ESR-series Documentation 1.24
Дерево страниц

Сравнение версий

Старая версия 9

changes.mady.by.user Сервисный центр Ethernet

Сохранено

по сравнению с

Новая версия 10

changes.mady.by.user Сервисный центр Ethernet

Сохранено

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.

...

Шаг

Описание

Команда

Ключи

1

Проверить доступность «внешних» IP-адресов, находящихся на физических интерфейсах.

 


2

Подготовить IPsec-туннели для работы совместно с динамическими GRE-туннелями.

 

См. раздел Настройка Policy-based IPsec VPN.

3Создать GRE-туннель и перейти в режим его конфигурирования.

esr(config)# tunnel gre <INDEX>

<INDEX> – идентификатор туннеля.

4

Перевести GRE-туннель в режим multipoint.

esr(config-gre )# multipoint


5Указать экземпляр VRF, в котором будет работать данный GRE-туннель (не обязательно).

esr(config-gre )# ip vrf forwarding <VRF>

<VRF> – имя VRF, задается строкой до 31 символа.
6Указать имя VRF от IP-интерфейса которого будет строиться данный GRE-туннель (не обязательно).esr(config-gre)# tunnel-source vrf <VRF>

<VRF> – имя экземпляра VRF, задается строкой до 31 символа.

Без указания ключа "vrf" и имени экземпляра VRF, будет использоваться IP-интерфейс глобальной конфигурации.

7Установить локальный IP-адрес для установки туннеля.

esr(config-gre)# local address <ADDR>

<ADDR> – IP-адрес локального шлюза, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

esr(config-gre)# local interface <IF>

<IF> – интерфейс, от IP-адреса которого устанавливается туннель.

8

Задать IP-адрес на туннеле. В качестве альтернативы можно настроить DHCP-клиент для получения IP-адреса от DHCP-сервера.

esr(config-gre)# ip address <ADDR/LEN>

или

esr(config-gre)# ip address <ADDR/LEN> secondary

<ADDR/LEN> – IP-адрес и длина маски подсети, задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32].

Ключ secondary указывает, что настроенный адрес является дополнительным IP-адресом. Если это ключевое слово отсутствует, настроенный адрес является основным IP-адресом. Возможно указать до 7 дополнительных IP-адресов.

esr(config-gre)# ip address dhcp


9

Установить открытый пароль для NHRP-пакетов (не обязательно).

esr(config-gre)# ip nhrp authentication <WORD>

<WORD> – пароль в открытой форме, задается строкой [1..8] символов, может включать символы [0-9a-fA-F].

10

Указать время, в течение которого на NHS будет существовать запись о данном клиенте (не обязательно).

esr(config-gre)# ip nhrp holding-time <TIME>

<TIME> – время в секундах, в течение которого на сервере будет существовать запись о данном клиенте, принимает значения [1..65535].

Значение по умолчанию: 7200.

11

Задать «логический (туннельный)» адрес NHRP-сервера.

esr(config-gre)# ip nhrp nhs <ADDR> [ no-registration ]

<ADDR/LEN> <ADDR> – адрес, задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32];

  • no-registration – не регистрироваться на NHRP сервере.

12

Задать соответствие «внутреннего» туннельного адреса с «внешним» NBMA-адресом.

esr(config-gre)# ip nhrp map <ADDR> <ADDR>

<ADDR> – IP-адрес задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

13

Определить адресата мультикастного трафика.

esr(config-gre)# ip nhrp multicast { dynamic | nhs | <ADDR> }

  • dynamic – отправлять на все пиры, с которыми есть соединение;
  • nhs – отправлять на все статические сконфигурированные сервера;

<ADDR> – отправлять на специфически сконфигурированный адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

14

Включить возможность отправки NHRP Traffic Indication пакетов. Выполняется на NHS (не обязательно).

esr(config-gre)# ip nhrp redirect


15

Включить возможность создания кратчайших маршрутов. Выполняется на NHC (не обязательно).

esr(config-gre)# ip nhrp shortcut


16

Привязать IPsec-VPN к mGRE-туннелю (не обязательно).

esr(config-gre)# ip nhrp ipsec <WORD> { static | dynamic }

<WORD> – имя VPN, задаётся строкой до 31 символа;

  • static – статическое соединение, применятся для связи с NHS;
  • dynamic – динамически устанавливающееся соединение, конфигурируется для связи между NHC.
17Включить передачу имени NHRP-группы NHRP-соседям в процессе обмена NHRP-сообщениями (не обязательно).esr(config-gre)# ip nhrp attribute group <WORD>
<WORD> – имя группы NHRP, задаётся строкой [1..40] символов, не принимает символы [^#].
18Задать соответствие группы NHRP, полученной от NHRP-соседа в процессе обмена NHRP-сообщениями, и политики QoS, которая будет применена к исходящему в сторону этого NHRP-соседа трафика (не обязательно).esr(config-gre)# ip nhrp map group <GROUP> service-policy output <POLICY><GROUP> – имя группы NHRP, задаётся строкой [1..40] символов, не принимает символы [^#];
<POLICY> – имя QoS-политики, задается строкой [1..31] символов.

19

Включить работу протокола NHRP.

esr(config-gre)# ip nhrp enable


20

Организовать IP-связность посредством протокола динамической маршрутизации.



Остальные настройки аналогичны настройкам статичного GRE-туннеля (см. раздел Настройка GRE-туннелей).

...

  1. Конфигурирование Hub.
    Создадим туннель GRE:

    Блок кода
    esr# configure
esr(config)# tunnel gre 5

    Укажем IP-адрес интерфейса, граничащего с ISP:

    Блок кода
    esr(config-gre)# local address 150.115.0.5


  2. Зададим значение MTU:

    Блок кода
    esr(config-gre)# mtu 1416

    Установим значение ttl:

    Блок кода
    esr(config-gre)# ttl 16

    Отключим firewall:

    Блок кода
    esr(config-gre)# ip firewall disable

    Scroll Pagebreak

    Зададим IP-адрес GRE-туннеля:

    Блок кода
    esr(config-gre)# ip address 10.10.0.5/24

    Переведём GRE-туннель в mutipoint режим для возможности соединения с несколькими точками:

    Блок кода
    esr(config-gre)# multipoint

    Перейдём к настройке NHRP. Настроим отправку мультикастовых рассылок в динамически узнаваемые адреса:

    Блок кода
    esr(config-gre)# ip nhrp multicast dynamic

    Произведём настройку протокола динамической маршрутизации для Hub. В примере это будет BGP.

    Поскольку в примере используется eBGP необходимо явно разрешить анонсирование подсетей:

    Блок кода
    esr(config)# route-map PERMIT_ALL
esr(config-route-map)# rule 1


    Блок кода
    esr(config)# router bgp 65005
esr(config-bgp)# neighbor 10.10.0.8
esr(config-bgp-neighbor)# remote-as 65008
esr(config-bgp-neighbor)# enable
esr(config-bgp-neighbor)# address-family ipv4 unicast
esr(config-bgp-neighbor-af)# route-map PERMIT_ALL out
esr(config-bgp-neighbor-af)# enable
esr(config-bgp-neighbor-af)# exit
esr(config-bgp-neighbor)# exit
esr(config-bgp)# neighbor 10.10.0.4
esr(config-bgp-neighbor)# remote-as 65004
esr(config-bgp-neighbor)# enable
esr(config-bgp-neighbor)# address-family ipv4 unicast
esr(config-bgp-neighbor-af)# route-map PERMIT_ALL out
esr(config-bgp-neighbor-af)# enable
esr(config-bgp-neighbor-af)# exit
esr(config-bgp-neighbor)# exit
esr(config-bgp)# address-family ipv4 unicast
esr(config-bgp-af)# exit
esr(config-bgp)# enable
esr(config-bgp)# exit

    Произведём настройку IPsec для Hub:

    Блок кода
    esr(config)# security ike proposal IKEPROP
esr(config-ike-proposal)# encryption algorithm aes128
esr(config-ike-proposal)# dh-group 2
esr(config-ike-proposal)# exit


    Блок кода
    esr(config)# security ike policy IKEPOLICY
esr(config-ike-policy)# pre-shared-key ascii-text encrypted 8CB5107EA7005AFF
esr(config-ike-policy)# proposal IKEPROP
esr(config-ike-policy)# exit


    Блок кода
    esr(config)# security ike gateway IKEGW
esr(config-ike-gw)# ike-policy IKEPOLICY
esr(config-ike-gw)# local address 150.115.0.5
esr(config-ike-gw)# local network 150.115.0.5/32 protocol gre
esr(config-ike-gw)# remote address any
esr(config-ike-gw)# remote network any
esr(config-ike-gw)# mode policy-based
esr(config-ike-gw)# exit


    Блок кода
    esr(config)# security ipsec proposal IPSECPROP
esr(config-ipsec-proposal)# encryption algorithm aes128
esr(config-ipsec-proposal)# exit


    Блок кода
    esr(config)# security ipsec policy IPSECPOLICY
esr(config-ipsec-policy)# proposal IPSECPROP
esr(config-ipsec-policy)# exit


    Блок кода
    esr(config)# security ipsec vpn IPSECVPN
esr(config-ipsec-vpn)# mode ike
esr(config-ipsec-vpn)# type transport
esr(config-ipsec-vpn)# ike establish-tunnel route
esr(config-ipsec-vpn)# ike gateway IKEGW
esr(config-ipsec-vpn)# ike ipsec-policy IPSECPOLICY
esr(config-ipsec-vpn)# enable

    Привяжем IPsec к GRE-туннелю, чтобы клиенты могли устанавливать шифрованное соединение:

    Блок кода
    esr(config)# tunnel gre 5
esr(config-gre)# ip nhrp ipsec IPSECVPN dynamic

    Включим работу NHRP и сам туннель:

    Блок кода
    esr(config-gre)# ip nhrp enableesr(config-gre)# enable


  3. Конфигурирование Spoke

    Проведём стандартную настройку DMVPN на туннеле:

    Блок кода
    esr# configure
esr(config)# tunnel gre 8
esr(config-gre)# mtu 1416
esr(config-gre)# ttl 16
esr(config-gre)# multipoint
esr(config-gre)# ip firewall disable
esr(config-gre)# local address 180.100.0.10
esr(config-gre)# ip address 10.10.0.8/24

    Указываем, сколько времени будет храниться запись о клиенте на сервере:

    Блок кода
    esr(config-gre)# ip nhrp holding-time 300

    Scroll Pagebreak

    Указываем туннельный адрес NHS:

    Блок кода
    esr(config-gre)# ip nhrp nhs 10.10.0.5/24

    Зададим соответствие туннельному адресу – реальный:

    Блок кода
    esr(config-gre)# ip nhrp map 10.10.0.5 150.115.0.5

    Настроим мультикастовую рассылку на NHRP-сервер:

    Блок кода
    esr(config-gre)# ip nhrp multicast nhs

    Произведём настройку BGP для spoke. Поскольку в примере используется eBGP необходимо явно разрешить анонсирование подсетей:

    Блок кода
    esr(config)# route-map PERMIT_ALL
esr(config-route-map)# rule 1

esr(config)# router bgp 65008
esr(config-bgp)# neighbor 10.10.0.5
esr(config-bgp-neighbor)# remote-as 65005
esr(config-bgp-neighbor)# enable
esr(config-bgp-neighbor)# address-family ipv4 unicast
esr(config-bgp-neighbor-af)# route-map PERMIT_ALL out
esr(config-bgp-neighbor-af)# enable
esr(config-bgp-neighbor-af)# exit
esr(config-bgp-neighbor)# exit
esr(config-bgp)# address-family ipv4 unicast
esr(config-bgp-af)# exit
esr(config-bgp)# enable

    Произведём настройку IPsec. При создании шлюза протокола IKE для NHS, укажем конкретные адреса назначения. A при создании шлюза IKE для NHC – адрес назначения будет any:

    Блок кода
    esr(config)# security ike proposal IKEPROP
esr(config-ike-proposal)# encryption algorithm aes128
esr(config-ike-proposal)# dh-group 2
esr(config-ike-proposal)# exit


    Блок кода
    esr(config)# security ike policy IKEPOLICY
esr(config-ike-policy)# pre-shared-key ascii-text encrypted 8CB5107EA7005AFF
esr(config-ike-policy)# proposal IKEPROP
esr(config-ike-policy)# exit


    Блок кода
    esr(config)# security ike gateway IKEGW_HUB
esr(config-ike-gw)# ike-policy IKEPOLICY
esr(config-ike-gw)# local address 180.100.0.10
esr(config-ike-gw)# local network 180.100.0.10/32 protocol gre
esr(config-ike-gw)# remote address 150.115.0.5
esr(config-ike-gw)# remote network 150.115.0.5/32 protocol gre
esr(config-ike-gw)# mode policy-based
esr(config-ike-gw)# exit


    Блок кода
    esr(config)# security ike gateway IKEGW_SPOKE
esr(config-ike-gw)# ike-policy IKEPOLICY
esr(config-ike-gw)# local address 180.100.0.10
esr(config-ike-gw)# local network 180.100.0.10/32 protocol gre
esr(config-ike-gw)# remote address any
esr(config-ike-gw)# remote network any
esr(config-ike-gw)# mode policy-based
esr(config-ike-gw)# exit


    Блок кода
    esr(config)# security ipsec proposal IPSECPROP
esr(config-ipsec-proposal)# encryption algorithm aes128
esr(config-ipsec-proposal)# exit


    Блок кода
    esr(config)# security ipsec policy IPSECPOLICY
esr(config-ipsec-policy)# proposal IPSECPROP
esr(config-ipsec-policy)# exit


    Блок кода
    esr(config)# security ipsec vpn IPSECVPN_HUB
esr(config-ipsec-vpn)# mode ike
esr(config-ipsec-vpn)# type transport
esr(config-ipsec-vpn)# ike establish-tunnel route
esr(config-ipsec-vpn)# ike gateway IKEGW_HUB
esr(config-ipsec-vpn)# ike ipsec-policy IPSECPOLICY
esr(config-ipsec-vpn)# enable
esr(config-ipsec-vpn)# exit


    Блок кода
    esr(config)# security ipsec vpn IPSECVPN_SPOKE
esr(config-ipsec-vpn)# mode ike
esr(config-ipsec-vpn)# type transport
esr(config-ipsec-vpn)# ike establish-tunnel route
esr(config-ipsec-vpn)# ike gateway IKEGW_SPOKE
esr(config-ipsec-vpn)# ike ipsec-policy IPSECPOLICY
esr(config-ipsec-vpn)# enable
esr(config-ipsec-vpn)# exit

    Привяжем IPsec к GRE-туннелю для возможности установления шифрованного соединения с сервером и с другими клиентами сети:

    Блок кода
    esr(config)# tunnel gre 8
esr(config-gre)# ip nhrp ipsec IPSECVPN_HUB static
esr(config-gre)# ip nhrp ipsec IPSECVPN_SPOKE dynamic

    Включим работу NHRP и сам туннель:

    Блок кода
    esr(config-gre)# ip nhrp enable
esr(config-gre)# enable

    Сохраним конфигурацию:

    Блок кода
    esr# commit
esr# confirm


    Примечание

    Для использования firewall необходимо произвести его настройку. В данном примере firewall был отключён.

    Состояние NHRP-записей можно посмотреть командой:

    Блок кода
    esr# show ip nhrp peers

    Очистить NHRP-записи можно командой:

    Блок кода
    esr# clear ip nhrp peers


...

<MODE> – режим переподключения, принимает следующие значения:

  • no – установленное подключение XAUTH будет удалено, если для нового подключения XAUTH инициатором соединения будет отправлено уведомление "INITIAL_CONTACT", будет назначен ранее использованный IP-адрес. В противном случае, установленное соединение XAUTH будет удержано. Для нового подключения XAUTH будет назначен новый IP-адрес.
  • never – установленное подключение XAUTH будет удержано. Для нового подключения XAUTH будет назначен новый IP-адрес. Уведомление "INITIAL_CONTACT" будет в любом случае проигнорировано.
  • replace – установленное подключение XAUTH будет удалено. Для нового подключения XAUTH будет использован ранее использованный IP-адрес.
  • keep – установленное подключение XAUTH будет удержано. Новое подключение XAUTH будет отклонено. 

...