форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[ Отслеживать ]

"два провайдера на циске и впн-клиент"

Сообщение от bmonk (??) on 03-Фев-09, 16:25

добрый день проблема в следующем, есть циска с двумя интерфейсами смотрящими наружу fa0 - провайдер №1 fa1 - провайдер №2 настроен впн-сервер, когда я подключаюсь клиентом к fa0 все отлично, получаю полный доступ к локальной сети, которая находится за циской. когда подключаюсь к fa1 то не вижу ни одного компа в локале. проблема с таблицей маршрутизации, у меня в 0.0.0.0 сеть маршрут по умолчанию через fa0. как сделать чтобы если я цепляюсь клиентом к fa1 обратно пакеты шли через него же? таблица маршрутизации берется через бгп настройки интерфесов: ! interface FastEthernet0 description prov1 encapsulation dot1Q 863 ip address a.a.a.a 255.255.255.252 ip access-group Firewall-in in ip flow ingress ip nat outside ip virtual-reassembly ip policy route-map Policy no snmp trap link-status no cdp enable crypto map CRYPTOMAP ! interface FastEthernet1 description prov2 ip address b.b.b.b 255.255.255.252 ip access-group Firewall-in in ip flow ingress ip nat outside ip virtual-reassembly ip policy route-map Policy duplex auto speed auto crypto map CRYPTOMAP ! route-map IPS_Policy permit 10 match ip address prov1 set ip next-hop a.a.a.b ! route-map IPS_Policy permit 20 match ip address prov2 set ip next-hop b.b.b.a ! ip access-list extended prov1 permit ip host a.a.a.a any ! ip access-list extended prov2 permit ip host b.b.b.b any спасибо за ответ

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "два провайдера на циске и впн-клиент"

Сообщение от bmonk (??) on 06-Фев-09, 15:57

неужели ни у кого нет ни одной мысли как можно это сделать?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "два провайдера на циске и впн-клиент"
	Сообщение от igpr on 07-Фев-09, 13:51
	Думаю, что нужно смотреть в эту сторону: ip local policy route-map
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "два провайдера на циске и впн-клиент"
	Сообщение от bmonk (??) on 09-Фев-09, 08:49
	спасибо за ответы, в эту сторону уже копал (( вот что есть ! ip access-list extended prov1 permit ip host ip_prov1 any ! ip access-list extended prov2   permit esp host ip_prov2 any***// может все дело в этом ))   permit ip host ip_prov2 any ! route-map LokalPolicy permit 10 match ip address prov1 set ip next-hop GWprov1 ! route-map LokalPolicy permit 20 match ip address prov2 set ip next-hop GWprov2 ! fa0 ip policy route-map LokalPolicy ! fa1 ip policy route-map LokalPolicy ! ip local policy route-map LokalPolicy прбовал ip policy route-map LokalPolicy удалить из настроек интерфейсов - не помогло есть еще идеи ???
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "два провайдера на циске и впн-клиент"
	Сообщение от j_vw on 09-Фев-09, 19:57
	Я же тебе дал кусок рабочего конфига для доступа к обеим интерфейсам. Забыл упомянуть, в сторону первого ISP, просто, работает defaulе route. Или приводи весь свой конфиг, а то непонятно, например, что за интерфейсы fa0 и fa1 и нафига на них роут мепы. Да и аксесс листы какие то кривые.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "два провайдера на циске и впн-клиент"
	Сообщение от bmonk (??) on 11-Фев-09, 11:30
	выкладываю конфиг урезанный надеюсь ничего нужного для анализа не вырезал aaa new-model ! aaa authentication login default local aaa authentication login userauthen local aaa authorization exec default local aaa authorization network groupauthor local ! aaa session-id common ! resource policy ! crypto isakmp policy 1 encr 3des hash md5 authentication pre-share group 2 lifetime 480 crypto isakmp key ddddd address x.x.x.x no-xauth // и так еще 5 филиалов crypto isakmp invalid-spi-recovery ! crypto isakmp client configuration group cisco_vpn_client key cisco dns 192.168.0.1 192.168.0.3 domain krup.int pool VPNclients acl 108 ! ! crypto ipsec transform-set vpn1 esp-3des esp-sha-hmac ! crypto dynamic-map dynmap 10 set transform-set vpn1 ! ! crypto map filial_and_client client authentication list userauthen crypto map filial_and_client isakmp authorization list groupauthor crypto map filial_and_client client configuration address respond ! crypto map filial_and_client 1 ipsec-isakmp description filial1_prov1 set peer x.x.x.x set transform-set vpn1 match address 130 crypto map filial_and_client 10 ipsec-isakmp description filial1_prov2 set peer x.x.x.x set transform-set vpn1 match address 140 !и так еще 5 филиалов )) crypto map filial_and_client 80 ipsec-isakmp dynamic dynmap ! interface Loopback0 ip address 192.168.254.253 255.255.255.255 ! interface FastEthernet0 description prov1 ip address x.x.x.x 255.255.255.252 ip access-group Firewall-in in ip flow ingress ip nat outside ip virtual-reassembly ip policy route-map IPS_Policy no snmp trap link-status no cdp enable crypto map filial_and_client ! interface FastEthernet1 description prov2 ip address x.x.x.x 255.255.255.252 ip access-group Firewall-in in ip flow ingress ip nat outside ip virtual-reassembly ip policy route-map IPS_Policy duplex auto speed auto crypto map filial_and_client ! interface FastEthernet2 description LocalNet switchport access vlan 5 ! interface Vlan5 description LocalNet ip address 192.168.0.22 255.255.255.0 no ip redirects no ip proxy-arp ip flow ingress ip nat inside ip virtual-reassembly ip policy route-map LocalPolicy no ip mroute-cache no snmp trap link-status ! ! router bgp 546654 bgp log-neighbor-changes neighbor x.x.x.x remote-as 546542 neighbor x.x.x.x description prov1 neighbor x.x.x.x ebgp-multihop 8 neighbor x.x.x.x update-source FastEthernet0 neighbor x.x.x.x remote-as 454424 neighbor x.x.x.x description prov2 neighbor x.x.x.x ebgp-multihop 6 neighbor x.x.x.x update-source FastEthernet1 maximum-paths 2 ! address-family ipv4 neighbor x.x.x.x activate neighbor x.x.x.x send-community both neighbor x.x.x.x prefix-list prov1_BGP in neighbor x.x.x.x activate neighbor x.x.x.x send-community both neighbor x.x.x.x route-map prov2_BGP in maximum-paths 2 no auto-summary no synchronization exit-address-family ! ip local policy route-map IPS_Policy ip local pool VPNclients 192.168.129.1 192.168.129.254 ip route x.x.x.x 255.255.255.255 x.x.x.x ip route x.x.x.x 255.255.255.255 x.x.x.x ! ! no ip http server no ip http secure-server ip nat pool prov1Pool x.x.x.x x.x.x.x netmask 255.255.255.252 ip nat pool prov2Pool x.x.x.x x.x.x.x netmask 255.255.255.252 ip nat inside source route-map prov1-map pool prov1Pool overload ip nat inside source route-map prov2-map pool prov2Pool overload ! ip access-list extended Firewall-in permit esp any any permit ip any any ! ip access-list extended LocalNet deny   ip 192.168.0.0 0.0.0.255 192.168.0.0 0.0.255.255 permit ip host 192.168.0.1 any deny   ip any any log ip access-list extended LocalPolicy deny   ip 192.168.0.0 0.0.0.255 192.168.0.0 0.0.255.255 permit ip 192.168.0.0 0.0.0.255 any ip access-list extended PROV1_IP permit esp host x.x.x.x any permit ip host x.x.x.x any ip access-list extended PROV2_IP permit ip host x.x.x.x any ! ! ip prefix-list prov1_BGP seq 20 permit 0.0.0.0/0 ! ip prefix-list DEFAULT seq 10 permit 0.0.0.0/0 ! ip prefix-list _LAN seq 10 permit 192.168.0.0/24 access-list 103 permit ip 192.168.0.0 0.0.0.255 192.168.7.0 0.0.0.7 access-list 108 permit ip 192.168.0.0 0.0.0.255 192.168.0.0 0.0.255.255 access-list 130 permit gre host x.x.x.x host x.x.x.x access-list 140 permit gre host x.x.x.x host x.x.x.x ! ! route-map prov1-map permit 10 match ip address LocalNet match interface FastEthernet0 ! route-map prov2-map permit 10 match ip address LocalNet match interface FastEthernet1 ! route-map IPS_NAT_Policy permit 10 match ip address NAT_IP_PROV2 set ip next-hop x.x.x.x ! route-map IPS_NAT_Policy permit 20 match ip address NAT_IP_PROV1 set ip next-hop x.x.x.x ! route-map IPS_Policy permit 10 match ip address PROV2_IP set ip next-hop x.x.x.x ! route-map IPS_Policy permit 20 match ip address PROV1_IP set ip next-hop x.x.x.x ! route-map prov2_BGP permit 10 match ip address prefix-list DEFAULT set local-preference 250 ! route-map DEFAULT permit 10 match ip address prefix-list DEFAULT ! route-map _LAN permit 10 match ip address prefix-list _LAN ! route-map LocalPolicy permit 10 description Redirect local traffic w/o VPN match ip address LocalPolicy set ip next-hop 192.168.0.1
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "два провайдера на циске и впн-клиент"

Сообщение от j_vw on 07-Фев-09, 23:58

ip access-list standard route_back permit IP_INTERFACE_ISP2 route-map 123 permit 10 description ROUTE BACK ISP2 match ip address route_back set ip next-hop IP_GATEWAY_ISP2 ip local policy route-map 123

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "два провайдера на циске и впн-клиент"
	Сообщение от bmonk (??) on 25-Фев-09, 10:53
	>ip access-list standard route_back > permit IP_INTERFACE_ISP2 > > route-map 123 permit 10 > description ROUTE BACK ISP2 > match ip address route_back > set ip next-hop IP_GATEWAY_ISP2 > > ip local policy route-map 123 local policy у меня работает, иначе к этому интерфейсу у меня бы просто не подключался впн-клиент как мне кажется, кроме того к нему постоянно цепляются по 80, 22, 25 порту и ответ идет через него же, но вот в виртуальную подсетку через него пакеты уже не хотят идти как можно проследить направление пакетов на циске? есть ли тут чтото наподобе снифера?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "два провайдера на циске и впн-клиент"
	Сообщение от bokl on 25-Фев-09, 11:48
	>[оверквотинг удален] >> ip local policy route-map 123 > >local policy у меня работает, иначе к этому интерфейсу у меня бы >просто не подключался впн-клиент как мне кажется, кроме того к нему >постоянно цепляются по 80, 22, 25 порту и ответ идет через >него же, >но вот в виртуальную подсетку через него пакеты уже не хотят идти > >как можно проследить направление пакетов на циске? есть ли тут чтото наподобе >снифера? router bgp 1 no synchronization bgp log-neighbor-changes redistribute connected redistribute static neighbor 172.16.1.1 remote-as 2 neighbor 172.16.1.1 route-map FROM_AS2_LP in neighbor 172.22.1.1 remote-as 3 neighbor 172.22.1.1 route-map FROM_AS3 in neighbor 172.22.1.1 advertise-map MY non-exist-map FROM_AS2 no auto-summary ! ip http server ! ! ip as-path access-list 50 permit ^2$ ! access-list 60 permit 20.20.20.20 access-list 70 permit 10.10.10.10 ! route-map MY permit 10 match ip address 70 ! route-map FROM_AS2_LP permit 10 set local-preference 3 ! route-map FROM_AS3 permit 10 set local-preference 2 ! route-map FROM_AS2 permit 10 match ip address 60 match as-path 50 попробуй как-то так
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "два провайдера на циске и впн-клиент"
	Сообщение от bmonk (??) on 04-Мрт-09, 08:12
	спасибо попробую если по русски то идея в том чтобы при подключении через второго прова не маршрутизировать на первого?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "два провайдера на циске и впн-клиент"
	Сообщение от j_vw on 02-Мрт-09, 20:29
	"снифер" #debug ip packet ?   <1-199>      Access list   <1300-2699>  Access list (expanded range)   detail       Print more debugging detail   <cr>
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]