forum.opennet.ru - "Помогите с настройкой ip sla, nat. Не получается." (4)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"Помогите с настройкой ip sla, nat. Не получается."

Форум Маршрутизаторы CISCO и др. оборудование. (Маршрутизация)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Помогите с настройкой ip sla, nat. Не получается."	+/–
Сообщение от vab3 (ok) on 04-Июл-13, 16:42
Есть С2911. Необходимо реализовать подключение двух провайдеров через PPPoE, обеспечить доступ в инет через NAT для части адресов внутри сети. Далее необходимо организовать несколько туннелей для реализации региональной сети. При этом для доступа в инет использовать один канал, а для туннелей второй. В случае падения одного из внешних каналов перебрасывать его потоки на второй. Кроме перечисленного необходимо организовать проброс снаружи SMTP, POP3 и SSH на внутренние серверы. Это основное. Пытался сделать все это через набор ip sla, track, ip nat enаble, PBR. Но до конца так и не получилось. Второй месяц пытаюсь с переменным успехом. Проблема 1. Подключения PPPoE имеют динамические peer address при статическом нашем адресе. Соответственно конструкции ------------------------------------ ip sla 1 icmp-echo X.X.X.6 source-interface Dialer0 ip sla schedule 1 life forever start-time now ip sla 2 icmp-echo Y.Y.Y.1 source-interface Dialer1 ip sla schedule 2 life forever start-time now route-map TRACK permit 10 match ip address 101 set ip next-hop verify-availability Y.Y.Y 10 track 2 set interface Dialer1 ! route-map TRACK permit 20 match ip address 101 set ip next-hop verify-availability X.X.X.6 20 track 1 set interface Dialer0 ! работают неустойчиво. После смены peer address, что возможно при переустановке соединения, наблюдаем проблемы с track и всем остальным, что завязано на траки (default route, route-map, ip nat) Проблема 2. Не могу добиться нормальной маршрутизации. Либо все идет через один канал, либо через другой. При совпадении peer адресов с настройками удается запустить почти как надо. Но при этом не хотят подниматься все туннели. Как-то странно все это. Сил и времени уже нет поэтому обращаюсь к сообществу. Помогите решить задачку. Ниже привожу конфиг. ! ! Last configuration change at 12:20:14 VST Thu Jun 27 2013 by admin version 15.2 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname Router2911 ! boot-start-marker boot system flash:c2900-universalk9-mz.SPA.152-3.T.bin boot-end-marker ! ! logging buffered 51200 no logging console ! no aaa new-model ! clock timezone VST 11 0 ! no ipv6 cef ip auth-proxy max-login-attempts 5 ip admission max-login-attempts 5 ! ! ! ip dhcp excluded-address 192.168.10.1 ! ip dhcp pool guest network 192.168.10.0 255.255.255.0 default-router 192.168.10.1 dns-server 8.8.8.8 ! ! ip name-server 192.168.1.11 ip cef ! multilink bundle-name authenticated ! ! ! ! ! ! crypto pki trustpoint TP-self-signed-1167187588 enrollment selfsigned subject-name cn=IOS-Self-Signed-Certificate-1167187588 revocation-check none rsakeypair TP-self-signed-1167187588 ! ! crypto pki certificate chain TP-self-signed-1167187588 certificate self-signed 01 3082022B 30820194 A0030201 02020101 300D0609 2A864886 F70D0101 05050030 31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274 69666963 6174652D 31313637 31383735 3838301E 170D3132 30313236 31323233 35395A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649 4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D31 31363731 38373538 3830819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281 8100D804 B69DCF24 89D3D58E 2550B243 298BA34E 65737915 FCE1B1E6 9E643BD6 80CC7220 853FF09F DAE6757E FB569BFF 413115B1 D5A7054C 090B4035 0B394DC8 EDFB7C26 9617E24E C401D398 8305175A 79EB2231 B0FB8FA0 F1F2DC6B B787EC8C 6B743DC4 AB1994D0 C201C328 6798B99E 122E0119 74203548 084B95E6 1AA069BD 379D0203 010001A3 53305130 0F060355 1D130101 FF040530 030101FF 301F0603 551D2304 18301680 142A2129 C26F4E80 728E057E 588D94E6 E8F7CBCE 85301D06 03551D0E 04160414 2A2129C2 6F4E8072 8E057E58 8D94E6E8 F7CBCE85 300D0609 2A864886 F70D0101 05050003 81810096 037C29B9 A708E7DB 4DFBD7BE E91556FD 7AE8723A 935D3131 66BBFF76 68F4EBC0 73AD7B47 D6BDA493 1769D522 FD7C7A9F 05E4F92D 2E84CE70 B0D8F930 AC726A1A 5FB75678 ECA76589 2EA0FFA0 7A7681FC 0953AEFB ED85A09A F3728614 E1568BFF B0A887E6 9C2D4C0E 21249189 9B3FBA8D 7470FBC9 375720E7 92FB11B9 5AA4C6 quit voice-card 0 ! ! ! ! ! ! ! ! license feature snasw license udi pid CISCO2911/K9 sn FCZ160470SJ license accept end user agreement license boot module c2900 technology-package securityk9 license boot module c2900 technology-package uck9 license boot module c2900 technology-package datak9 ! ! username admin privilege 15 secret ! redundancy ! ! ! ! ! ip ssh authentication-retries 2 ip ssh version 1 ! track 1 ip sla 1 reachability ! track 2 ip sla 2 reachability ! ! ! ! ! ! ! ! ! interface Loopback0 ip address 192.168.254.1 255.255.255.0 ! interface Tunnel50 description Tunnel 1 via isp1 bandwidth 1000 ip address 192.168.50.1 255.255.255.0 no ip redirects ip mtu 1400 ip nhrp authentication test ip nhrp map multicast dynamic ip nhrp network-id 10000 ip nhrp holdtime 600 ip tcp adjust-mss 1360 ip ospf network broadcast ip ospf priority 2 ip ospf cost 10000 delay 1000 keepalive 10 3 cdp enable tunnel source Dialer1 tunnel mode gre multipoint tunnel key 10000 tunnel route-via Dialer1 mandatory tunnel path-mtu-discovery ! interface Tunnel51 description Tunnel 1 via isp2 bandwidth 900 ip address 192.168.51.1 255.255.255.0 no ip redirects ip mtu 1400 ip nhrp authentication test ip nhrp map multicast dynamic ip nhrp network-id 10000 ip nhrp holdtime 600 ip tcp adjust-mss 1360 ip ospf network broadcast ip ospf priority 2 ip ospf cost 1000 delay 1000 keepalive 10 3 cdp enable tunnel source Dialer0 tunnel mode gre multipoint tunnel key 10000 tunnel route-via Dialer0 mandatory tunnel path-mtu-discovery ! interface Tunnel52 description Tunnel 2 via isp1 bandwidth 1000 ip address 192.168.52.1 255.255.255.0 no ip redirects ip mtu 1400 ip nhrp authentication test ip nhrp map multicast dynamic ip nhrp network-id 10001 ip nhrp holdtime 600 ip tcp adjust-mss 1360 ip ospf network broadcast ip ospf priority 2 ip ospf cost 100 delay 1000 keepalive 10 3 cdp enable tunnel source Dialer1 tunnel mode gre multipoint tunnel key 10001 tunnel route-via Dialer1 mandatory tunnel path-mtu-discovery ! interface Tunnel53 description Tunnel 2 via isp2 bandwidth 900 ip address 192.168.53.1 255.255.255.0 no ip redirects ip mtu 1400 ip nhrp authentication test ip nhrp map multicast dynamic ip nhrp network-id 10001 ip nhrp holdtime 600 ip tcp adjust-mss 1360 ip ospf network broadcast ip ospf priority 2 ip ospf cost 10 delay 1000 keepalive 10 3 cdp enable tunnel source Dialer0 tunnel mode gre multipoint tunnel key 10001 tunnel route-via Dialer0 mandatory tunnel path-mtu-discovery ! interface Embedded-Service-Engine0/0 no ip address shutdown ! interface GigabitEthernet0/0 description Main interface ip address 192.168.1.252 255.255.255.0 ip helper-address 192.168.1.11 no ip redirects ip flow egress ip nat enable ip virtual-reassembly in ip policy route-map TRACK duplex auto speed auto ! interface GigabitEthernet0/0.1 description Guest_VLAN encapsulation dot1Q 103 ip address 192.168.10.1 255.255.255.0 ip access-group GUEST in ip flow ingress ip nat enable ip virtual-reassembly in ip tcp adjust-mss 1452 ip policy route-map TRACK ! interface GigabitEthernet0/1 description PPPoE isp1 no ip address ip flow ingress ip virtual-reassembly in duplex auto speed 10 pppoe enable group global pppoe-client dial-pool-number 2 no cdp enable ! interface GigabitEthernet0/2 description PPPoE isp2 no ip address ip flow ingress ip virtual-reassembly in ip tcp adjust-mss 1452 duplex auto speed auto pppoe enable group global pppoe-client dial-pool-number 1 no cdp enable ! interface Dialer0 description isp2-PPPoE ip address negotiated ip access-group NETBIOS in no ip redirects no ip proxy-arp ip mtu 1492 ip nat enable encapsulation ppp ip route-cache policy ip tcp adjust-mss 1452 dialer pool 1 dialer-group 1 ppp authentication pap chap callin ppp chap hostname pppoe_$$$$$$$ ppp chap password $$$$$$ ppp pap sent-username pppoe_$$$$$$$ password 0 $$$$$ ppp ipcp route default ppp ipcp address accept no cdp enable ! interface Dialer1 description isp1-PPPoE ip address negotiated ip access-group NETBIOS in no ip redirects no ip proxy-arp ip mtu 1476 ip nat enable encapsulation ppp ip route-cache policy ip tcp adjust-mss 1436 dialer pool 2 dialer-group 2 ppp authentication pap chap callin ppp chap hostname ######### ppp chap password ######## ppp pap sent-username ####### password ######## ppp ipcp route default ppp ipcp address accept no cdp enable ! ! ! ! ip local policy route-map TRACK ip forward-protocol nd ! ip flow-export source GigabitEthernet0/0 ip flow-export version 5 ip flow-export destination 192.168.1.11 12345 ! ip nat translation timeout 900 ip nat translation tcp-timeout 30 ip nat translation udp-timeout 20 ip nat translation finrst-timeout 10 ip nat translation syn-timeout 5 ip nat translation dns-timeout 5 ip nat translation icmp-timeout 20 ip nat translation port-timeout tcp 53 200 ip nat translation port-timeout udp 53 200 ip nat translation max-entries all-host 300 ip nat source route-map isp2 interface Dialer0 overload ip nat source route-map isp1 interface Dialer1 overload ip nat source static tcp 192.168.1.25 25 85.15.66.116 25 extendable no-alias ip nat source static udp 192.168.1.11 123 85.15.66.116 123 extendable no-alias ip nat source static tcp 192.168.1.11 22 85.15.66.116 221 extendable no-alias ip nat source static tcp 192.168.1.12 22 85.15.66.116 222 extendable no-alias ip nat source static tcp 192.168.1.25 443 85.15.66.116 443 extendable no-alias ip nat source static tcp 192.168.1.25 995 85.15.66.116 995 extendable no-alias ip nat source static tcp 192.168.1.4 3389 85.15.66.116 3389 extendable no-alias ip nat source static tcp 192.168.1.25 25 109.197.18.64 25 extendable no-alias ip nat source static tcp 192.168.1.25 995 109.197.18.64 995 extendable no-alias ip route 0.0.0.0 0.0.0.0 Dialer1 50 track 2 ip route 0.0.0.0 0.0.0.0 Dialer0 100 ip route 192.168.0.0 255.255.255.0 192.168.1.1 ip route 192.168.8.0 255.255.255.0 192.168.1.1 ip route 192.168.9.0 255.255.255.0 192.168.1.1 ! ip access-list extended GUEST permit ip 192.168.10.0 0.0.0.255 host 192.168.10.1 permit ip 192.168.10.0 0.0.0.255 host 192.168.0.1 permit udp 192.168.10.0 0.0.0.255 host 192.168.1.1 eq domain permit tcp 192.168.10.0 0.0.0.255 host 192.168.1.1 eq domain permit udp 192.168.10.0 0.0.0.255 host 192.168.0.234 eq domain permit tcp 192.168.10.0 0.0.0.255 host 192.168.0.234 eq domain permit udp 192.168.10.0 0.0.0.255 host 192.168.0.2 eq domain permit tcp 192.168.10.0 0.0.0.255 host 192.168.0.2 eq domain permit ip 192.168.10.0 0.0.0.255 any permit ip any any ip access-list extended NETBIOS permit здесь набор разрешающих правил для подключения и проброса портов. permit icmp any any deny ip any any ! ! 2.2.2.2 - адрес из пула isp2 ! 1.1.1.1 - адрес из пула isp1 ip sla 1 icmp-echo 2.2.2.2 source-interface Dialer0 ip sla schedule 1 life forever start-time now ip sla 2 icmp-echo 1.1.1.1 source-interface Dialer1 ip sla schedule 2 life forever start-time now logging trap debugging logging 192.168.0.61 access-list 101 deny gre any any access-list 101 deny ip 192.168.0.0 0.0.255.255 192.168.0.0 0.0.255.255 access-list 101 deny набор запрещающих правил, которые не должны обрабатываться route-map access-list 101 permit ip host 192.168.0.2 any access-list 101 permit ip host 192.168.0.4 any access-list 101 permit ip host 192.168.0.5 any access-list 101 permit ip host 192.168.0.11 any access-list 101 permit ip host 192.168.0.12 any access-list 101 permit ip host 192.168.0.13 any access-list 101 permit ip host 192.168.0.14 any access-list 101 permit ip host 192.168.0.15 any access-list 101 permit ip host 192.168.0.16 any access-list 101 permit ip host 192.168.0.17 any access-list 101 permit ip host 192.168.0.18 any access-list 101 permit ip host 192.168.0.20 any access-list 101 permit ip host 192.168.0.21 any access-list 101 permit ip host 192.168.0.22 any access-list 101 permit ip host 192.168.0.23 any access-list 101 permit ip host 192.168.0.25 any access-list 101 permit ip host 192.168.0.26 any access-list 101 permit ip host 192.168.0.28 any access-list 101 permit ip host 192.168.0.29 any access-list 101 permit ip host 192.168.0.31 any access-list 101 permit ip host 192.168.0.32 any access-list 101 permit ip host 192.168.0.33 any access-list 101 permit ip host 192.168.0.34 any access-list 101 permit ip host 192.168.0.35 any access-list 101 permit ip host 192.168.0.41 any access-list 101 permit ip host 192.168.0.44 any access-list 101 permit ip host 192.168.0.45 any access-list 101 permit ip host 192.168.0.46 any access-list 101 permit ip host 192.168.0.48 any access-list 101 permit ip host 192.168.0.50 any access-list 101 permit ip host 192.168.0.51 any access-list 101 permit ip host 192.168.0.57 any access-list 101 permit ip host 192.168.0.61 any access-list 101 permit ip host 192.168.0.62 any access-list 101 permit ip host 192.168.0.63 any access-list 101 permit ip host 192.168.0.64 any access-list 101 permit ip host 192.168.0.65 any access-list 101 permit ip host 192.168.0.66 any access-list 101 permit ip host 192.168.0.67 any access-list 101 permit ip host 192.168.0.69 any access-list 101 permit ip host 192.168.0.71 any access-list 101 permit ip host 192.168.0.73 any access-list 101 permit ip host 192.168.0.74 any access-list 101 permit ip host 192.168.0.75 any access-list 101 permit ip host 192.168.0.76 any access-list 101 permit tcp host 192.168.0.77 any eq pop3 access-list 101 permit tcp host 192.168.0.77 any eq smtp access-list 101 permit ip host 192.168.0.77 any time-range TIME access-list 101 permit ip host 192.168.0.78 any access-list 101 permit ip host 192.168.0.82 any access-list 101 permit ip host 192.168.0.84 any access-list 101 permit tcp host 192.168.0.98 any eq pop3 access-list 101 permit tcp host 192.168.0.98 any eq smtp access-list 101 permit ip host 192.168.0.98 any time-range TIME access-list 101 permit ip host 192.168.0.98 any access-list 101 permit ip host 192.168.0.199 any access-list 101 permit ip host 192.168.1.1 any access-list 101 permit ip host 192.168.1.2 any access-list 101 permit ip host 192.168.1.3 any access-list 101 permit ip host 192.168.1.4 any access-list 101 permit ip host 192.168.1.5 any access-list 101 permit ip host 192.168.1.10 any access-list 101 permit ip host 192.168.1.11 any access-list 101 permit ip host 192.168.1.12 any access-list 101 permit ip host 192.168.1.23 any access-list 101 permit ip host 192.168.1.25 any access-list 101 permit ip host 192.168.1.26 any access-list 101 permit ip host 192.168.9.11 any access-list 101 permit ip host 192.168.10.3 any access-list 101 permit ip 192.168.10.0 0.0.0.255 any ! route-map isp1 permit 10 match ip address 101 match interface Dialer1 ! route-map TRACK permit 10 match ip address 101 set ip next-hop verify-availability 1.1.1.1 10 track 2 set interface Dialer1 ! route-map TRACK permit 20 match ip address 101 set ip next-hop verify-availability 2.2.2.2 20 track 1 set interface Dialer0 ! route-map isp2 permit 10 match ip address 101 match interface Dialer0 ! ! ! control-plane ! ! ! ! ! ! ! mgcp profile default ! ! ! ! ! gatekeeper shutdown ! ! ! line con 0 login local line aux 0 line 2 no activation-character no exec transport preferred none transport input all transport output pad telnet rlogin lapb-ta mop udptn v120 ssh stopbits 1 line vty 0 4 privilege level 15 login local transport input ssh line vty 5 15 privilege level 15 login local transport input ssh ! scheduler allocate 20000 1000 time-range TIME periodic weekend 0:00 to 23:59 periodic weekdays 18:15 to 23:59 periodic weekdays 0:00 to 9:00 ! ! end
Ответить \| Правка \| Cообщить модератору

Оглавление

Помогите с настройкой ip sla, nat. Не получается., QRSa, 21:17 , 09-Июл-13, (1)

Помогите с настройкой ip sla, nat. Не получается., vab3, 09:56 , 10-Июл-13, (3)

NAT в схеме с VRF, QRSa, 10:28 , 10-Июл-13, (4)

BGP на двух провайдеров, QRSa, 21:22 , 09-Июл-13, (2)

Сообщения по теме [Сортировка по времени | RSS]

1. "Помогите с настройкой ip sla, nat. Не получается." +/–

Сообщение от QRSa (ok) on 09-Июл-13, 21:17

Добрый день.
Сначала пройдемся по Вашему решению:
Проблема с туннелями, я полагаю, потому, что local PBR не отрабатывает transport туннеля и он всегда ходит с учетом таблицы маршрутизации.
ip sla стоит сделать следующим образом:
- выбрать статический адрес в сетях провайдера (IPa & IPb);
- создать local pbr, которая рулит icmp any host IPa echo в Dialer1 + icmp any host IPb ech в Dialer2; использовать именно интерфейс без условий и без next-hop.
Туннели:
- по-любому всегда будет работать только половина туннелей (кроме случая с VRF);
- единственное, что можно сделать - обеспечить максимально быстрое переключение между ними (время за которое isakmp согласуется) + скорость сходимости IGP;
- кстати, на туннелях не заметил tunnel protection... они что - не шифруются?
NAT:
- в любом случае Вы не сможете одновременно работать на два туннеля по одному сервису... за исключением случая, когда static nat разрешается в другой адрес\порт
т.е. в моем понимании схема:
ip nat source static tcp 192.168.1.25 25 85.15.66.116 25 extendable no-alias
ip nat source static tcp 192.168.1.25 25 109.197.18.64 25 extendable no-alias
работать не будет (хотя я не силен в NAT), т.к. routing\PBR выполняется до NAT, т.о. это не очень надежно и через оба интерфейса нельзя будет одновременно получать почту.
Версия двух IP для каждого сервиса и NAT каждого провайдера в свой IP + последующий PBR на обратном пути сможет решить проблему.
Корректно работаеющий ip sla + static def.route track object решают проблему пользовательского PAT.
***********************************
Вариант, который напрашивается в случае, если все туннели должны работать одновременно - это VRF или два адреса на remote end.
***********************************
PS: если надумаете фиксить, то начинайте с ip sla - как заработает - двигайтесь дальше. Фрагменты конфига выкладывайте здесь.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Помогите с настройкой ip sla, nat. Не получается." +/–

Сообщение от vab3 (ok) on 10-Июл-13, 09:56

> Добрый день.
> Сначала пройдемся по Вашему решению:
> Проблема с туннелями, я полагаю, потому, что local PBR не отрабатывает transport
> туннеля и он всегда ходит с учетом таблицы маршрутизации.
Не знал. Спасибо, учту.
> ip sla стоит сделать следующим образом:
>  - выбрать статический адрес в сетях провайдера (IPa & IPb);
>  - создать local pbr, которая рулит icmp any host IPa echo
> в Dialer1 + icmp any host IPb ech в Dialer2; использовать
> именно интерфейс без условий и без next-hop.
Хорошо, попробую. Об этом не думал.
> Туннели:
>  - по-любому всегда будет работать только половина туннелей (кроме случая с
> VRF);
>  - единственное, что можно сделать - обеспечить максимально быстрое переключение между
> ними (время за которое isakmp согласуется) + скорость сходимости IGP;
>  - кстати, на туннелях не заметил tunnel protection... они что -
> не шифруются?
Сейчас пытаюсь настроиться именно с VRF. Устал бороться в пределах одного тела. Что-то да не так.
В настоящий момент реализованы две VRF на обоих провайдеров, подняты NAT в пределах VRF, ip sla отслеживают состояние туннелей и переключают хождение внутреннего трафика (голос и доступ к внутренним ресурсам), поднят ospf.
Шифрование подключу на завершающем этапе. Надеюсь, что с ним проблем не будет.
> NAT:
>  - в любом случае Вы не сможете одновременно работать на два
> туннеля по одному сервису... за исключением случая, когда static nat разрешается
> в другой адрес\порт
> т.е. в моем понимании схема:
> ip nat source static tcp 192.168.1.25 25 85.15.66.116 25 extendable no-alias
> ip nat source static tcp 192.168.1.25 25 109.197.18.64 25 extendable no-alias
> работать не будет (хотя я не силен в NAT), т.к. routing\PBR выполняется
> до NAT, т.о. это не очень надежно и через оба интерфейса
> нельзя будет одновременно получать почту.
В схеме с VRF должно работать на обоих интерфейсах.
> Версия двух IP для каждого сервиса и NAT каждого провайдера в свой
> IP + последующий PBR на обратном пути сможет решить проблему.
> Корректно работаеющий ip sla + static def.route track object решают проблему пользовательского
> PAT.
> ***********************************
> Вариант, который напрашивается в случае, если все туннели должны работать одновременно
> - это VRF или два адреса на remote end.
> ***********************************
> PS: если надумаете фиксить, то начинайте с ip sla - как заработает
> - двигайтесь дальше. Фрагменты конфига выкладывайте здесь.
Сегодня попробую все свести в кучу и протестировать. По результатам отпишу.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

4. "NAT в схеме с VRF" +/–

Сообщение от QRSa (ok) on 10-Июл-13, 10:28

Не думаю, что в VRF NAT внутренних сервисов будет работать на обоих интерфейсах, т.к. все равно где-то должно быть ключевое решение на какой интерфейс/VRF роутить трафик, а у Вас нет никакого дифференциатора!
Его можно создать по Inside local IP-адресу сервиса.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

2. "BGP на двух провайдеров" +/–

Сообщение от QRSa (ok) on 09-Июл-13, 21:22

Еще есть вариант с BGP на двух провайдером, но это довольно денежно.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Помогите с настройкой ip sla, nat. Не получается."	+/–
Сообщение от QRSa (ok) on 09-Июл-13, 21:17
Добрый день. Сначала пройдемся по Вашему решению: Проблема с туннелями, я полагаю, потому, что local PBR не отрабатывает transport туннеля и он всегда ходит с учетом таблицы маршрутизации. ip sla стоит сделать следующим образом: - выбрать статический адрес в сетях провайдера (IPa & IPb); - создать local pbr, которая рулит icmp any host IPa echo в Dialer1 + icmp any host IPb ech в Dialer2; использовать именно интерфейс без условий и без next-hop. Туннели: - по-любому всегда будет работать только половина туннелей (кроме случая с VRF); - единственное, что можно сделать - обеспечить максимально быстрое переключение между ними (время за которое isakmp согласуется) + скорость сходимости IGP; - кстати, на туннелях не заметил tunnel protection... они что - не шифруются? NAT: - в любом случае Вы не сможете одновременно работать на два туннеля по одному сервису... за исключением случая, когда static nat разрешается в другой адрес\порт т.е. в моем понимании схема: ip nat source static tcp 192.168.1.25 25 85.15.66.116 25 extendable no-alias ip nat source static tcp 192.168.1.25 25 109.197.18.64 25 extendable no-alias работать не будет (хотя я не силен в NAT), т.к. routing\PBR выполняется до NAT, т.о. это не очень надежно и через оба интерфейса нельзя будет одновременно получать почту. Версия двух IP для каждого сервиса и NAT каждого провайдера в свой IP + последующий PBR на обратном пути сможет решить проблему. Корректно работаеющий ip sla + static def.route track object решают проблему пользовательского PAT. ********************************* Вариант, который напрашивается в случае, если все туннели должны работать одновременно - это VRF или два адреса на remote end. ********************************* PS: если надумаете фиксить, то начинайте с ip sla - как заработает - двигайтесь дальше. Фрагменты конфига выкладывайте здесь.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	3. "Помогите с настройкой ip sla, nat. Не получается."	+/–
	Сообщение от vab3 (ok) on 10-Июл-13, 09:56
	> Добрый день. > Сначала пройдемся по Вашему решению: > Проблема с туннелями, я полагаю, потому, что local PBR не отрабатывает transport > туннеля и он всегда ходит с учетом таблицы маршрутизации. Не знал. Спасибо, учту. > ip sla стоит сделать следующим образом: > - выбрать статический адрес в сетях провайдера (IPa & IPb); > - создать local pbr, которая рулит icmp any host IPa echo > в Dialer1 + icmp any host IPb ech в Dialer2; использовать > именно интерфейс без условий и без next-hop. Хорошо, попробую. Об этом не думал. > Туннели: > - по-любому всегда будет работать только половина туннелей (кроме случая с > VRF); > - единственное, что можно сделать - обеспечить максимально быстрое переключение между > ними (время за которое isakmp согласуется) + скорость сходимости IGP; > - кстати, на туннелях не заметил tunnel protection... они что - > не шифруются? Сейчас пытаюсь настроиться именно с VRF. Устал бороться в пределах одного тела. Что-то да не так. В настоящий момент реализованы две VRF на обоих провайдеров, подняты NAT в пределах VRF, ip sla отслеживают состояние туннелей и переключают хождение внутреннего трафика (голос и доступ к внутренним ресурсам), поднят ospf. Шифрование подключу на завершающем этапе. Надеюсь, что с ним проблем не будет. > NAT: > - в любом случае Вы не сможете одновременно работать на два > туннеля по одному сервису... за исключением случая, когда static nat разрешается > в другой адрес\порт > т.е. в моем понимании схема: > ip nat source static tcp 192.168.1.25 25 85.15.66.116 25 extendable no-alias > ip nat source static tcp 192.168.1.25 25 109.197.18.64 25 extendable no-alias > работать не будет (хотя я не силен в NAT), т.к. routing\PBR выполняется > до NAT, т.о. это не очень надежно и через оба интерфейса > нельзя будет одновременно получать почту. В схеме с VRF должно работать на обоих интерфейсах. > Версия двух IP для каждого сервиса и NAT каждого провайдера в свой > IP + последующий PBR на обратном пути сможет решить проблему. > Корректно работаеющий ip sla + static def.route track object решают проблему пользовательского > PAT. > ********************************* > Вариант, который напрашивается в случае, если все туннели должны работать одновременно > - это VRF или два адреса на remote end. > ********************************* > PS: если надумаете фиксить, то начинайте с ip sla - как заработает > - двигайтесь дальше. Фрагменты конфига выкладывайте здесь. Сегодня попробую все свести в кучу и протестировать. По результатам отпишу.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	4. "NAT в схеме с VRF"	+/–
	Сообщение от QRSa (ok) on 10-Июл-13, 10:28
	Не думаю, что в VRF NAT внутренних сервисов будет работать на обоих интерфейсах, т.к. все равно где-то должно быть ключевое решение на какой интерфейс/VRF роутить трафик, а у Вас нет никакого дифференциатора! Его можно создать по Inside local IP-адресу сервиса.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору

2. "BGP на двух провайдеров"	+/–
Сообщение от QRSa (ok) on 09-Июл-13, 21:22
Еще есть вариант с BGP на двух провайдером, но это довольно денежно.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору