форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Маршрутизаторы CISCO и др. оборудование. (VPN, VLAN, туннель)
Изначальное сообщение		[ Отслеживать ]

"VPN сервер на CISCO 871 + windows seven VPN client"	+/–
Сообщение от JohnnyBravorad (ok) on 28-Мрт-11, 11:46
Здравствуйте. Помогите пожалуйста настроить VPN. Суть проблемы такова. Имеется trendnet BW100-BRV204, заменил её на Cisco 871. Поднял PPPoE, настроил что бы люди в инет ходили и HTTP сервер чтобы фунциклировал. Осталась только проблемка, шеф из дома выходит на работу через виндовый VPN. На тренднете работает всё замечательно (VPN сервер), там настраивается легко. Здесь много примеров конфигураций, но ничего не написано про то как поднять сам VPN, куда его завязывать (на какой интерфейс:dialer или fa4), как аутентификацию поднимать, как юзеров прописать. Книги нет в инете с описанием VPN. В офисе внешнйи адрес статический, дома динамический. Вот конфиг. ! version 12.4 no service pad service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname adsl ! boot-start-marker boot-end-marker ! enable secret 5 ******************** enable password enable ! no aaa new-model ! ! ! ! ip cef ! ! ! ! ip inspect name internet http timeout 3600 ip inspect name internet icmp ip inspect name internet ftp timeout 3600 ip inspect name internet tcp timeout 3600 ip inspect name internet h323 timeout 3600 ip inspect name internet smtp timeout 3600 ip inspect name internet udp timeout 15 ip inspect name incom http timeout 3600 ! multilink bundle-name authenticated ! ! archive log config   hidekeys ! ! ! ! ! interface FastEthernet0 ! interface FastEthernet1 ! interface FastEthernet2 ! interface FastEthernet3 ! interface FastEthernet4 no ip address duplex auto speed auto pppoe enable group global pppoe-client dial-pool-number 1 ! interface Vlan1 ip address 192.168.5.11 255.255.255.0 ip nat inside ip inspect incom in ip virtual-reassembly ip tcp adjust-mss 1412 ! interface Dialer0 bandwidth 512 ip address negotiated ip mtu 1452 ip nat outside ip inspect incom in ip inspect internet out ip virtual-reassembly encapsulation ppp loopback dialer pool 1 dialer-group 1 keepalive 20 ppp authentication pap callin ppp pap sent-username USER password 0 PASSWORD ! ip route 0.0.0.0 0.0.0.0 Dialer0 ip route 0.0.0.0 0.0.0.0 192.168.5.4 ip route 192.168.5.0 255.255.255.0 Vlan1 permanent ! ! no ip http server no ip http secure-server ip nat inside source list 100 interface Dialer0 overload ip nat inside source static tcp 192.168.5.4 80 91.143.62.160 80 extendable ! access-list 100 permit ip 192.168.5.0 0.0.0.255 any dialer-list 1 protocol ip permit ! ! ! ! control-plane ! ! line con 0 no modem enable line aux 0 line vty 0 4 password ****** login ! scheduler max-task-time 5000 ! webvpn cef end
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "VPN сервер на CISCO 871 + windows seven VPN client"	+1 +/–
Сообщение от Николай (??) on 28-Мрт-11, 12:27
Про грабли: 1. это убрать ip route 0.0.0.0 0.0.0.0 192.168.5.4 ip route 192.168.5.0 255.255.255.0 Vlan1 permanent 2. Ограничте достыпы по vty и включите SSH Можно поднять классический PPTP vpdn-group VPDN-PPTP ! Default PPTP VPDN group accept-dialin   protocol pptp   virtual-template 1 pptp tunnel echo 10 ip pmtu ip mtu adjust async-bootp dns-server (your DNSservers) interface Virtual-Template1 ip unnumbered vlan1 ip nat inside ip virtual-reassembly autodetect encapsulation ppp peer default ip address dhcp-pool DHCP-home ppp authentication ms-chap ms-chap-v2 ip dhcp pool DHCP-home    network 10.255.0.0 255.255.255.0    dns-server 91.196.148.3 91.196.148.4    default-router 10.255.0.1 Можно вместо dhcp-pool использовать просто любой созданный пул или ИП. юзера добавлять с привилегией 0 и обязательно использовать password для задания пароля, c secret не подключиться Пример: username login privilege 0 password 0 password
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	2. "VPN сервер на CISCO 871 + windows seven VPN client"	+/–
	Сообщение от JohnnyBravorad (ok) on 28-Мрт-11, 13:56
	а в каком месте указывается что VPN будет слушаться на FE4? Или оно должно работать как изнутри так и снаружи? Как проверить-то? ip unnumbered vlan1 - что означает эта строчка?
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	3. "VPN сервер на CISCO 871 + windows seven VPN client"	+1 +/–
	Сообщение от Николай (??) on 28-Мрт-11, 14:03
	> а в каком месте указывается что VPN будет слушаться на FE4? Или > оно должно работать как изнутри так и снаружи? Как проверить-то? > ip unnumbered vlan1 - что означает эта строчка? еще забыл добавить vpdn enable. > ip unnumbered vlan1 - что означает эта строчка? Эта строчка означает что под ИП адресс тунеля использовать ИП vlan1.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	4. "VPN сервер на CISCO 871 + windows seven VPN client"	+1 +/–
	Сообщение от Николай (??) on 28-Мрт-11, 14:04
	>> а в каком месте указывается что VPN будет слушаться на FE4? Или >> оно должно работать как изнутри так и снаружи? Как проверить-то? >> ip unnumbered vlan1 - что означает эта строчка? > еще забыл добавить vpdn enable. >> ip unnumbered vlan1 - что означает эта строчка? > Эта строчка означает что под ИП адресс тунеля использовать ИП vlan1. проверить telnet IP(Lan or WAN) 1723
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	6. "VPN сервер на CISCO 871 + windows seven VPN client"	+/–
	Сообщение от JohnnyBravorad (ok) on 28-Мрт-11, 14:22
	>>> а в каком месте указывается что VPN будет слушаться на FE4? Или >>> оно должно работать как изнутри так и снаружи? Как проверить-то? >>> ip unnumbered vlan1 - что означает эта строчка? >> еще забыл добавить vpdn enable. >>> ip unnumbered vlan1 - что означает эта строчка? >> Эта строчка означает что под ИП адресс тунеля использовать ИП vlan1. > проверить telnet IP(Lan or WAN) 1723 adsl#telnet 91.143.62.160 1723 Trying 91.143.62.160, 1723 ... Open
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	8. "VPN сервер на CISCO 871 + windows seven VPN client"	+/–
	Сообщение от JohnnyBravorad (ok) on 28-Мрт-11, 14:50
	>>>> а в каком месте указывается что VPN будет слушаться на FE4? Или >>>> оно должно работать как изнутри так и снаружи? Как проверить-то? >>>> ip unnumbered vlan1 - что означает эта строчка? >>> еще забыл добавить vpdn enable. >>>> ip unnumbered vlan1 - что означает эта строчка? >>> Эта строчка означает что под ИП адресс тунеля использовать ИП vlan1. >> проверить telnet IP(Lan or WAN) 1723 > adsl#telnet 91.143.62.160 1723 > Trying 91.143.62.160, 1723 ... Open Всё, пашет, спасибо. Ещё бы всё это понять что куда. Ткните пожалуйста где можно про VPN почитать цисковский, желательно на отечественном языке.
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	7. "VPN сервер на CISCO 871 + windows seven VPN client"	+/–
	Сообщение от JohnnyBravorad (ok) on 28-Мрт-11, 14:27
	>> а в каком месте указывается что VPN будет слушаться на FE4? Или >> оно должно работать как изнутри так и снаружи? Как проверить-то? >> ip unnumbered vlan1 - что означает эта строчка? > еще забыл добавить vpdn enable. >> ip unnumbered vlan1 - что означает эта строчка? > Эта строчка означает что под ИП адресс тунеля использовать ИП vlan1. ! version 12.4 no service pad service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname adsl ! boot-start-marker boot-end-marker ! enable secret 5 *********************** enable password enable ! no aaa new-model ! ! ! ! ip cef ! ! no ip dhcp use vrf connected ! ip dhcp pool DHCP-home    network 10.255.0.0 255.255.255.0    default-router 10.255.0.1    dns-server 192.168.5.50 ! ! ip inspect name internet http timeout 3600 ip inspect name internet icmp ip inspect name internet ftp timeout 3600 ip inspect name internet tcp timeout 3600 ip inspect name internet h323 timeout 3600 ip inspect name internet smtp timeout 3600 ip inspect name internet udp timeout 15 ip inspect name IN http timeout 3600 ! multilink bundle-name authenticated vpdn enable ! vpdn-group VPNDT-PPTP ! Default PPTP VPDN group accept-dialin   protocol pptp   virtual-template 1 pptp tunnel echo 10 ip pmtu ip mtu adjust ! ! ! username ***** privilege 0 password 0 ******** archive log config   hidekeys ! ! ! ! ! interface FastEthernet0 ! interface FastEthernet1 ! interface FastEthernet2 ! interface FastEthernet3 ! interface FastEthernet4 no ip address duplex auto speed auto pppoe enable group global pppoe-client dial-pool-number 1 ! interface Virtual-Template1 ip unnumbered Vlan1 ip nat inside ip virtual-reassembly autodetect encapsulation ppp peer default ip address dhcp-pool DHCP-home ppp authentication ms-chap ms-chap-v2 ! interface Vlan1 ip address 192.168.5.11 255.255.255.0 ip nat inside ip inspect IN in ip virtual-reassembly ip tcp adjust-mss 1412 ! interface Dialer0 bandwidth 512 ip address negotiated ip mtu 1452 ip nat outside ip inspect IN in ip inspect internet out ip virtual-reassembly encapsulation ppp loopback dialer pool 1 dialer-group 1 keepalive 20 ppp authentication pap callin ppp pap sent-username **** password 0 ********* ! ip route 0.0.0.0 0.0.0.0 Dialer0 ip route 0.0.0.0 0.0.0.0 192.168.5.4 ip route 192.168.5.0 255.255.255.0 Vlan1 permanent ! ! no ip http server no ip http secure-server ip nat inside source list 100 interface Dialer0 overload ip nat inside source static tcp 192.168.5.4 80 91.143.62.160 80 extendable ! access-list 100 permit ip 192.168.5.0 0.0.0.255 any dialer-list 1 protocol ip permit ! ! ! ! control-plane ! ! line con 0 no modem enable line aux 0 line vty 0 4 password ****** login ! scheduler max-task-time 5000 ! webvpn cef end Вот что получилось. Всё верно? Ну кроме граблей конечно.
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	5. "VPN сервер на CISCO 871 + windows seven VPN client"	+/–
	Сообщение от JohnnyBravorad (ok) on 28-Мрт-11, 14:16
	если убрать эту строчку ip route 0.0.0.0 0.0.0.0 Dialer0 то пинги во вне не проходят.
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	9. "VPN сервер на CISCO 871 + windows seven VPN client"	+/–
	Сообщение от Николай (??) on 28-Мрт-11, 14:55
	> если убрать эту строчку ip route 0.0.0.0 0.0.0.0 Dialer0 то пинги во > вне не проходят. А про эту строчку я ничего и не говорил ;) Насчет литературы не подскажу практически все буржуйское.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	10. "VPN сервер на CISCO 871 + windows seven VPN client"	+/–
	Сообщение от JohnnyBravorad (ok) on 28-Мрт-11, 15:01
	>> если убрать эту строчку ip route 0.0.0.0 0.0.0.0 Dialer0 то пинги во >> вне не проходят. > А про эту строчку я ничего и не говорил ;) > Насчет литературы не подскажу практически все буржуйское. Пардон, не то удалил. А вы не подскажите, как организовать loopback? За циской на vlan1 находится сервер с Apache через этот же сервер через прокси ходят юзеры в инет. Дк вот, юзеры не могут зайти на сайт, т.е. сервер не может зайти сам на себя.
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	11. "VPN сервер на CISCO 871 + windows seven VPN client"	+/–
	Сообщение от Николай (??) on 28-Мрт-11, 15:33
	>>> если убрать эту строчку ip route 0.0.0.0 0.0.0.0 Dialer0 то пинги во >>> вне не проходят. >> А про эту строчку я ничего и не говорил ;) >> Насчет литературы не подскажу практически все буржуйское. > Пардон, не то удалил. > А вы не подскажите, как организовать loopback? За циской на vlan1 находится > сервер с Apache через этот же сервер через прокси ходят юзеры > в инет. Дк вот, юзеры не могут зайти на сайт, т.е. > сервер не может зайти сам на себя. циска не может зайти сама на себя из внутренней сети через внешнюю опять во внутрь :) делать можно несколькими способами 1. Прописать у юзеров в LMHOSTS конкретно днс имя сайта и прибить внутренний ИП. 2. Поднять ДНС с внутренней зоной. 3. Настроить ДНС на циско сделать форвард всего на внешние ДНС а вот ваш сайт прописать типа:   ip host cisco.com 1.1.1.1 ! :)) как-то вот так   ip dns server принимаю пожертвования в Вебмани :)
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	12. "VPN сервер на CISCO 871 + windows seven VPN client"	+/–
	Сообщение от JohnnyBravorad (ok) on 28-Мрт-11, 17:28
	>[оверквотинг удален] > опять во внутрь :) > делать можно несколькими способами > 1. Прописать у юзеров в LMHOSTS конкретно днс имя сайта и прибить > внутренний ИП. > 2. Поднять ДНС с внутренней зоной. > 3. Настроить ДНС на циско сделать форвард всего на внешние ДНС а > вот ваш сайт прописать типа: >   ip host cisco.com 1.1.1.1 ! :)) как-то вот так >   ip dns server > принимаю пожертвования в Вебмани :) Ещё вопросик можно? Что теперь прописать чтобы ВПН клиенты могли ходить в сеть в 192.168.5.0? Я DHCP сделал из той же сети, т.е. адрес клиент получает из 192.168.5.0 ip dhcp pool DHCP-home    network 192.168.5.0 255.255.255.0    default-router 192.168.5.11    dns-server 192.168.5.50
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

	13. "VPN сервер на CISCO 871 + windows seven VPN client"	+/–
	Сообщение от JohnnyBravorad (ok) on 29-Мрт-11, 08:27
	Всё работает, всё пингуется. Николай, спасибо большое. С меня пиво. Остался вопрос, как трафик зашифровать? Почему я могу подключиться только если снять галочку "требуется шифрование данных"? На Trendnet маршрутизаторе данные шифровались. Всё разобралася. На virtual-template1 добавил ppp enc mppe auto
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	14. "VPN сервер на CISCO 871 + windows seven VPN client"	+1 +/–
	Сообщение от Николай (??) on 29-Мрт-11, 10:23
	> Всё работает, всё пингуется. Николай, спасибо большое. С меня пиво. > Остался вопрос, как трафик зашифровать? Почему я могу подключиться только если снять > галочку "требуется шифрование данных"? > На Trendnet маршрутизаторе данные шифровались. > Всё разобралася. На virtual-template1 добавил ppp enc mppe auto Можно аналогично построить под Microsoft L2TP tunnel но нафига заморачиваться :) я привел наиболее простой и распостраненный вариант.
	Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

	15. "VPN сервер на CISCO 871 + windows seven VPN client"	+/–
	Сообщение от JohnnyBravorad (ok) on 29-Мрт-11, 13:05
	>> Всё работает, всё пингуется. Николай, спасибо большое. С меня пиво. >> Остался вопрос, как трафик зашифровать? Почему я могу подключиться только если снять >> галочку "требуется шифрование данных"? >> На Trendnet маршрутизаторе данные шифровались. >> Всё разобралася. На virtual-template1 добавил ppp enc mppe auto > Можно аналогично построить под Microsoft L2TP tunnel но нафига заморачиваться :) я > привел наиболее простой и распостраненный вариант. В данный момент меня всё устраивает, т.е. я заменил полностью Trendnet маршрутизатор и теперь нет необходимости беспокоить ген. директора и ехать к нему домой. Меня ещё интересует такая вещь, как DHCP. Планирую подключить к этой циске настоящую локальную сеть, а не та что сейчас поключена, фактически это сервера со второй сетевой и имеющие альтернативные адреса, отличные от адресации сети предприятия (так надёжней было). В связи с этим, меня интересует вопрос - почему Vlan1 раздает адреса из своей сети? Т.е. сепрвер получил автоматом адрес 192.168.5.8, хотя я его исключил. А клиенты VPN исправно получают адреса начиная с 192.168.5.11... no ip dhcp use vrf connected ip dhcp excluded-address 192.168.5.1 192.168.5.10 ! ip dhcp pool DHCP-home    network 192.168.5.0 255.255.255.0    default-router 192.168.5.11    dns-server 192.168.5.50
	Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема