- Связать два роутера,
 Ярослав Росомахо, 12:58 , 25-Июл-08 (1)>Есть две кисы, 2800, c2801-adventerprisek9-mz.124-16
>
>У одной статический внешний IP, на другой pppoe клиент, с постоянно меняющимся
>IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель.
>
>
>Какие будут мысли?
>pptp отпадает, потому что киса не умеет быть pptp клиентом.
>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил. Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно? R1 (с динамическим адресом):
crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
crypto isakmp key VERYBIGSECRET address <внешний статический адрес R2>
!
!
crypto ipsec transform-set 3DES_MD5 esp-3des esp-md5-hmac
!
crypto map VPN 10 ipsec-isakmp
set peer <внешний статический адрес R2>
set transform-set 3DES_MD5
match address CRYPTO ip access-list extended CRYPTO
permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 ip route 192.168.2.0 255.255.255.0 <адрес дефолт гейтвея или имя внешнего интерфейса> interface FastEthernet1/0 (внешний интерфейс)
crypto map VPN R2 (со статическим IP):
crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
crypto isakmp key VERYBIGSECRET address 0.0.0.0 0.0.0.0
crypto ipsec transform-set 3DES_MD5 esp-3des esp-md5-hmac
crypto dynamic-map DYNAMIC 10
set transform-set 3DES_MD5
ip route 192.168.1.0 255.255.255.0 <адрес дефолт гейтвея или имя внешнего интерфейса>
crypto map VPN 10 ipsec-isakmp dynamic DYNAMIC
interface FastEthernet1/0 (внешний интерфейс)
crypto map VPN
где 192.168.1.0/24 - внутренние сети за маршрутизатором R1, а 192.168.2.0/24 - внутренние сети за маршрутизатором R2
Если используется NAT, то для пакетов ходящих из 192.168.1.0 в 192.168.2.0 и наоборот он должен быть отключен.
- Связать два роутера, ShyLion, 13:05 , 25-Июл-08 (2)
>[оверквотинг удален]
>>
>>У одной статический внешний IP, на другой pppoe клиент, с постоянно меняющимся
>>IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель.
>>
>>
>>Какие будут мысли?
>>pptp отпадает, потому что киса не умеет быть pptp клиентом.
>>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил.
>
>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно? OSPF куда повесить в этом случае?
- Связать два роутера, Ярослав Росомахо, 13:29 , 25-Июл-08 (3)
>[оверквотинг удален]
>>>IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель.
>>>
>>>
>>>Какие будут мысли?
>>>pptp отпадает, потому что киса не умеет быть pptp клиентом.
>>>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил.
>>
>>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно?
>
>OSPF куда повесить в этом случае? Если вам нужна динамическая маршрутизация между маршрутизаторами, тогда либо GRE внутри IPSec, либо апгрейдить IOS на 12.4T и использовать Dynamic VTI Ipsec.
- Связать два роутера, Solodark, 12:23 , 30-Июл-08 (4)
>[оверквотинг удален]
>>>>Какие будут мысли?
>>>>pptp отпадает, потому что киса не умеет быть pptp клиентом.
>>>>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил.
>>>
>>>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно?
>>
>>OSPF куда повесить в этом случае?
>
>Если вам нужна динамическая маршрутизация между маршрутизаторами, тогда либо GRE внутри IPSec,
>либо апгрейдить IOS на 12.4T и использовать Dynamic VTI Ipsec. маленькое дополнение по поводу "не умеет быть pptp клиентом" = 871/851 могут быть pptp/pppoe клиентом как и 1721(я не помню - кажется на ней тоже поднимал) - почему этого не могут 28-е ?
- Связать два роутера, Solodark, 12:27 , 30-Июл-08 (5)
>[оверквотинг удален]
>>>>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно?
>>>
>>>OSPF куда повесить в этом случае?
>>
>>Если вам нужна динамическая маршрутизация между маршрутизаторами, тогда либо GRE внутри IPSec,
>>либо апгрейдить IOS на 12.4T и использовать Dynamic VTI Ipsec.
>
>маленькое дополнение по поводу "не умеет быть pptp клиентом" = 871/851 могут
>быть pptp/pppoe клиентом как и 1721(я не помню - кажется на
>ней тоже поднимал) - почему этого не могут 28-е ? И еще один вопрос - как можно поднять gre на удаленный меняющийся адрес ?
- Связать два роутера, Ярослав Росомахо, 12:33 , 30-Июл-08 (6)
>>маленькое дополнение по поводу "не умеет быть pptp клиентом" = 871/851 могут
>>быть pptp/pppoe клиентом как и 1721(я не помню - кажется на
>>ней тоже поднимал) - почему этого не могут 28-е ?
>
>И еще один вопрос - как можно поднять gre на удаленный меняющийся
>адрес ? 1.
pppoe клиентами может быть любая циска официально
ppptp клиентом официально может быть только VPN3002 hardware client, другие продукты - только неофициально через "service internal" 2.
На меняющийся адрес GRE поднять нельзя, зато можно поднять на удаленный лупбек, маршрут к которому лежит через туннель IPSec
- Связать два роутера, ShyLion, 12:44 , 30-Июл-08 (7)
>2.
>На меняющийся адрес GRE поднять нельзя, зато можно поднять на удаленный лупбек,
>маршрут к которому лежит через туннель IPSec Слишком громоздко получается, гораздо проще в моем случае l2tp, что я и сделал.
- Связать два роутера, ShyLion, 12:48 , 30-Июл-08 (8)
>[оверквотинг удален]
>>>>Зачем pptp/l2tp если классического ipsec для решения вашей задачи более чем достаточно?
>>>
>>>OSPF куда повесить в этом случае?
>>
>>Если вам нужна динамическая маршрутизация между маршрутизаторами, тогда либо GRE внутри IPSec,
>>либо апгрейдить IOS на 12.4T и использовать Dynamic VTI Ipsec.
>
>маленькое дополнение по поводу "не умеет быть pptp клиентом" = 871/851 могут
>быть pptp/pppoe клиентом как и 1721(я не помню - кажется на
>ней тоже поднимал) - почему этого не могут 28-е ? использовать недокументированые фичи нет особого желания
конфиг должен быть понятен в понедельник рано утром
- Связать два роутера, Solodark, 14:22 , 30-Июл-08 (9)
Ярослав, а можно "пример" такого конфига ?Я представляю как можно поднять IPsec внутри GRE (случай когда шифрование вешаем на физический интерфейс).. представляю случай когда GRE живет внутри IPsec (шифрование вешаем на тунельный) но как приземлить GRE на лупбек через тунель IPsec чего-то не понимаю :(
- Связать два роутера, Ярослав Росомахо, 14:35 , 30-Июл-08 (10)
>Ярослав, а можно "пример" такого конфига ?
>
>Я представляю как можно поднять IPsec внутри GRE (случай когда шифрование вешаем
>на физический интерфейс).. представляю случай когда GRE живет внутри IPsec (шифрование
>вешаем на тунельный) но как приземлить GRE на лупбек через тунель
>IPsec чего-то не понимаю :( как-то так R1 (с динамическим адресом):
crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
crypto isakmp key VERYBIGSECRET address <внешний статический адрес R2>
!
!
crypto ipsec transform-set 3DES_MD5 esp-3des esp-md5-hmac
!
crypto map VPN 10 ipsec-isakmp
set peer <внешний статический адрес R2>
set transform-set 3DES_MD5
match address CRYPTO ip access-list extended CRYPTO
permit ip host 1.1.1.2 host 1.1.1.1 ip route 1.1.1.1 255.255.255.255 <адрес дефолт гейтвея или имя внешнего интерфейса> interface Loopback0
ip address 1.1.1.2 255.255.255.255 interface FastEthernet1/0 (внешний интерфейс)
crypto map VPN interface Tunnel0
ip addr <адрес маска> или ip unnumbered Loopback0
tu source Loopback0
tu de 1.1.1.1 R2 (со статическим IP):
crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
crypto isakmp key VERYBIGSECRET address 0.0.0.0 0.0.0.0
crypto ipsec transform-set 3DES_MD5 esp-3des esp-md5-hmac
crypto dynamic-map DYNAMIC 10
set transform-set 3DES_MD5
set reverse-route
crypto map VPN 10 ipsec-isakmp dynamic DYNAMIC interface Loopback0
ip address 1.1.1.1 255.255.255.255 interface FastEthernet1/0 (внешний интерфейс)
crypto map VPN interface Tunnel0
ip addr <адрес маска> или ip unnumbered Loopback0
tu source Loopback0
tu de 1.1.1.2
- Связать два роутера, KiM, 15:08 , 30-Июл-08 (11)
>Есть две кисы, 2800, c2801-adventerprisek9-mz.124-16
>
>У одной статический внешний IP, на другой pppoe клиент, с постоянно меняющимся
>IP (при каждом переподключении есесно). Нужно поднять между ними IP туннель.
>
>
>Какие будут мысли?
>pptp отпадает, потому что киса не умеет быть pptp клиентом.
>пытался поразбираться с l2tp, но что-то эту китайскую грамоту не осилил. cisco умеет быть pptp клиентом:)
darksid.blog.ru - ссылка на настройку. проверено на практике
|
Версия для распечатки
Связать два роутера, 
