Коллеги, подскажите плиз, совсем меня одолело это творение буржуйской мысли под названием Juniper!Есть объект, где ютятся несколько родственных, в общем-то офисов, но тем не менее, есть необходимость их разделить, но дать доступ к Интернет, подключенный через ADSL и сетке управления, которая подключена через двухмегабитный L3VPN канал. Ядром выбран (не нами) Juniper J2320, на доступе Cisco Catalyst 2960.
Пока все сидят в одном VLAN 30, получают адреса от DHCP каталиста, который отдает default-route на ADSL-модем, а через option 249 и 251 отдает маршруты на сеть управления.
Когда пришла пора всех разделить (виланы созданы давно), переписываю адрес у ADSL-модема, втыкаю его в fe-0/0/2, переписываю маршруты. С джуника все прекрасно пингуется (и интернет и управа). С компов пингуется только управа, интернет глохнет намертво. Default-policy выставил пока permit all.
Вот конфиг интерфейсов, виланов и роутинга:
interfaces {
description UPRAVA;
ge-0/0/0 {
unit 0 {
family inet {
address 172.16.1.6/30;
}
}
}
ge-0/0/1 {
vlan-tagging;
unit 10 {
description obj_MR1;
vlan-id 10;
family inet {
address 10.45.130.1/28;
}
}
unit 11 {
description obj_1;
vlan-id 11;
family inet {
address 10.45.131.1/28;
}
}
unit 12 {
description obj_2;
vlan-id 12;
family inet {
address 10.45.132.1/28;
}
}
unit 13 {
description obj_3;
vlan-id 13;
family inet {
address 10.45.133.1/28;
}
}
unit 20 {
description VOICE_MR1;
vlan-id 20;
family inet {
address 10.45.130.17/28;
}
}
unit 21 {
description VOICE_1;
vlan-id 21;
family inet {
address 10.45.131.17/28;
}
}
unit 22 {
description VOICE_2;
vlan-id 22;
family inet {
address 10.45.132.17/28;
}
}
unit 23 {
description VOICE_3;
vlan-id 23;
family inet {
address 10.45.133.17/28;
}
}
unit 30 {
description LAN_MR1;
vlan-id 30;
family inet {
address 10.45.130.33/27;
}
}
unit 31 {
description LAN_1;
vlan-id 31;
family inet {
address 10.45.131.33/27;
}
}
unit 32 {
description LAN_2;
vlan-id 32;
family inet {
address 10.45.132.33/27;
}
}
unit 33 {
description LAN_3;
vlan-id 33;
family inet {
address 10.45.133.33/27;
}
}
unit 129 {
description obj_29;
vlan-id 129;
family inet {
address 10.45.159.1/28;
}
}
unit 229 {
description VOICE_29;
vlan-id 229;
family inet {
address 10.45.159.17/28;
}
}
unit 329 {
description LAN_29;
vlan-id 329;
family inet {
address 10.45.159.33/27;
}
}
}
ge-0/0/2 {
description Internet;
}
unit 0 {
description Internet;
family inet {
address 192.168.255.253/30;
}
}
}
}
routing-options {
static {
route 10.0.0.0/8 next-hop 172.16.1.5;
route 172.16.1.0/24 next-hop 172.16.1.5;
route 0.0.0.0/0 next-hop 192.168.255.254;
}
}
Сделал зону:
security-zone INET {
address-book {
address INET 0.0.0.0/0;
}
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
ge-0/0/2.0;
}
}
и пока для проверки одну полиси:
from-zone OFFICE-1 to-zone INET {
policy OFFICE-1toINET {
match {
source-address 10.45.130.32/27;
destination-address any;
application any;
}
then {
permit;
}
}
}
чтобы не мешал DHCP выставляю адрес компа вручную например 10.45.130.35/27 и шлюз 10.45.130.33, втыкаюсь в порт с VLAN 30 и пингую все диапазоны: управа пингуется нормально, а инет глохнет. Трейс показывает, что глохнет после джуника.
Весь конфиг перешерстил на десять рядов, скорее всего дело в политиках, но вроде же все разрешил.
Выручайте!!!
Вариант для распечатки
