История страницы

esr(config)# tunnel gre <INDEX>

<INDEX> – идентификатор туннеля в диапазоне:

• для ESR-10/12V(F)/14VF/15 – [1..10];
• для ESR-20/21/30/100/200 – [1..250];
• для ESR-1000/1200/1500
  /1511/1700/3100/3200 – [1..500].

esr(config-gre )# ip vrf forwarding <VRF>

esr(config-gre)# description <DESCRIPTION>

esr(config-gre)# local address <ADDR>

esr(config-gre)# local interface <IF>

esr(config-gre)# remote address <ADDR>

esr(config-gre)# mode <MODE>

<MODE> – режим инкапсуляции для GRE-туннеля:

• ip – инкапсуляция IP-пакетов в GRE;
• ethernet – инкапсуляция Ethernet-фреймов в GRE.

Значение по умолчанию: ip

esr(config-gre)# ip address <ADDR/LEN>

<ADDR/LEN> – IP-адрес и префикс подсети задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32].

Можно указать до 8 IP-адресов перечислением через запятую.

Дополнительные функции IPv4-адресации см. в разделе Настройка IP-адресации.

esr(config-gre)# bridge-group <BRIDGE-ID>

<BRIDGE-ID> – идентификационный номер моста, принимает значения в диапазоне:

• для ESR-10/12V(F)/14VF/15 – [1..50];
• для ESR-20/21/30/100/200 – [1..250];
• для ESR-1000/1200/1500
  /1511/1700/3100/3200 – [1..500].

esr(config-gre)# security-zone<NAME>

esr(config-gre)# ip firewall disable

11

Указать размер MTU (Maximum Transmition Unit) для туннеля (не обязательно).
MTU более 1500 будет активно только если применена команда "system jumbo-frames".

esr(config-gre)# mtu <MTU>

<MTU> – значение MTU, принимает значения в диапазоне:

• для ESR-10/12V(F)/14VF/15 – [1280..9600];
• для ESR-20/21/30 – [1280..9500];
• для ESR-100/200/1000/1200/1500/1511/1700/3100/3200 – [1280..10000].

Значение по умолчанию: 1500.

12

Указать значение времени жизни TTL для туннельных пакетов (не обязательно).

esr(config-gre)# ttl <TTL>

<TTL> – значение TTL, принимает значения в диапазоне [1..255].

Значение по умолчанию: Наследуется от инкапсулируемого пакета.

13

Указать DSCP для использования в IP-заголовке инкапсулирующего пакета (не обязательно).

esr(config-gre)# dscp <DSCP>

<DSCP> – значение кода DSCP, принимает значения в диапазоне [0..63].

Значение по умолчанию: наследуется от инкапсулируемого пакета.

14

Разрешить передачу ключа (Key) в туннельном заголовке GRE (в соответствии с RFC 2890) и установить значение ключа. Настраивается только с обеих сторон туннеля.
(не обязательно).

esr(config-gre)# key <KEY>

<KEY> – значение KEY, принимает значения в диапазоне [1..2000000].

Значение по умолчанию: ключ не передаётся.

15

Включить вычисление контрольной суммы и занесение её в GRE-заголовок отправляемых пакетов. При этом на удаленной стороне необходимо включить проверку контрольной суммы.
(не обязательно)

esr(config-gre)# local checksum

16

Включить проверку наличия и соответствия значений контрольной суммы в заголовках принимаемых GRE-пакетов. При этом на удаленной стороне необходимо включить вычисление контрольной суммы
(не обязательно).

esr(config-gre)# remote checksum

17

Включить проверку доступности удаленного шлюза туннеля (не обязательно).

esr(config-gre)# keepalive enable

18

Изменить время ожидания keepalive пакетов от встречной стороны (не обязательно).

esr(config-gre)# keepalive timeout <TIME>

<TIME> – время в секундах, принимает значения в диапазоне [1..32767].

Значение по умолчанию: 10.

19

Изменить количество попыток проверки доступности удаленного шлюза туннеля (не обязательно).

esr(config-gre)# keepalive retries <VALUE>

<VALUE> – количество попыток, принимает значения в диапазоне [1..255].

Значение по умолчанию: 5.

Указать IP-адрес для работы механизма keepalive (обязательно в режиме ethernet).

esr(config-gre)# keepalive dst-address <ADDR>

21

Изменить интервал времени, за который усредняется статистика о нагрузке на туннеле (не обязательно).

esr(config-gre)# load-average <TIME>

<TIME> – интервал в секундах, принимает значения [5..150].

Значение по умолчанию: 5.

22

Включить отправку snmp-trap о включении/отключении туннеля.

esr(config-gre)# snmp init-trap

23

Включить механизм перезапроса IP-адресов по протоколу DHCP на указанных интерфейсах при отключении GRE-туннеля по keepalive (не обязательно).

esr(config-gre)# keepalive dhcp dependent-interface <IF>

<IF> – физический/логический интерфейс, на котором включено получение IP-адреса по DHCP.

24

Задать интервал времени между отключением GRE-туннеля и перезапросом IP-адреса на интерфейсе/интерфейсах, указанных командой keepalive dhcp dependent-interface (не обязательно).

esr(config-gre)# keepalive dhcp link-timeout <SEC>

<SEC> – интервал между отключением GRE-туннеля и перезапросом IP-адреса по DHCP на интерфейсах.

esr(config-gre)# ip tcp adjust-mss <MSS>

<MSS> – значение MSS, принимает значения в диапазоне [500..1460].

Значение по умолчанию: 1460.

esr(config-gre)# history statistics

27

Активировать туннель.

esr(config-gre)# enable

Также для GRE-туннеля возможно настроить:

• QoS в базовом или расширенном режимах (см. раздел Управление QoS);
• proxy (см. раздел Проксирование HTTP/HTTPS-трафика);
• мониторинг траффика (см. разделы Настройка Netflow и Настройка sFlow);
• функционал протоколов маршрутизации (см. раздел Управление маршрутизацией);
• функционал BRAS (см. раздел Управление BRAS (Broadband Remote Access Server));

1

Сконфигурировать L3-интерфейс, от которого будет строиться L2TPv3-туннель.

2

Создать L2TPv3-туннель и перейти в режим его конфигурирования.

esr(config)# tunnel l2tpv3 <INDEX>

<INDEX> – идентификатор туннеля в диапазоне:

• для ESR-10/12V(F)/14VF/15 – [1..10];
• для ESR-20/21/30/100/200 – [1..250];
• для ESR-1000/1200/1500/
  1511/1700/3100/3200 – [1..500].

3

Указать описание конфигурируемого туннеля (не обязательно).

esr(config-l2tpv3)# description <DESCRIPTION>

<DESCRIPTION> – описание туннеля, задаётся строкой до 255 символов.

Установить локальный IP-адрес для установки туннеля.

esr(config-l2tpv3)# local address <ADDR>

<ADDR> – IP-адрес локального шлюза, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

5

Установить удаленный IP-адрес для установки туннеля.

esr(config-l2tpv3)# remote address <ADDR>

<ADDR> – IP-адрес локального шлюза, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

6

Выбрать метод инкапсуляции для туннеля L2TPv3.

esr(config-l2tpv3)# protocol <TYPE>

<TYPE> – тип инкапсуляции, возможные значения:

• ip - инкапсуляция в IP-пакет;
• udp - инкапсуляция в UDP-дейтаграммы.

7

Установить локальный идентификатор сессии.

esr(config-l2tpv3)# local session-id <SESSION-ID>

<SESSION-ID> – идентификатор сессии, принимает значения [1..200000].

8

Установить удаленный идентификатор сессии.

esr(config-l2tpv3)# remote session-id <SESSION-ID>

<SESSION-ID> – идентификатор сессии, принимает значения [1..200000].

9

Определить локальный UDP-порт (если в качестве метода инкапсуляции был выбран UDP протокол).

esr(config-l2tpv3)# local port <UDP>

<UDP> – номер UDP-порта в диапазоне [1..65535].

esr(config-l2tpv3)# remote port <UDP>

esr(config-l2tpv3)# bridge-group <BRIDGE-ID>

<BRIDGE-ID> – идентификационный номер моста, принимает значения в диапазоне:

• для ESR-10/12V(F)/14VF/15 – [1..50];
• для ESR-20/21/30/100/200 – [1..250];
• для ESR-1000/1200/1500 –
  /1511/1700/3100/3200 – [1..500].

esr(config-l2tpv3)# enable

esr(config-l2tpv3)# mtu <MTU>

<MTU> – значение MTU, принимает значения в диапазоне:

• для ESR-10/12V(F)/14VF/15 – [1280..9600];
• для ESR-20/21/30 – [1280..9500];
• для ESR-100/200/1000/1200/1500/1511/1700/3100/3200 – [1280..10000].

Значение по умолчанию: 1500.

esr(config-l2tpv3)# local cookie <COOKIE>

esr(config-l2tpv3)# remote cookie <COOKIE>

esr(config-l2tpv3)# load-average <TIME>

<TIME> – интервал в секундах, принимает значения [5..150].

Значение по умолчанию: 5.

esr(config-subif)# history statistics

Также для L2TPv3-туннеля возможно настроить:

• QoS в базовом или расширенном режимах (см. раздел Управление QoS);
• функционал BRAS (см. раздел Управление BRAS (Broadband Remote Access Server)).

esr(config)# security ike proposal <NAME>

esr(config-ike-proposal)# description <DESCRIPTION>

esr(config-ike-proposal)# authentication algorithm <ALGORITHM>

esr(config-vti)# ip address <ADDR/LEN>

esr(config-ike-proposal)# dh-group <DH-GROUP>

<DH-GROUP> – номер группы Диффи-Хэллмана, принимает значения [1, 2, 5, 14, 15, 16, 17, 18].

Значение по умолчанию: 1.

esr(config)# security ike policy <NAME>

esr(config-ike- policy)# authentication method <METHOD>

<METHOD> – метод аутентификации ключа. Может принимать значения:

•  xauth - psk - key – метод двухфакторной аутентификации, использующий пару логин-пароль и предварительно полученные ключи шифрования.

esr(config-ike- policy)# authentication mode client

esr(config-ike- policy)# lifetime seconds <SEC>

<SEC> – период времени, принимает значения [4 ..86400] секунд.

Значение по умолчанию: 3600.

esr(config-ike-policy)# proposal <NAME>

esr(config-ike-policy)#pre-shared-key ascii-text <TEXT>

esr(config)# access profile <NAME>

esr(config-access-profile)# user <LOGIN>

esr(config-profile)# password ascii-text <TEXT>

esr(config)# address-assignment pool <NAME>

esr(config-pool)# ip prefix <ADDR/LEN>

esr(config)# security ike gateway <NAME>

esr(config-ike-gw)# ike-policy <NAME>

esr(config-ike-gw)# mode <MODE>

<MODE> – режим перенаправления трафика в туннель, принимает значения:

• policy - based – трафик перенаправляется на основе принадлежности к указанным в политиках подсетям.

esr(config-ike-gw)# dead-peer-detection action <MODE>

<MODE> – режим работы DPD:

• restart – соединение переустанавливается;
• clear – соединение останавливается;
• hold – соединение поддерживается;
• none – механизм выключен, никаких действий не предпринимается.

Значение по умолчанию: none.

esr(config-ike-gw)#dead-peer-detection interval <SEC>

<SEC> – интервал между отправкой сообщений механизмом DPD, принимает значения [1..180] секунд.

Значение по умолчанию: 2.

esr(config-ike-gw)# dead-peer-detection timeout <SEC>

<SEC> – период времени для ответа на сообщения механизма DPD, принимает значения [1..180] секунд.

Значение по умолчанию: 30.

esr(config-ike-gw)# version <VERSION>

<VERSION> – версия IKE-протокола: v1-only или v2-only.

Значение по умолчанию: v1-only

esr(config-ike-gw)# local network <ADDR/LEN>
[ protocol { <TYPE> | <ID> } [ port <PORT> ] ]

<ADDR/LEN> – IP-адрес и маска подсети отправителя. Параметр задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32];

<TYPE> – тип протокола, принимает значения: esp, icmp, ah, eigrp, ospf, igmp, ipip, tcp, pim, udp, vrrp, rdp, l2tp, gre;

<ID> – идентификационный номер IP-протокола, принимает значения [0x00-0xFF];

<PORT> – TCP/UDP порт, принимает значения [1..65535].

esr(config-ike-gw)#local address <ADDR>

esr(config-ike-gw)#remote address [any | <ADDR/LEN>
[ protocol { <TYPE> | <ID> } [ port <PORT> ] ]

Any – установить в качестве удаленного адреса – любой адрес клиента, в конфигурации сервера;

<ADDR/LEN> – IP-адрес и маска подсети сервера, в конфигурации клиента.

esr(config-ike-gw)# remote network dynamic pool <NAME>

esr(config-ike-gw)# remote network dynamic client

esr(config-ike-gw)# xauth access-profile <NAME>

esr(config-ike-gw)# xauth access-profile <NAME> client <LOGIN>

<NAME> – имя профиля доступа, задаётся строкой до 31имвола;

<LOGIN> – логин клиента, задаётся строкой до 31 символа.

esr(config-ike-gw)# assign-interface loopback <INDEX>

esr(config)# security ipsec proposal <NAME>

esr(config-ipsec-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.

Значение по умолчанию: sha1.

esr(config-ipsec-proposal)# encryption algorithm <ALGORITHM>

<ALGORITHM> – протокол шифрования, принимает значения: des, 3des, blowfish128, blowfish192, blowfish256, aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, camellia128, camellia192, camellia256.

Значение по умолчанию: 3des.

esr(config-ipsec-proposal)#protocol <PROTOCOL>

<PROTOCOL> – инкапсулирующий протокол, принимает значения:

• ah – данный протокол осуществляет только аутентификацию трафика, шифрование данных не выполняется;
• esp – данный протокол осуществляет аутентификацию и шифрование трафика.

Значение по умолчанию: esp.

esr(config)# security ipsec policy <NAME>

esr(config-ipsec-policy)# proposal <NAME>

esr(config-ipsec-policy)# lifetime { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – период времени жизни IPsec-туннеля, по истечении которого происходит пересогласование.

Принимает значения [1140..86400] секунд.

Значение по умолчанию: 540

<PACKETS> – количество пакетов, после передачи которых происходит пересогласование IPsec-туннеля.

Принимает значения [4..86400].

Значение по умолчанию: отключено.

<KB> – объем трафика, после передачи которого происходит пересогласование IPsec-туннеля. Принимает значения [4..86400] секунд.

Значение по умолчанию: отключено.

esr(config)# security ipsec vpn <NAME>

esr(config-ipsec-vpn)# mode <MODE>

esr(config-ipsec-vpn)#ike ipsec-policy <NAME>

esr(config-ipsec-vpn)#ike dscp <DSCP>

DSCP> – значение кода DSCP, принимает значения в диапазоне [0..63].

Значение по умолчанию: 63.

esr(config-ipsec-vpn)#ike establish-tunnel <MODE>

<MODE> – режим активации VPN:

• by - request – соединение активируется встречной стороной, доступно для сервера;
• route – соединение активируется при появлении трафика, маршрутизируемого в туннель, доступно для сервера;
• immediate – туннель активируется автоматически после применения конфигурации, доступно для клиента.

esr(config-ipsec-vpn)# ike gateway <NAME>

esr(config-ipsec-vpn)# ike idle-time <TIME>

<TIME> – интервал в секундах, принимает значения [4..86400].

Значение по умолчанию: 0.

esr(config-ipsec-vpn)#ike rekey disable

esr(config-ipsec-vpn)# ike rekey margin { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – интервал времени в секундах, оставшийся до закрытия соединения (задается командой lifetimeseconds) . Принимает значения [4..86400].
Значение по умолчанию: 540

<PACKETS> – количество пакетов, оставшихся до закрытия соединения (задается командой lifetimepackets). Принимает значения [4..86400].
Значение по умолчанию: отключено.

<KB> – объем трафика в килобайтах, оставшийся до закрытия соединения (задается командой lifetimekilobytes). Принимает значения [4..86400]
Значение по умолчанию: отключено.

esr(config-ipsec-vpn)# ike rekey randomization <VALUE>

<VALUE> – максимальный процент разброса значений, принимает значения [1..100].

Значение по умолчанию: 100.

esr(config-ipsec-vpn)# description <DESCRIPTION>

esr(config-ipsec-vpn)# enable

esr(config-ipsec-vpn)# security ike session uniqueids <MODE>

<MODE> – режим переподключения, принимает следующие значения:

• no – Установленное установленное подключение XAUTH будет удалено, если для нового подключения XAUTH инициатором соединения будет отправлено уведомление "INITIAL_CONTACT", будет назначен ранее использованный IP-адрес. В противном случае, установленное соединение XAUTH будет удержано. Для нового подключения XAUTH будет назначен новый IP-адрес.
• never – Установленное установленное подключение XAUTH будет удержано. Для нового подключения XAUTH будет назначен новый IP-адрес. Уведомление "INITIAL_CONTACT" будет в любом случае проигнорировано.
• replace – Установленное – установленное подключение XAUTH будет удалено. Для нового подключения XAUTH будет использован ранее использованный IP-адрес.
• keep – Установленное установленное подключение XAUTH будет удержано. Новое подключение XAUTH будет отклонено. 

esr(config)# tunnel lt <ID>

esr(config-lt)# description <DESCRIPTION>

3

Включить каждый LT-туннель в соответствующий VFR.

esr(config-lt)# ip vrf forwarding <VRF>

<VRF> – имя VRF, задается строкой до 31 символа.

4

Включить каждый LT-туннель в зону безопасности и настроить правила взаимодействия между зонами или отключить firewall для LT-туннеля.

esr(config-lt)# security-zone<NAME>

<NAME> – имя зоны безопасности, задаётся строкой до 12 символов.

esr(config-lt)# ip firewall disable

5

Для каждого LT-туннеля задать номер противоположный LT туннель (в другом VRF).

esr(config-lt)# peer lt <ID>

<ID> – идентификатор туннеля в диапазоне [1..128].

6

Для каждого LT-туннеля указать IP-адрес для маршрутизации пакетов. Для взаимодействующих LT-туннелей, IP-адреса должны быть из одной IP-подсети.

esr(config-lt)# ip address <ADDR/LEN>

<ADDR/LEN> – IP-адрес и префикс подсети, задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32].

7

Включить туннели.

esr(config-lt)# enable

8

Для каждого VRF настроить необходимые протоколы маршрутизации через LT-туннель.

9

Задать интервал времени, за который усредняется статистика о нагрузке на туннеле (не обязательно).

esr(config-lt)# load-average <TIME>

<TIME> – интервал в секундах, принимает значения [5..150].

Значение по умолчанию: 5.

10

Указать размер MTU (Maximum Transmition Unit) пакетов, которые может пропускать данный bridge (не обязательно; возможно, если в bridge включен только VLAN).
MTU более 1500 будет активно только в случае применения команды "system jumbo-frames".

esr(config-lt)# mtu <MTU>

<MTU> – значение MTU, принимает значения в диапазоне:

• для ESR-10/12V(F)/14VF/15 – [1280..9600];
• для ESR-20/21/30 – [1280..9500];
• для ESR-100/200/1000/1200/1500/1511/1700/3100/3200 – [1280..10000].

Значение по умолчанию: 1500.