URL: https://ssl.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 18805
[ Назад ]
Исходное сообщение
"пакеты уходят через разные интерфейсы"
Отправлено sad , 05-Май-09 14:59 
Здравствуйте.
До недавнего времени я думал что это элементарная проблема и я смогу с ней справиться за 4 секи. Как я заблуждался....

Суть проблемы вот в чем.
есть 2 интерфейса к двум провайдерам
fast 0/0.20 2xx.1xx.2xx.3x шлюз 2xx.1xx.2xx.1
fast 0/0.30 1хх.4хх.1хх.хх2 шолюз 1хх.4хх.1хх.хх1

на циске дефаулт направлен на первого провайдера - 2xx.1xx.2xx.1

с недавнего времени перестал работать ВПН при конекте на второго провайдера - 1хх.4хх.1хх.хх2. После непродолжительных поисков (debug ip packet) выяснилось следующее: с удаленного хоста приходит пакет, попадает на интерфейс fast 0/0.30, циска посылает ответ но уже через интерфейс другого провайдера.
вот кусок дебага

  Apr 30 13:17:06.091: IP: s=client_IP (FastEthernet0/0.30), d=1хх.4хх.1хх.хх2 (FastEthernet0/0.30), len 84, rcvd 3
  Apr 30 13:17:06.091: ICMP type=8, code=0
  Apr 30 13:17:06.091: IP: tableid=0, s=1хх.4хх.1хх.хх2 (local), d=client_IP (FastEthernet0/0.20), routed via FIB
  Apr 30 13:17:06.091: IP: s=1хх.4хх.1хх.хх2 (local), d=client_IP (FastEthernet0/0.20), len 84, sending
  Apr 30 13:17:06.091: ICMP type=0, code=0
  Apr 30 13:17:07.095: IP: tableid=0, s=client_IP (FastEthernet0/0.30), d=1хх.4хх.1хх.хх2 (FastEthernet0/0.30), routed via RIB
  Apr 30 13:17:07.095: IP: s=client_IP (FastEthernet0/0.30), d=1хх.4хх.1хх.хх2 (FastEthernet0/0.30), len 84, rcvd 3
  Apr 30 13:17:07.095: ICMP type=8, code=0

мы видим что ответ идет через routed via FIB
в CEF записи для хоста клиента нет и оно приспокойненько валит по

Prefix Next Hop Interface
0.0.0.0/0 2хх.1хх.2х.1 FastEthernet0/0.20
тоесть через дефаулт.

Я думал что напишу роутмап в котором буду смотерть соотвествие исходящего интерфейса к ИП если они не совпадают то буду делать set ip next-hop 1хх.4хх.1хх.хх1 и таким образом обойду дефаулт. Но такой способ не сработал. Были робкие попытки поэксперементировать с vrf но на нужном мне интерфейсе висит ip policy route-map и после применения ip vrf forwarding циск мне сказала все что ей не нравиться удалила с интерфейса все IP и полиси.

Я в тупике. Нуждаюсь в вашей помощи.

Спасибо.

Содержание
Сообщения в этом обсуждении
"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 05-Май-09 16:13 
>[оверквотинг удален]
>к ИП если они не совпадают то буду делать set ip
>next-hop 1хх.4хх.1хх.хх1 и таким образом обойду дефаулт. Но такой способ не
>сработал. Были робкие попытки поэксперементировать с vrf но на нужном мне
>интерфейсе висит ip policy route-map и после применения ip vrf forwarding
>циск мне сказала все что ей не нравиться удалила с интерфейса
>все IP и полиси.
>
>Я в тупике. Нуждаюсь в вашей помощи.
>
>Спасибо.

ip vrf receive xxx
route-map lalala permit 10
match ip address acl-lblblb
set vrf xxx

"пакеты уходят через разные интерфейсы"
Отправлено sad , 05-Май-09 17:45 
>[оверквотинг удален]
>>все IP и полиси.
>>
>>Я в тупике. Нуждаюсь в вашей помощи.
>>
>>Спасибо.
>
>ip vrf receive xxx
>route-map lalala permit 10
>match ip address acl-lblblb
>set vrf xxx

некоторые успехи есть. спасибо за помощь.
после внесенных изменеие предложеных тобой sh ip route vrf TEST
показывает таблицу маршрутизации такую какую нужно. В роут-мапе прописал set vrf xxx
но debug ip packet опять показывает что пакеты идет через fast 0/0.20
роут-мап вешал и на fast 0/0.20 и на fast 0/0.30

З.Ы. нужно что бы пакеты приходили и уходили через fast 0/0.30

"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 05-Май-09 17:59 
>[оверквотинг удален]
>
>некоторые успехи есть. спасибо за помощь.
>после внесенных изменеие предложеных тобой sh ip route vrf TEST
>показывает таблицу маршрутизации такую какую нужно. В роут-мапе прописал set vrf xxx
>
>но debug ip packet опять показывает что пакеты идет через fast 0/0.20
>
>роут-мап вешал и на fast 0/0.20 и на fast 0/0.30
>
>З.Ы. нужно что бы пакеты приходили и уходили через fast 0/0.30

врядли тебе нужны врф и тд и тп.
может тебе нужен ip cef per-destination?

"пакеты уходят через разные интерфейсы"
Отправлено sad , 05-Май-09 18:07 
>врядли тебе нужны врф и тд и тп.
>может тебе нужен ip cef per-destination?

насколько я понял это касается load-balancing. мне же нужно железно на какой интерфейс пришел через такой и ушел. При load-balancing меня будет кидать то на одного прова то на другого. Вот не знаю важно это или нет но я бы хотел подчеркнуть один нюанс, речь идет о пакетах предназначеных самой цике, мы считаем что что ни НАТа ни локальной сети у меня нет, есть только циска с двумя провайдерами.
ИМХО vrf мне подходит так как есть возможность создать альтернативную таблицу маршутизации в которой будет нужный мне дефаулт.

Но в любом случае пока мне не удалось решить проблему никаких способом.

"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 05-Май-09 18:22 
>[оверквотинг удален]
>то на одного прова то на другого. Вот не знаю важно
>это или нет но я бы хотел подчеркнуть один нюанс, речь
>идет о пакетах предназначеных самой цике, мы считаем что что ни
>НАТа ни локальной сети у меня нет, есть только циска с
>двумя провайдерами.
>ИМХО vrf мне подходит так как есть возможность создать альтернативную таблицу маршутизации
>в которой будет нужный мне дефаулт.
>
>Но в любом случае пока мне не удалось решить проблему никаких способом.
>

на сколько я понял у тебя 2 линка и клиенты конектятся по впн каждый с со стороны своего прова. в этом случае то что ты видишь, что пакеты приходят с одного порта а уходят с другого не является проблемой. это несимметричный роутинг и всё. такое очень часто встречается.

"пакеты уходят через разные интерфейсы"
Отправлено sad , 05-Май-09 18:29 
>на сколько я понял у тебя 2 линка и клиенты конектятся по
>впн каждый с со стороны своего прова. в этом случае то
>что ты видишь, что пакеты приходят с одного порта а уходят
>с другого не является проблемой. это несимметричный роутинг и всё. такое
>очень часто встречается.

все бы хорошо, но провайдеров разные. Вот если бы у меня была бы AS и своя сеточка, да БГП  провайдерами вот тогда про несимметричность можно было бы говорить, тогда бы это была бы  не большая проблема. А в моем случае эта нисиметричность означает что весь мир не видит моего второго провайдера, а это для меня проблема. Раньше это все дело работало потмоу что первый провайдер (тот который дефаулт) пропускал через себя трафик не со свимх айпишек, а теперь видимо перекрыл это дело ну и где-то он прав. Вернее перекрыл частично, есть дружественный провайдер сеть которого он через себя пропускает и вот там все работает прекрасно, весь остальной мир не работает.

"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 05-Май-09 18:37 
>[оверквотинг удален]
>бы AS и своя сеточка, да БГП  провайдерами вот тогда
>про несимметричность можно было бы говорить, тогда бы это была бы
> не большая проблема. А в моем случае эта нисиметричность означает
>что весь мир не видит моего второго провайдера, а это для
>меня проблема. Раньше это все дело работало потмоу что первый провайдер
>(тот который дефаулт) пропускал через себя трафик не со свимх айпишек,
>а теперь видимо перекрыл это дело ну и где-то он прав.
>Вернее перекрыл частично, есть дружественный провайдер сеть которого он через себя
>пропускает и вот там все работает прекрасно, весь остальной мир не
>работает.

похоже понял в чём дело. у тебя внешний айпишник х.х.х.х данный провом 1, на него конектятся, а ответ идет от адреса х.х.х.х но уже через другого прова и тот режет эти пакеты так как исходящий адрес не в его сети. так?

"пакеты уходят через разные интерфейсы"
Отправлено sad , 05-Май-09 18:39 
>[оверквотинг удален]
>>(тот который дефаулт) пропускал через себя трафик не со свимх айпишек,
>>а теперь видимо перекрыл это дело ну и где-то он прав.
>>Вернее перекрыл частично, есть дружественный провайдер сеть которого он через себя
>>пропускает и вот там все работает прекрасно, весь остальной мир не
>>работает.
>
>похоже понял в чём дело. у тебя внешний айпишник х.х.х.х данный провом
>1, на него конектятся, а ответ идет от адреса х.х.х.х но
>уже через другого прова и тот режет эти пакеты так как
>исходящий адрес не в его сети. так?

думаю что так. ну такой вывод напрашивается после анализа debug ip packet.

"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 05-Май-09 17:59 
>[оверквотинг удален]
>
>некоторые успехи есть. спасибо за помощь.
>после внесенных изменеие предложеных тобой sh ip route vrf TEST
>показывает таблицу маршрутизации такую какую нужно. В роут-мапе прописал set vrf xxx
>
>но debug ip packet опять показывает что пакеты идет через fast 0/0.20
>
>роут-мап вешал и на fast 0/0.20 и на fast 0/0.30
>
>З.Ы. нужно что бы пакеты приходили и уходили через fast 0/0.30

http://cisco.far.ru/2isp.html

"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 05-Май-09 18:25 
>[оверквотинг удален]
>>после внесенных изменеие предложеных тобой sh ip route vrf TEST
>>показывает таблицу маршрутизации такую какую нужно. В роут-мапе прописал set vrf xxx
>>
>>но debug ip packet опять показывает что пакеты идет через fast 0/0.20
>>
>>роут-мап вешал и на fast 0/0.20 и на fast 0/0.30
>>
>>З.Ы. нужно что бы пакеты приходили и уходили через fast 0/0.30
>
>http://cisco.far.ru/2isp.html

да. покаж весь конфиг. мож че придумаем.

"пакеты уходят через разные интерфейсы"
Отправлено sad , 05-Май-09 18:33 
>да. покаж весь конфиг. мож че придумаем.

когфиг просто монстроидальный.
сейчас вопрос стоит не где ошибка в конфиге, а как вообще такое сделать.
как бы это конфиг не запутал народ. :)

"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 05-Май-09 18:38 
>>да. покаж весь конфиг. мож че придумаем.
>
>когфиг просто монстроидальный.
>сейчас вопрос стоит не где ошибка в конфиге, а как вообще такое
>сделать.
>как бы это конфиг не запутал народ. :)

понять бы что у тебя сейчас имеется, чтобы плясать уже от этого.

"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 05-Май-09 18:53 
>>>да. покаж весь конфиг. мож че придумаем.
>>
>>когфиг просто монстроидальный.
>>сейчас вопрос стоит не где ошибка в конфиге, а как вообще такое
>>сделать.
>>как бы это конфиг не запутал народ. :)
>
>понять бы что у тебя сейчас имеется, чтобы плясать уже от этого.
>

покажи кусок с роутмапами и аксес листами для set next hop которые делал.

"пакеты уходят через разные интерфейсы"
Отправлено sad , 05-Май-09 19:16 
>покажи кусок с роутмапами и аксес листами для set next hop которые
>делал.

так как циска нагружена и обслуживает много клиентов, то все неудачные попытки решения проблемы я из конфига уберал. Но могу воспроизвести что я делал

ip vrf ISP2-vpn
rd 1хх.4хх.1хх.хх2:1
route-target export 1хх.4хх.1хх.хх2:1
route-target import 1хх.4хх.1хх.хх2:1


interface FastEthernet0/0.20
description ISP1
bandwidth 1945
encapsulation dot1Q 20
ip address 2xx.1xx.2x.x3 255.255.255.192
ip access-group safe-in in #этот АЦЛ блочик netbios,RCP и еще пару фигней
no ip redirects
no ip proxy-arp
ip nat outside
no ip virtual-reassembly
no ip mroute-cache
no cdp enable
crypto map office1

interface FastEthernet0/0.30
description ISP2
bandwidth 3072
encapsulation dot1Q 30
ip vrf receive ISP2-vpn
ip address 1хх.4хх.15.73 255.255.255.248 secondary #это провайдер дает нам дополнительно еще одну сеточку которую я разруливаю через роутемап ISP2-add-NET
ip address 1хх.4хх.1хх.хх2 255.255.255.252
ip access-group safe-in in
no ip redirects
no ip proxy-arp
ip nat outside
no ip virtual-reassembly
ip policy route-map ISP2-add-NET
no ip mroute-cache
no cdp enable
crypto map office1

ip route vrf ISP2-vpn 0.0.0.0 0.0.0.0 1хх.4хх.1xx.18x


ip access-list extended ISP2-add-NET
deny   ip 1хх.4хх.15.72  0.0.0.7 192.168.0.0 0.0.255.255 #т.к. досутп к этим хостам должны иметь юзеры из локалки через роут мап его пропускать не надо
permit ip 1хх.4хх.15.72 0.0.0.7 any #это дополнительная сеть
permit ip 1хх.4хх.1xx.180 0.0.0.3 any
permit icmp 1хх.4хх.1xx.180 0.0.0.3 any


route-map ISP2-add-NET permit 10
match ip address ISP2-add-NET
set vrf ISP2-vpn

после добавления  ip vrf receive ISP2-vpn и конфигурации связаной с vrf появилась таблица маршрутизации гед дефаултом является 1хх.4хх.1xx.18x что собственно мне и нужно.

"пакеты уходят через разные интерфейсы"
Отправлено sad , 05-Май-09 19:18 
забыл дабовить.  ip policy route-map ISP2-add-NET вешал на оба интерфейса в целях эксперимента и на interface FastEthernet0/0.30 и на interface FastEthernet0/0.20
"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 05-Май-09 19:19 
>[оверквотинг удален]
>>>когфиг просто монстроидальный.
>>>сейчас вопрос стоит не где ошибка в конфиге, а как вообще такое
>>>сделать.
>>>как бы это конфиг не запутал народ. :)
>>
>>понять бы что у тебя сейчас имеется, чтобы плясать уже от этого.
>>
>
>покажи кусок с роутмапами и аксес листами для set next hop которые
>делал.

сделал лабу. тоже что и у тебя, только вместо резания пакетов просто нет маршрута.

Router(config-ext-nacl)#
*Mar  1 00:16:16.047: ICMP: echo reply sent, src 10.10.10.10, dst 30.30.30.30
*Mar  1 00:16:16.155: ICMP: dst (10.10.10.10) host unreachable rcv from 192.168.
2.1
отправляет в 192.168.2.1 хотя пришло с интерфейса 192.168.1.2 и отправлено должно быть в 192.168.1.1

сделал так:
ip http server
ip route 0.0.0.0 0.0.0.0 192.168.1.1
ip route 0.0.0.0 0.0.0.0 192.168.2.1
!
!
!
!
ip access-list extended acl-isp1
permit icmp any host 30.30.30.30
deny   icmp any any
!
route-map ISP1 permit 10
match ip address acl-isp1
set ip next-hop 192.168.1.1

и теперь всё окей.
Mar  1 00:18:05.155: ICMP: echo reply sent, src 10.10.10.10, dst 192.168.1.1
Mar  1 00:18:05.235: ICMP: echo reply sent, src 10.10.10.10, dst 192.168.1.1
Mar  1 00:18:05.259: ICMP: echo reply sent, src 10.10.10.10, dst 192.168.1.1

"пакеты уходят через разные интерфейсы"
Отправлено sad , 06-Май-09 10:32 
>[оверквотинг удален]
> match ip address acl-isp1
> set ip next-hop 192.168.1.1
>
>и теперь всё окей.
>Mar  1 00:18:05.155: ICMP: echo reply sent, src 10.10.10.10, dst 192.168.1.1
>
>Mar  1 00:18:05.235: ICMP: echo reply sent, src 10.10.10.10, dst 192.168.1.1
>
>Mar  1 00:18:05.259: ICMP: echo reply sent, src 10.10.10.10, dst 192.168.1.1
>

к сожалению, мне не понятна эта лаба :(
было бы неплохо увидеть интерфеймы и короткое описание действий.
Насколько я понял речь идет о чистом PBR.

"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 06-Май-09 11:47 
>[оверквотинг удален]
>>Mar  1 00:18:05.155: ICMP: echo reply sent, src 10.10.10.10, dst 192.168.1.1
>>
>>Mar  1 00:18:05.235: ICMP: echo reply sent, src 10.10.10.10, dst 192.168.1.1
>>
>>Mar  1 00:18:05.259: ICMP: echo reply sent, src 10.10.10.10, dst 192.168.1.1
>>
>
>к сожалению, мне не понятна эта лаба :(
>было бы неплохо увидеть интерфеймы и короткое описание действий.
>Насколько я понял речь идет о чистом PBR.

R1(lo0 30.30.30.30, fa0/0 192.168.1.1)<---->R2(lo 10.10.10.10, fa0/0 192.168.1.2, fa1/0 192.168.2.2)<----->R3(fa0/0 192.168.2.1);


R1

fa0/0
ip address 192.168.1.1 255.255.255.0
!
ip route 10.10.10.10 255.255.255.255 192.168.1.2

R2
fa0/0
ip address 192.168.1.2 255.255.255.0
!
fa1/0
ip address 192.168.2.2 255.255.255.0
!
ip route 0.0.0.0 0.0.0.0 192.168.1.1
ip route 0.0.0.0 0.0.0.0 192.168.2.1
два дефолтных маршрута и пер дестенейшн цеф. так уж получилось(что хорошо), что пакеты на адрес 30.30.30.30 роутер решил отправлять через не верный маршрут.

R3
просто один айпи и
fa0/0
192.168.2.1 255.255.255.0

при пинге с R1 указывая соурс 30.30.30.30 пакеты приходят на R2 и он не зная маршрута на этот адрес отвечает по дефолту, а их 2 штуки. в итоге он выберает не правильный.
пакет приходит на R3 а R3 ничего про 30.30.30.30 не знает и отвечает, что хост не доступен.
лог с R2
*Mar  1 00:16:16.047: ICMP: echo reply sent, src 10.10.10.10, dst 30.30.30.30
*Mar  1 00:16:16.155: ICMP: dst (10.10.10.10) host unreachable rcv from 192.168.2.1

после применения вышеуказанного пбр
роутер видит, что пакет должен быть отправлен в 30.30.30.30 и ему указано что некстхоп
192.168.1.1 и всё. теперь он отправляет пакеты через нужный интерфейс.

"пакеты уходят через разные интерфейсы"
Отправлено sad , 06-Май-09 12:20 
проблема в том что я нез наю откуда придет пакет он может прийти от 30.30.30.30 а может прийти от 20.20.20.20. я не могу вписать в роутмап весь интернет :) Условия должны быть такими, что отправлять ответ в тот интерфейс через который пришел запрос, а не на конкретную ИП.
"пакеты уходят через разные интерфейсы"
Отправлено sad , 06-Май-09 12:24 
>проблема в том что я нез наю откуда придет пакет он может
>прийти от 30.30.30.30 а может прийти от 20.20.20.20. я не могу
>вписать в роутмап весь интернет :) Условия должны быть такими, что
>отправлять ответ в тот интерфейс через который пришел запрос, а не
>на конкретную ИП.

если бы я знал откуда прийдет пакет можно было бы выкруиться и статическими маршрутами. Что вобщем-тоу меня и реализовано но немного в другой области. У меня есть клиенты с которыми у меня установлен IPSEC я знаю их ИП и с обоих сторон прописаны статические маршруты. Но в данной ситуации работает pptp и клиент может законектиться из любой точки мира.

"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 06-Май-09 14:18 
>[оверквотинг удален]
>>вписать в роутмап весь интернет :) Условия должны быть такими, что
>>отправлять ответ в тот интерфейс через который пришел запрос, а не
>>на конкретную ИП.
>
>если бы я знал откуда прийдет пакет можно было бы выкруиться и
>статическими маршрутами. Что вобщем-тоу меня и реализовано но немного в другой
>области. У меня есть клиенты с которыми у меня установлен IPSEC
>я знаю их ИП и с обоих сторон прописаны статические маршруты.
>Но в данной ситуации работает pptp и клиент может законектиться из
>любой точки мира.

у тебя один внешний адрес или два? если то он выдан одним провайдером и тока через него будут приходить пакеты. логично?

"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 06-Май-09 15:31 
>[оверквотинг удален]
>>
>>если бы я знал откуда прийдет пакет можно было бы выкруиться и
>>статическими маршрутами. Что вобщем-тоу меня и реализовано но немного в другой
>>области. У меня есть клиенты с которыми у меня установлен IPSEC
>>я знаю их ИП и с обоих сторон прописаны статические маршруты.
>>Но в данной ситуации работает pptp и клиент может законектиться из
>>любой точки мира.
>
>у тебя один внешний адрес или два? если то он выдан одним
>провайдером и тока через него будут приходить пакеты. логично?

может копнуть Reflexive Access Lists ?

"пакеты уходят через разные интерфейсы"
Отправлено sad , 06-Май-09 16:40 
>[оверквотинг удален]
>>
>>если бы я знал откуда прийдет пакет можно было бы выкруиться и
>>статическими маршрутами. Что вобщем-тоу меня и реализовано но немного в другой
>>области. У меня есть клиенты с которыми у меня установлен IPSEC
>>я знаю их ИП и с обоих сторон прописаны статические маршруты.
>>Но в данной ситуации работает pptp и клиент может законектиться из
>>любой точки мира.
>
>у тебя один внешний адрес или два? если то он выдан одним
>провайдером и тока через него будут приходить пакеты. логично?

кое-какие успехи есть. ИМХО вариант с любыми роут-мапами это тупик, т.к. роутмап отрабатывает тогда когда пакет пришел на интерфейс, и что-то делать с ним уже поздно. PBR работает только на input, где потом уже можно принять решение про output.

Поэтому я решил помучать версию с ip vrf forwarding. Да, оно ругается что у меня висит PBR но я решил временно забить на этот PBR и просто его убрал. Так вот моя проблема с PPTP решилась! Но зато появилось еще несколько побочиных проблем :( А именно. перестал работать IPSEC+L2TP. Если не вдаваться в подробности то раньше это было так.
есть клиент ИП - 10.10.10.10
ip route 10.10.10.10 255.255.255.255 ISP2
ip route 0.0.0.0 0.0.0.0 ISP1

После того как заработал vrf этот маршрут пропал. это скорее всего нормально. Я взял и создал статический маршрут в vrf
ip route vrf TEST 10.10.10.10 255.255.255.255 ISP2
ip route vrf TEST 0.0.0.0 0.0.0.0 ISP2
sh ip route vrf показывает маршрут все идеально.....но блин... теперь если я делаю трейс с циски на 10.10.10.10 то пакет игнорирует маршруты и валит через дефаулт (ISP1). А должен идит как записано ip route vrf TEST 10.10.10.10 255.255.255.255 ISP2 через ISP2

У меня есть тихое чувство что я где-то еще не прописал этот vrf, но где я пока понять не могу. Пришлось все вернуть как было раньше.

"пакеты уходят через разные интерфейсы"
Отправлено Bokl , 06-Май-09 22:13 
>[оверквотинг удален]
>ip route vrf TEST 10.10.10.10 255.255.255.255 ISP2
>ip route vrf TEST 0.0.0.0 0.0.0.0 ISP2
>sh ip route vrf показывает маршрут все идеально.....но блин... теперь если я
>делаю трейс с циски на 10.10.10.10 то пакет игнорирует маршруты и
>валит через дефаулт (ISP1). А должен идит как записано ip route
>vrf TEST 10.10.10.10 255.255.255.255 ISP2 через ISP2
>
>У меня есть тихое чувство что я где-то еще не прописал этот
>vrf, но где я пока понять не могу. Пришлось все вернуть
>как было раньше.

а трейс делал так:
traceroute vrf TEST 10.10.10.10 или просто traceroute 10.10.10.10 ?

"пакеты уходят через разные интерфейсы"
Отправлено sad , 07-Май-09 09:40 
>[оверквотинг удален]
>>делаю трейс с циски на 10.10.10.10 то пакет игнорирует маршруты и
>>валит через дефаулт (ISP1). А должен идит как записано ip route
>>vrf TEST 10.10.10.10 255.255.255.255 ISP2 через ISP2
>>
>>У меня есть тихое чувство что я где-то еще не прописал этот
>>vrf, но где я пока понять не могу. Пришлось все вернуть
>>как было раньше.
>
>а трейс делал так:
>traceroute vrf TEST 10.10.10.10 или просто traceroute 10.10.10.10 ?

просто трейс :(

"пакеты уходят через разные интерфейсы"
Отправлено zxc , 07-Май-09 10:32 
Вам необходимо использовать VRF для каждого провайдера.
Ни PBR, ни local route-map не смогут решить вашу задачу на 100%.
Будут появлятся побочные проблемы.


Как сделать -- смотрите ветку
https://www.opennet.ru/openforum/vsluhforumID6/18724.html

(ответ 13)

Если потребуется помощь с IPSEC + VRF, обращайтесь. Кину конфигурацию.

"пакеты уходят через разные интерфейсы"
Отправлено krak , 04-Июн-09 17:41 
>[оверквотинг удален]
>
>Будут появлятся побочные проблемы.
>
>
>Как сделать -- смотрите ветку
>https://www.opennet.ru/openforum/vsluhforumID6/18724.html
>
>(ответ 13)
>
>Если потребуется помощь с IPSEC + VRF, обращайтесь. Кину конфигурацию.

Я вот бы с удовольствием посмотрел конфиг IPSEC+VRF

"пакеты уходят через разные интерфейсы"
Отправлено ozolot_ , 16-Июл-09 03:57 
>[оверквотинг удален]
>
>Будут появлятся побочные проблемы.
>
>
>Как сделать -- смотрите ветку
>https://www.opennet.ru/openforum/vsluhforumID6/18724.html
>
>(ответ 13)
>
>Если потребуется помощь с IPSEC + VRF, обращайтесь. Кину конфигурацию.

Простите, а мне IPSEC + VRF можно?