a.a - внешний IP филиала 1
b.b.b.b - внешний IP филиала 2
c.c.c.c - внешний IP выделеной ISP подсети маршрутизируемой вовне (является шлюзом для этой подсети)
z.z.z.z - внешний IP к ISP
y.y.y.y - шлюз ISP!
crypto keyring Branch1Key
pre-shared-key address a.a.a.a key Superkey1
crypto keyring Branch2Key
pre-shared-key address b.b.b.b key Superkey2
crypto keyring ShopsKey
pre-shared-key address 0.0.0.0 0.0.0.0 key MegaSuperKey
!
crypto isakmp policy 10
encr 3des
authentication pre-share
group 2
!
crypto isakmp policy 20
encr 3des
hash md5
authentication pre-share
group 2
lifetime 28800
!
crypto isakmp profile Branch1
keyring Branch1Key
match identity address a.a.a.a 255.255.255.255
crypto isakmp profile Branch2
keyring Branch2Key
match identity address b.b.b.b 255.255.255.255
crypto isakmp profile Shops
keyring ShopsKey
match identity address 0.0.0.0
!
!
crypto ipsec transform-set 3DES-SHA esp-3des esp-sha-hmac
mode transport
crypto ipsec transform-set 3DES-MD5 esp-3des esp-md5-hmac
!
crypto ipsec profile Branch1IPSec
set transform-set 3DES-SHA
set isakmp-profile Branch1
!
crypto ipsec profile Branch2IPSec
set transform-set 3DES-SHA
set isakmp-profile Branch2
!
!
crypto dynamic-map VPNShop 10
set transform-set 3DES-MD5
set pfs group2
set isakmp-profile Shops
match address VPN-Shop1
!
!
crypto map VPNShops 1 ipsec-isakmp dynamic VPNShop
!
!
interface Tunnel0
description ===== Branch1 =====
ip address 192.168.100.1 255.255.255.252
ip mtu 1400
ip tcp adjust-mss 1360
tunnel source c.c.c.c
tunnel mode ipsec ipv4
tunnel destination a.a.a.a
tunnel protection ipsec profile Branch1IPSec
!
interface Tunnel1
description ===== Branch2 =====
ip address 192.168.101.1 255.255.255.252
ip mtu 1400
ip tcp adjust-mss 1360
tunnel source c.c.c.c
tunnel mode ipsec ipv4
tunnel destination b.b.b.b
tunnel protection ipsec profile Branch2IPSec
!
interface Embedded-Service-Engine0/0
no ip address
shutdown
!
interface GigabitEthernet0/0
description ===== Internet Comstar =====
ip address z.z.z.z 255.255.255.252
duplex auto
speed auto
!
!
interface GigabitEthernet0/1
no ip address
duplex auto
speed auto
!
interface GigabitEthernet0/1.1
description ===== DMZ White IPs =====
encapsulation dot1Q 6
ip address c.c.c.c 255.255.255.240
crypto map VPNShops
!
interface GigabitEthernet0/1.2
description ===== Management =====
encapsulation dot1Q 10
ip address 192.168.10.1 255.255.255.0
!
!
interface GigabitEthernet0/2
no ip address
duplex auto
speed auto
shut
!
ip forward-protocol nd
!
router eigrp 999
network 192.168.10.0
network 192.168.100.0
network 192.168.101.0
!
ip route 0.0.0.0 0.0.0.0 y.y.y.y
ip route 10.0.0.16 255.255.255.240 GigabitEthernet0/1.1
!
access list extended VPN-Shop1
permit 192.168.10.0 0.0.0.255 10.0.0.16 0.0.0.15
> Туннели зашифрованные с помощью ipsec profile работают без проблем. Но у
> меня задача, подключить много розничных точек, так что кучу VTI создавать
> нет желания.
> Предполагается, что каждая розничная точка будет иметь подсеть с 28-битной маской. И
> все они будут объединены в supernet 172.17.0.0 255.255.0.0, чтобы не писать
> множественные маршруты и access листы.Абсолютно не правильная и тупиковая установка.
Сделать компактнее и проще на Crypto-map - не получится никак!
Т.к. вместо маршрутов ты будешь для каждого офиса прописывать отдельный ACL, отдельного пира и строку в криптомапе, ну и отдельный маршрут конечно же.Рассматриваемое тобой решение на базе Crypto-Map и обычного IPSec-а - колхоз в априори, и удобным оно не может быть никак.
Самое лучшее что можно придумать - упомянутые и успешно протестированные тобой тунельные интерфейсы в каждый офис.
Создание большого их числа легко автоматизируется с помощью notepad++, excel и т.д.
Это максимально простая и понятная конфигурация в данном случае. И на всех интерфейсах можно повесить один крипто-профайл. Транзитные сетки можно и нужно делать с /31 маской.Ну а лучше всего, понятно, купить циски 8ХХ-е в магазины, и настроить на них DMVPN.