forum.opennet.ru - "Туннель IPSec через два ISP" (4)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"Туннель IPSec через два ISP"

Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Туннель IPSec через два ISP"		+/–
Сообщение от SPIDERL33T (ok) on 23-Янв-09, 12:38
Есть lan-2-lan IPSec туннель по Ethernet с "белыми" IP. ---------------------------------- ASA 5510 <===> Cisco870 (IOS 12.4) ---------------------------------- ASA 5510 outside: 10.0.10.5 ASA 5510 inside: 192.168.1.10 255.255.255.0 GW: 10.0.10.254 Cisco870 outside(ISP-1): 10.0.20.5 GW(ISP-1): 10.0.20.254 Cisco870 outside(ISP-2): 10.0.30.5 GW(ISP-2): 10.0.30.254 Cisco870 inside: 192.168.5.10 255.255.255.0 870-я Cisco - это филиал с провайдером, у которого иногда возникают проблемы. Было решено развернуть вторую линию. Подключили ещё одного провайдера, получили "белый" IP. Подскажите, пожалуйста, как реализовать следующую схему: Два канала на роутере870 висят в онлайн. Вся inside-сеть этого роутера "192.168.5.0/24" идёт через ISP-1 по IPSec во внутреннюю сеть ASA5510 ("192.168.1.0/24"), а единственный хост этой сети "192.168.5.25" идёт только по ISP-2. Если линия ISP-1 "падает", то вся сеть 192.168.5.0/24 "заворачивается" в IPS-2 и по IPSec уходит, опять же, в inside-сеть ASA 5510. По работе с двумя ISP`ами документации и примеров в сети полно, но у меня помимо роутинга на два провайдера ещё и IPSec-туннели есть. Не сочтите за труд, окажите помощь. Заранее благодарен. С уважением.
Высказать мнение \| Ответить \| Правка \| Cообщить модератору

Оглавление

Туннель IPSec через два ISP, SPIDERL33T, 18:46 , 23-Янв-09, (1)

Туннель IPSec через два ISP, plohish, 16:51 , 29-Янв-09, (2)

Туннель IPSec через два ISP, ILF, 04:03 , 30-Июн-09, (3)

Туннель IPSec через два ISP, plohish, 12:20 , 02-Июл-09, (4)

Сообщения по теме [Сортировка по времени | RSS]

1. "Туннель IPSec через два ISP" +/–

Сообщение от SPIDERL33T (ok) on 23-Янв-09, 18:46

>[оверквотинг удален]
>Если линия ISP-1 "падает", то вся сеть 192.168.5.0/24 "заворачивается" в IPS-2 и
>по IPSec уходит, опять же, в inside-сеть ASA 5510.
>
>По работе с двумя ISP`ами документации и примеров в сети полно, но
>у меня помимо роутинга на два провайдера ещё и IPSec-туннели есть.
>
>Не сочтите за труд, окажите помощь.
>
>Заранее благодарен.
>С уважением.
Мде, блин... Сам уже разобрался.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "Туннель IPSec через два ISP" +/–

Сообщение от plohish (??) on 29-Янв-09, 16:51

>[оверквотинг удален]
>>
>>По работе с двумя ISP`ами документации и примеров в сети полно, но
>>у меня помимо роутинга на два провайдера ещё и IPSec-туннели есть.
>>
>>Не сочтите за труд, окажите помощь.
>>
>>Заранее благодарен.
>>С уважением.
>
>Мде, блин... Сам уже разобрался.
Здравствуйте. У меня была аналогичная проблема, я писал сюда о своем решении и проблемой с ним. У вас наблюдается такое ?
1.Трекинг статических маршрутов до провайдеров на ASA:
sla monitor 1
type echo protocol ipIcmpEcho 92.242.xxx.xx interface pri_isp_subif  пингуем шлюз основного провайдера num-packets 3 frequency 10 sla monitor schedule 1 life forever start-time now track 1 rtr 1 reachability route pri_isp_subif 0.0.0.0 0.0.0.0 92.242.xxx.xx 1 track 1 route sec_isp_subif 0.0.0.0 0.0.0.0 195.5.y.yyy 254
2.isakmp и crypto-map на ASA включены на обоих интерфейсах.
3.Роутер филиала:
crypto isakmp policy 50
encr aes 256
authentication pre-share
group 5
crypto isakmp key secret address 92.242.nnn.nn crypto isakmp key secret address 82.207.mmm.mmm !
!
crypto ipsec transform-set SET esp-aes 256 esp-md5-hmac !
crypto map MAP 50 ipsec-isakmp
set peer 92.242.nnn.nn default
set peer 82.207.mmm.mmm
set transform-set SET
match address 120
4.Ложим линк с основным провайдером. Маршрут на ASA переключается – ОК.
VPN от филиалов переподключается к 82.207.mmm.mmm (ip интерфейса, подключенного к резевному провайдеру) – OK. На данном этапе я добился желаемого.
5.Восстанавливаем линк с основным провайдером (линк с резервным не трогаем).
Маршрут на ASA возвращается на основного провайдера - OK. VPN от филиалов остается подключенным к 82.207.mmm.mmm ???!!!
Судя по debug - keepalive ASA получает и туннель ложить не собирается, хотя данные по нему не ходят, потому как основной маршрут на основного провайдера.
Если, к примеру, сделать
route sec_isp_subif 192.168.65.0 255.255.255.0 195.5.y.yyy – становится доступной и передача данных по каналу резервного провайдера при установленном маршруте по умолчанию через основного.
Если, при этом, положить линк с резевным провайдером, keepalive ходить перестают, туннель успешно прибивается и переподключается через основного.
Резюмируя, VPN уходит на резервного провайдера, при падении основного и остается там при восстановлении основного.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "Туннель IPSec через два ISP" +/–

Сообщение от ILF (??) on 30-Июн-09, 04:03

>[оверквотинг удален]
>Судя по debug - keepalive ASA получает и туннель ложить не собирается,
>хотя данные по нему не ходят, потому как основной маршрут на
>основного провайдера.
>Если, к примеру, сделать
>route sec_isp_subif 192.168.65.0 255.255.255.0 195.5.y.yyy – становится доступной и передача данных по
>каналу резервного провайдера при установленном маршруте по умолчанию через основного.
>Если, при этом, положить линк с резевным провайдером, keepalive ходить перестают, туннель
>успешно прибивается и переподключается через основного.
>Резюмируя, VPN уходит на резервного провайдера, при падении основного и остается там
>при восстановлении основного.
Получилось ли как-нибудь забороть данный трабл?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "Туннель IPSec через два ISP" +/–

Сообщение от plohish (??) on 02-Июл-09, 12:20

>[оверквотинг удален]
>>основного провайдера.
>>Если, к примеру, сделать
>>route sec_isp_subif 192.168.65.0 255.255.255.0 195.5.y.yyy – становится доступной и передача данных по
>>каналу резервного провайдера при установленном маршруте по умолчанию через основного.
>>Если, при этом, положить линк с резевным провайдером, keepalive ходить перестают, туннель
>>успешно прибивается и переподключается через основного.
>>Резюмируя, VPN уходит на резервного провайдера, при падении основного и остается там
>>при восстановлении основного.
>
>Получилось ли как-нибудь забороть данный трабл?
Нет. Перед 5510 у меня 2821, так вот я ipsec на нее перевесил и ospf (в процессе..)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Туннель IPSec через два ISP"		+/–
Сообщение от SPIDERL33T (ok) on 23-Янв-09, 18:46
>[оверквотинг удален] >Если линия ISP-1 "падает", то вся сеть 192.168.5.0/24 "заворачивается" в IPS-2 и >по IPSec уходит, опять же, в inside-сеть ASA 5510. > >По работе с двумя ISP`ами документации и примеров в сети полно, но >у меня помимо роутинга на два провайдера ещё и IPSec-туннели есть. > >Не сочтите за труд, окажите помощь. > >Заранее благодарен. >С уважением. Мде, блин... Сам уже разобрался.
Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	2. "Туннель IPSec через два ISP"		+/–
	Сообщение от plohish (??) on 29-Янв-09, 16:51
	>[оверквотинг удален] >> >>По работе с двумя ISP`ами документации и примеров в сети полно, но >>у меня помимо роутинга на два провайдера ещё и IPSec-туннели есть. >> >>Не сочтите за труд, окажите помощь. >> >>Заранее благодарен. >>С уважением. > >Мде, блин... Сам уже разобрался. Здравствуйте. У меня была аналогичная проблема, я писал сюда о своем решении и проблемой с ним. У вас наблюдается такое ? 1.Трекинг статических маршрутов до провайдеров на ASA: sla monitor 1 type echo protocol ipIcmpEcho 92.242.xxx.xx interface pri_isp_subif  пингуем шлюз основного провайдера num-packets 3 frequency 10 sla monitor schedule 1 life forever start-time now track 1 rtr 1 reachability route pri_isp_subif 0.0.0.0 0.0.0.0 92.242.xxx.xx 1 track 1 route sec_isp_subif 0.0.0.0 0.0.0.0 195.5.y.yyy 254 2.isakmp и crypto-map на ASA включены на обоих интерфейсах. 3.Роутер филиала: crypto isakmp policy 50 encr aes 256 authentication pre-share group 5 crypto isakmp key secret address 92.242.nnn.nn crypto isakmp key secret address 82.207.mmm.mmm ! ! crypto ipsec transform-set SET esp-aes 256 esp-md5-hmac ! crypto map MAP 50 ipsec-isakmp set peer 92.242.nnn.nn default set peer 82.207.mmm.mmm set transform-set SET match address 120 4.Ложим линк с основным провайдером. Маршрут на ASA переключается – ОК. VPN от филиалов переподключается к 82.207.mmm.mmm (ip интерфейса, подключенного к резевному провайдеру) – OK. На данном этапе я добился желаемого. 5.Восстанавливаем линк с основным провайдером (линк с резервным не трогаем). Маршрут на ASA возвращается на основного провайдера - OK. VPN от филиалов остается подключенным к 82.207.mmm.mmm ???!!! Судя по debug - keepalive ASA получает и туннель ложить не собирается, хотя данные по нему не ходят, потому как основной маршрут на основного провайдера. Если, к примеру, сделать route sec_isp_subif 192.168.65.0 255.255.255.0 195.5.y.yyy – становится доступной и передача данных по каналу резервного провайдера при установленном маршруте по умолчанию через основного. Если, при этом, положить линк с резевным провайдером, keepalive ходить перестают, туннель успешно прибивается и переподключается через основного. Резюмируя, VPN уходит на резервного провайдера, при падении основного и остается там при восстановлении основного.
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	3. "Туннель IPSec через два ISP"		+/–
	Сообщение от ILF (??) on 30-Июн-09, 04:03
	>[оверквотинг удален] >Судя по debug - keepalive ASA получает и туннель ложить не собирается, >хотя данные по нему не ходят, потому как основной маршрут на >основного провайдера. >Если, к примеру, сделать >route sec_isp_subif 192.168.65.0 255.255.255.0 195.5.y.yyy – становится доступной и передача данных по >каналу резервного провайдера при установленном маршруте по умолчанию через основного. >Если, при этом, положить линк с резевным провайдером, keepalive ходить перестают, туннель >успешно прибивается и переподключается через основного. >Резюмируя, VPN уходит на резервного провайдера, при падении основного и остается там >при восстановлении основного. Получилось ли как-нибудь забороть данный трабл?
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	4. "Туннель IPSec через два ISP"		+/–
	Сообщение от plohish (??) on 02-Июл-09, 12:20
	>[оверквотинг удален] >>основного провайдера. >>Если, к примеру, сделать >>route sec_isp_subif 192.168.65.0 255.255.255.0 195.5.y.yyy – становится доступной и передача данных по >>каналу резервного провайдера при установленном маршруте по умолчанию через основного. >>Если, при этом, положить линк с резевным провайдером, keepalive ходить перестают, туннель >>успешно прибивается и переподключается через основного. >>Резюмируя, VPN уходит на резервного провайдера, при падении основного и остается там >>при восстановлении основного. > >Получилось ли как-нибудь забороть данный трабл? Нет. Перед 5510 у меня 2821, так вот я ipsec на нее перевесил и ospf (в процессе..)
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору