 Туннель IPSec через два ISP,  SPIDERL33T, 23-Янв-09, 12:38 [смотреть все]Есть lan-2-lan IPSec туннель по Ethernet с "белыми" IP.
----------------------------------
ASA 5510 <===> Cisco870 (IOS 12.4)
----------------------------------
ASA 5510 outside: 10.0.10.5
ASA 5510 inside: 192.168.1.10 255.255.255.0
GW: 10.0.10.254Cisco870 outside(ISP-1): 10.0.20.5
GW(ISP-1): 10.0.20.254
Cisco870 outside(ISP-2): 10.0.30.5
GW(ISP-2): 10.0.30.254
Cisco870 inside: 192.168.5.10 255.255.255.0 870-я Cisco - это филиал с провайдером, у которого иногда возникают проблемы. Было решено развернуть вторую линию. Подключили ещё одного провайдера, получили "белый" IP. Подскажите, пожалуйста, как реализовать следующую схему: Два канала на роутере870 висят в онлайн. Вся inside-сеть этого роутера "192.168.5.0/24" идёт через ISP-1 по IPSec во внутреннюю сеть ASA5510 ("192.168.1.0/24"), а единственный хост этой сети "192.168.5.25" идёт только по ISP-2.
Если линия ISP-1 "падает", то вся сеть 192.168.5.0/24 "заворачивается" в IPS-2 и по IPSec уходит, опять же, в inside-сеть ASA 5510. По работе с двумя ISP`ами документации и примеров в сети полно, но у меня помимо роутинга на два провайдера ещё и IPSec-туннели есть.
Не сочтите за труд, окажите помощь. Заранее благодарен.
С уважением.
|
- Туннель IPSec через два ISP, SPIDERL33T, 18:46 , 23-Янв-09 (1)
>[оверквотинг удален]
>Если линия ISP-1 "падает", то вся сеть 192.168.5.0/24 "заворачивается" в IPS-2 и
>по IPSec уходит, опять же, в inside-сеть ASA 5510.
>
>По работе с двумя ISP`ами документации и примеров в сети полно, но
>у меня помимо роутинга на два провайдера ещё и IPSec-туннели есть.
>
>Не сочтите за труд, окажите помощь.
>
>Заранее благодарен.
>С уважением. Мде, блин... Сам уже разобрался.
- Туннель IPSec через два ISP, plohish, 16:51 , 29-Янв-09 (2)
>[оверквотинг удален]
>>
>>По работе с двумя ISP`ами документации и примеров в сети полно, но
>>у меня помимо роутинга на два провайдера ещё и IPSec-туннели есть.
>>
>>Не сочтите за труд, окажите помощь.
>>
>>Заранее благодарен.
>>С уважением.
>
>Мде, блин... Сам уже разобрался. Здравствуйте. У меня была аналогичная проблема, я писал сюда о своем решении и проблемой с ним. У вас наблюдается такое ? 1.Трекинг статических маршрутов до провайдеров на ASA: sla monitor 1
type echo protocol ipIcmpEcho 92.242.xxx.xx interface pri_isp_subif пингуем шлюз основного провайдера num-packets 3 frequency 10 sla monitor schedule 1 life forever start-time now track 1 rtr 1 reachability route pri_isp_subif 0.0.0.0 0.0.0.0 92.242.xxx.xx 1 track 1 route sec_isp_subif 0.0.0.0 0.0.0.0 195.5.y.yyy 254 2.isakmp и crypto-map на ASA включены на обоих интерфейсах. 3.Роутер филиала: crypto isakmp policy 50
encr aes 256
authentication pre-share
group 5
crypto isakmp key secret address 92.242.nnn.nn crypto isakmp key secret address 82.207.mmm.mmm !
!
crypto ipsec transform-set SET esp-aes 256 esp-md5-hmac !
crypto map MAP 50 ipsec-isakmp
set peer 92.242.nnn.nn default
set peer 82.207.mmm.mmm
set transform-set SET
match address 120 4.Ложим линк с основным провайдером. Маршрут на ASA переключается – ОК.
VPN от филиалов переподключается к 82.207.mmm.mmm (ip интерфейса, подключенного к резевному провайдеру) – OK. На данном этапе я добился желаемого. 5.Восстанавливаем линк с основным провайдером (линк с резервным не трогаем).
Маршрут на ASA возвращается на основного провайдера - OK. VPN от филиалов остается подключенным к 82.207.mmm.mmm ???!!!
Судя по debug - keepalive ASA получает и туннель ложить не собирается, хотя данные по нему не ходят, потому как основной маршрут на основного провайдера.
Если, к примеру, сделать
route sec_isp_subif 192.168.65.0 255.255.255.0 195.5.y.yyy – становится доступной и передача данных по каналу резервного провайдера при установленном маршруте по умолчанию через основного.
Если, при этом, положить линк с резевным провайдером, keepalive ходить перестают, туннель успешно прибивается и переподключается через основного.
Резюмируя, VPN уходит на резервного провайдера, при падении основного и остается там при восстановлении основного.
- Туннель IPSec через два ISP, ILF, 04:03 , 30-Июн-09 (3)
>[оверквотинг удален]
>Судя по debug - keepalive ASA получает и туннель ложить не собирается,
>хотя данные по нему не ходят, потому как основной маршрут на
>основного провайдера.
>Если, к примеру, сделать
>route sec_isp_subif 192.168.65.0 255.255.255.0 195.5.y.yyy – становится доступной и передача данных по
>каналу резервного провайдера при установленном маршруте по умолчанию через основного.
>Если, при этом, положить линк с резевным провайдером, keepalive ходить перестают, туннель
>успешно прибивается и переподключается через основного.
>Резюмируя, VPN уходит на резервного провайдера, при падении основного и остается там
>при восстановлении основного. Получилось ли как-нибудь забороть данный трабл?
- Туннель IPSec через два ISP, plohish, 12:20 , 02-Июл-09 (4)
>[оверквотинг удален]
>>основного провайдера.
>>Если, к примеру, сделать
>>route sec_isp_subif 192.168.65.0 255.255.255.0 195.5.y.yyy – становится доступной и передача данных по
>>каналу резервного провайдера при установленном маршруте по умолчанию через основного.
>>Если, при этом, положить линк с резевным провайдером, keepalive ходить перестают, туннель
>>успешно прибивается и переподключается через основного.
>>Резюмируя, VPN уходит на резервного провайдера, при падении основного и остается там
>>при восстановлении основного.
>
>Получилось ли как-нибудь забороть данный трабл? Нет. Перед 5510 у меня 2821, так вот я ipsec на нее перевесил и ospf (в процессе..)
|
Версия для распечатки
