Продолжение .Братия и сестры !!! к вам обращаюсь я за советом в трудное для сети время )Построение ipsec туннеля между серым и белым адрессом.
Схемка сети
212.4.3.1 – Адрес сети за маршрутизатором тоже белый , трафик должен шифроваться при обмене с этом адресом и серым адресом .
*
*
212.4.3.2 – Адрес внутреннего шлюза на маршрутизаторе – белый.
212.3.5.6 – Адрес внешнего шлюза на маршрутизаторе -белый( на котором поднимаем туннель IPSEC
*
*
82.35.65.1 – Адрес внешнего шлюза провайдера - Белый (Маршрутизатор провайдера)
выходит наш серый адрес в инет под этим адресом
192.168.3.4 - Адрес внутреннего шлюза провайдера.(скорее всего натит все приходящие адреса в адрес внешнего шлюза )
*
*
192.168.3.3- Адрес внешнего шлюза нашего маршрутизатора (филиал), по которому мы приходим на шлюз маршрутизатора провайдера 192.168.3.4 Естественно серый.
Вот это должна быть конечная точка туннеля IPSEC (Должен шифроваться трафик 192.168.3.3 к белому адресу 212.4.3.1 , сам туннель должен быть поднят между серым адресом 192.168.3.3 – 212.3.5.6 белый адрес.
10.1.1.2 – Шлюз на маршрутизаторе филиала (Натим адреса сети в 192.168.3.3)
*
*
10.1.1.1 – Сеть филиала
Вопрос!
В общем если провайдера попросить пробросить на своём маршрутизаторе
Udp порт 500 через свой маршрутизатор , туда и обратно для нашего серого и белого адресса, ещё разрешить esp трафик при обмене между нашими адресами, соответственно у нас тоже открыть тоже самое , будет ли поднят между серым и белым адресом туннель Ipsec , хотя бы в случае когда инициатором построения туннеля выступает серый адресс.?
Ещё один Вопрос, какие адреса ставить в настройке Ipsec туннеля , они должны быть все белые или можно писать серые адреса.?
Вопрос третий – если так нельзя поднять туннель то где же у него кнопка )))?
Вот в принципе все вопросы, если кто сможет ответить , буду признателен , если кто в Москве могу пыва поставить.
sh run
Building configuration...
Current configuration:
!
version 12.0
no service timestamps debug uptime
no service timestamps log uptime
service password-encryption
no service dhcp
!
hostname Router
enable secret 5
enable password 7
!
!
!
!
clock timezone GMT 3
no ip subnet-zero
no ip source-route
no ip finger
!
no ip bootp server
!
!
!
crypto isakmp policy 1
! Устанавливаем полиси ISAKMP, приоритет 1.
hash md5
! Используем MD5, как алгоритм аутентификации (вместо SHA, который
! медленнее, но более защищённый).
authentication pre-share
! Используем жёстко заданный ключ "MySecureKey".
!
crypto isakmp key MySecureKey address (Пишется адрес другой стороны ,вот тут то и грабли адрес другой стороны серый_)
! Устанавливаем ключ и адрес другой системы, которой проходит первичная аутентификация по общему
! ключю.
!
crypto ipsec transform-set MYTS esp-des esp-md5-hmac
! Создаем transform-set и назовём его MYTS, который использует
! ESP (Encapsulating Security Payload) шифрацию с
! DES и аутентификацию с MD5. В этом случае мы будем
! шифровать только полезную часть пакета не трогая
! заголовков.
!
.
!
crypto map IPSECLINKSYS 1 ipsec-isakmp
! Определяем, что IPSECLINKSYS, порядковый номер 1, использует
! ISAKMP для обмена ключами.
set peer (Серый Адрес другой стороны – в общем я думаю если сделать проброс нужных портов у провайдера и на наших маршрутизаторах , по крайней мере запрос на соединение с серой стороны будет устанавливатся, а вот от белого адреса к серому врятли, поэтому надо писать белый адрес другой стороны)
set transform-set MYTS
! Устанавливаем нужную трансформацию
match address SECURED-TUN
! Пропускать только пакеты IPSEC, которые подпадают под расширенный
! ACL, под именем SECURED-TUN
ip access-list extended SECURED-TUN
! Создаем ACL для определения сетей для шифрации IPSEC.
remark IPSEC ACL
! Комментарии обязательно нужны. :-)
permit ip Вот тут тоже надо подумать какие адреса писать на шифрацию (Белый-белый или Серый –Белый)
! Разрешаем проходить через туннель только с (неизвестно)
permit ip Вот тут тоже надо подумать какие адреса писать на шифрацию (Белый-белый или Серый –Белый)
! и обратно.
interface FastEthernet0/0
!
interface Serial0/0
description
bandwidth 256
ip address
ip access-group in
no ip directed-broadcast
no ip mroute-cache
fair-queue 64 256 0
ignore-dcd
no cdp enable
crypto map SECURED-TUN !
interface FastEthernet0/1
bandwidth 100000
ip address
ip access-group in
ip access-group out
no ip directed-broadcast
no ip mroute-cache
duplex auto
speed auto
no cdp enable
Вариант для распечатки
Маршрутизаторы CISCO и др. оборудование. (Public)
(ok) on
07-Окт-05, 16:01 (MSK)
