Сравнение версий

Старая версия 40

changes.mady.by.user Сервисный центр Ethernet

Сохранено

по сравнению с

Новая версия 41

changes.mady.by.user Сервисный центр Ethernet

Сохранено

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.

...

Примечание

Обновление пользовательской сессии необходимо, чтобы настройки system prompt применились исключительно для администратора, которому это требуется.

...

Настройка MultiWAN

Технология MultiWAN позволяет организовать отказоустойчивое соединение с резервированием линков от нескольких провайдеров, а также решает проблему балансировки трафика между резервными линками.

Создайте локальную зону безопасности и зону безопасности в сторону интернета:

Блок кода
cluster
  cluster-interface bridge 1
  unit 1
    mac-address 68:13:e2:7f:22:c0
  exit
  unit 2
    mac-address 68:13:e2:7f:10:30
  exit
  enable
exit

hostname ESR-1 unit 1
hostname ESR-2 unit 2

security zone SYNC
exit

bridge 1
  vlan 1
  security-zone SYNC
  ip address 198.51.100.254/24 unit 1
  ip address 198.51.100.253/24 unit 2
  vrrp id 1
  vrrp ip 198.51.100.1/24
  vrrp group 1
  vrrp
  enable
exit

interface gigabitethernet 1/0/3
  mode switchport
  spanning-tree disable
exit
interface gigabitethernet 2/0/3
  mode switchport
  spanning-tree disable
exit

security zone-pair SYNC self
  rule 1
    action permit
    match protocol icmp
    enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule 3
    action permit
    match protocol ah
    enable
  exit
exit

system prompt '(Cluster: %s% | Unit: %u% | State: %r% | VRRP id 1: %v1%)|%h%'

Настройка MultiWAN

Технология MultiWAN позволяет организовать отказоустойчивое соединение с резервированием линков от нескольких провайдеров, а также решает проблему балансировки трафика между резервными линками.

Создайте локальную зону безопасности и зону безопасности в сторону интернета:

Блок кода
titleESR-1
ESR-1(config)# security zone TRUSTED
ESR-1(config-security-zone)# exit
ESR-1(config)# security zone ISP1_ISP2
ESR-1(config-security-zone)# exit

Создайте список IP-адресов для проверки целостности соединения:

titleESR-1
ESR-1(config)# security zone TRUSTED
ESR-1(config-security-zone)# exit
ESR-1(config)# security zone ISP1_ISP2
ESR-1(config-security-zone)# exit

Создайте список IP-адресов для проверки целостности соединения:

Блок кода
titleESR-1
ESR-1(config)# wan load-balance target-list ISP1_ISP2
ESR-1(config-wan-target-list)# target 1
ESR-1(config-wan-target)# resp-time 1
ESR-1(config-wan-target)# ip address 8.8.8.8
ESR-1(config-wan-target)# enable 
ESR-1(config-wan-target)# exit 
ESR-1(config-wan-target-list)# exit

Настройте интерфейсы в ISP 1, ISP 2 и TRUSTED:

Блок кода
titleESR-1
ESR-1(config)# interface gigabitethernet 1/0/2
ESR-1(config-if-gi)# description "Network: TRUSTED"
ESR-1(config-if-gi)# security-zone TRUSTED
ESR-1(config-if-gi)# ip address 192.18.3.254/24
ESR-1(config-if-gi)# vrrp id 3
ESR-1(config-if-gi)# vrrp ip 192.18.3.1/24
ESR-1(config-if-gi)# vrrp group 1
ESR-1(config-if-gi)# vrrp
ESR-1(config-if-gi)# exit
ESR-1(config)# interface gigabitethernet 1/0/3.111
ESR-1(config-subif)# description "Network: ISP1"
ESR-1(config-subif)# security-zone ISP1_ISP2
ESR-1(config-subif)# ip address 192.18.4.254/24
ESR-1(config-subif)# vrrp id 111
ESR-1(config-subif)# vrrp ip 192.18.4.2/24
ESR-1(config-subif)# vrrp group 1
ESR-1(config-subif)# vrrp
ESR-1(config-subif)# wan load-balance nexthop 192.18.4.1
ESR-1(config-subif)# wan load-balance success-count 1
ESR-1(config-subif)# wan load-balance target-list ISP1_ISP2
ESR-1(config-subif)# wan load-balance enable
ESR-1(config-subif)# exit
ESR-1(config)# interface gigabitethernet 1/0/3.222
ESR-1(config-subif)# description "Network: ISP2"
ESR-1(config-subif)# security-zone ISP1_ISP2
ESR-1(config-subif)# ip address 192.18.5.254/24
ESR-1(config-subif)# vrrp id 222
ESR-1(config-subif)# vrrp ip 192.18.5.2/24
ESR-1(config-subif)# vrrp group
Блок кода
titleESR-1
ESR-1(config)# wan load-balance target-list ISP1_ISP2
ESR-1(config-wan-target-list)# target 1
ESR-1(config-wan-targetsubif)# resp-time 1vrrp
ESR-1(config-wan-targetsubif)# wan ipload-balance addressnexthop 8192.818.85.81
ESR-1(config-subif)# wan load-target)# enable balance success-count 1
ESR-1(config-subif)# wan load-balance target-list ISP1_ISP2
ESR-1(config-subif)# wan exitload-balance enable
ESR-1(config-wan-target-listsubif)# exit

Настройте интерфейсы в ISP 1, ISP 2 и TRUSTED:

Блок кода
title

ESR-1
ESR-1(config)# interface gigabitethernet 12/0/2
ESR-1(config-if-gi)# description "Network: TRUSTED"
ESR-1(config-if-gi)# security-zone TRUSTED
ESR-1(config-if-gi)# ip address 192.18.3.254253/24
ESR-1(config-if-gi)# vrrp id 3
ESR-1(config-if-gi)# vrrp ip 192.18.3.1/24
ESR-1(config-if-gi)# vrrp group 1
ESR-1(config-if-gi)# vrrp
ESR-1(config-if-gi)# exit
ESR-1(config)# interface gigabitethernet 12/0/3.111
ESR-1(config-subif)# description "Network: ISP1"
ESR-1(config-subif)# security-zone ISP1_ISP2
ESR-1(config-subif)# ip address 192.18.4.254253/24
ESR-1(config-subif)# vrrp id 111
ESR-1(config-subif)# vrrp ip 192.18.4.2/24
ESR-1(config-subif)# vrrp group 1
ESR-1(config-subif)# vrrp
ESR-1(config-subif)# wan load-balance nexthop 192.18.4.1
ESR-1(config-subif)# wan load-balance success-count 1
ESR-1(config-subif)# wan load-balance target-list ISP1_ISP2
ESR-1(config-subif)# wan load-balance enable
ESR-1(config-subif)# exit
ESR-1(config)# interface gigabitethernet 12/0/3.222
ESR-1(config-subif)# description "Network: ISP2"
ESR-1(config-subif)# security-zone ISP1_ISP2
ESR-1(config-subif)# ip address 192.18.5.254253/24
ESR-1(config-subif)# vrrp id 222
ESR-1(config-subif)# vrrp ip 192.18.5.2/24
ESR-1(config-subif)# vrrp group 1
ESR-1(config-subif)# vrrp
ESR-1(config-subif)# wan load-balance nexthop 192.18.5.1
ESR-1(config-subif)# wan load-balance success-count 1
ESR-1(config-subif)# wan load-balance target-list ISP1_ISP2
ESR-1(config-subif)# wan load-balance enable
ESR-1(config-subif)# exit
ESR-1(config)# interface gigabitethernet 2/0/2
ESR-1(config-if-gi)# description "Network: TRUSTED"
ESR-1(config-if-gi)# security-zone TRUSTED

Укажите статический маршрут и создайте правило для балансировки трафика:

Блок кода
titleESR-1
ESR-1(config-if-gi)# ip addressroute 1920.180.30.253/240/0 wan load-balance rule 1 10
ESR-1(config-if-gi)# vrrp id 3wan load-balance rule 1
ESR-1(config-ifwan-girule)# outbound vrrpinterface ip 192.18.3.1/24gigabitethernet 1/0/3.111 70
ESR-1(config-ifwan-girule)# outbound vrrpinterface groupgigabitethernet 1/0/3.222 30
ESR-1(config-ifwan-girule)# vrrp outbound interface gigabitethernet 2/0/3.222 30
ESR-1(config-ifwan-girule)# exit
ESR-1(config)#outbound interface gigabitethernet 2/0/3.111 70
ESR-1(config-wan-subifrule)# enable
ESR-1(config-wan-rule)# exit

Разрешите работу протокола VRRP и протокола ICMP в зоне ISP1_ISP2 и TRUSTED:

Блок кода
titleESR-1
description "Network: ISP1"
ESR-1(config-subif)# security zone-zonepair ISP1_ISP2 self 
ESR-1(config-security-zone-subifpair)# ip address 192.18.4.253/24rule 1
ESR-1(config-subif-security-zone-pair-rule)# vrrpaction id 111permit
ESR-1(config-subifsecurity-zone-pair-rule)# vrrpmatch ip 192.18.4.2/24protocol icmp
ESR-1(config-subif-security-zone-pair-rule)# vrrp group 1enable
ESR-1(config-subif-security-zone-pair-rule)# vrrpexit
ESR-1(config-subifsecurity-zone-pair)# wan load-balance nexthop 192.18.4.1rule 2
ESR-1(config-subifsecurity-zone-pair-rule)# wan load-balance success-count 1action permit 
ESR-1(config-subif-security-zone-pair-rule)# wanmatch load-balance target-list ISP1_ISP2protocol vrrp 
ESR-1(config-subif-security-zone-pair-rule)# wan load-balanceenable enable
ESR-1(config-subif-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# interface gigabitethernet 2/0/3.222exit
ESR-1(config-subif)# description "Network: ISP2"security zone-pair TRUSTED self 
ESR-1(config-security-subifzone-pair)# security-zone ISP1_ISP2rule 1
ESR-1(config-subif-security-zone-pair-rule)# ip address 192.18.5.253/24action permit
ESR-1(config-subif-security-zone-pair-rule)# vrrpmatch idprotocol 222icmp
ESR-1(config-subif-security-zone-pair-rule)# vrrp ip 192.18.5.2/24enable
ESR-1(config-subifsecurity-zone-pair-rule)# vrrp group 1exit
ESR-1(config-security-zone-subifpair)# rule vrrp2
ESR-1(config-subif-security-zone-pair-rule)# wan load-balance nexthop 192.18.5.1action permit 
ESR-1(config-subif)# wan load-balance success-count 1security-zone-pair-rule)# match protocol vrrp 
ESR-1(config-subif-security-zone-pair-rule)# wan load-balance target-list ISP1_ISP2enable 
ESR-1(config-subif-security-zone-pair-rule)# wan load-balanceexit enable
ESR-1(config-security-zone-subifpair)# exit

Scroll Pagebreak

Проверить работу можно командой show wan interfaces statusУкажите статический маршрут и создайте правило для балансировки трафика:

Блок кода
titleESR-1
ESR-1(config)# ip route 0.0.0.0/0 wan load-balance rule 1 10
ESR-1(config)# wan load-balance rule 1
ESR-1(config-wan-rule)# outbound interface gigabitethernet 1/0/3.111 70
ESR-1(config-wan-rule)# outbound interface gigabitethernet 1/0/3.222 30
ESR-1(config-wan-rule)# outbound interface gigabitethernet 2/0/3.222 30
ESR-1(config-wan-rule)# outbound interface gigabitethernet 2/0/3.111 70
ESR-1(config-wan-rule)# enable
ESR-1(config-wan-rule)# exit

Разрешите работу протокола VRRP и протокола ICMP в зоне ISP1_ISP2 и TRUSTED:

Блок кода
titleESR-1
ESR-1(config)# security zone-pair ISP1_ISP2 self 
ESR-1(config-security-zone-pair)# rule 1
ESR-1(config-security-zone-pair-rule)# action permit
ESR-1(config-security-zone-pair-rule)# match protocol icmp
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# rule 2
ESR-1(config-security-zone-pair-rule)# action permit 
ESR-1(config-security-zone-pair-rule)# match protocol vrrp 
ESR-1(config-security-zone-pair-rule)# enable 
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# exit
ESR-1(config)# security zone-pair TRUSTED self 
ESR-1(config-security-zone-pair)# rule 1
ESR-1(config-security-zone-pair-rule)# action permit
ESR-1(config-security-zone-pair-rule)# match protocol icmp
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# rule 2
ESR-1(config-security-zone-pair-rule)# action permit 
ESR-1(config-security-zone-pair-rule)# match protocol vrrp 
ESR-1(config-security-zone-pair-rule)# enable 
ESR-1(config-security-zone-pair-rule)# exit 
ESR-1(config-security-zone-pair)# exit

Scroll Pagebreak

Проверить работу можно командой show wan interfaces status:

Блок кода
titleESR-1
ESR-1# show wan interfaces status 
Interface              Nexthop 1# show wan interfaces status 
Interface              Nexthop                   Status     Uptime/Downtime                              
--------------------   -----------------------   --------   ------------------------------------------   
gi1/0/3.111            192.18.4.1                Active     1 minute and 58 seconds                  Status     Uptime/Downtime                              
--------------------   -----------------------   --------   ------------------------------------------   
gi1/0/3.111222            192.18.45.1                Active       1 minute and 58 seconds                      
gi1/0/3.222            192.18.5.1                Active     1 minute and 58 seconds

Настройка IPsec VPN

Настройка IPsec VPN
IPsec — это набор протоколов, обеспечивающих защиту данных, передаваемых по протоколу IP. IPsec — это набор протоколов, обеспечивающих защиту данных, передаваемых по протоколу IP. Данный набор протоколов позволяет осуществлять подтверждение подлинности (аутентификацию), проверку целостности и шифрование IP-пакетов, а также включает в себя протоколы для защищённого обмена ключами в сети Интернет.
...
 Блок  кода
titleESR-1
ESR-1# show high-availability state 
DHCP server:
    State:                         Disabled
    Last state change:             --
crypto-sync:
    State:                         Disabled
Firewall sessions and NAT translations:
VRF:                               --
    Tracking VRRP Group            1
    Tracking VRRP Group state:     Master
    State:                         Successful synchronization
    Fault Reason:                  --
    Last synchronization:          2025-01-09 13:36:13
Итоговая конфигурация кластера:
Настройка DHCP-failover
DHCP-failover позволяет обеспечить высокую доступность службы DHCP.
С алгоритмом настройки DHCP-failover можно ознакомиться по ссылке в разделе: Алгоритм настройки DHCP-failover.
Пример настройки
Задача:
Настроить DHCP-failover в кластере маршрутизаторов ESR-1 и ESR-2 со следующими параметрами:
  • в качестве default-router используется IP-адрес VRRP;
  • в качестве dns-server используется IP-адрес VRRP;
  • установить в качестве необходимого режима работы резервирования active-standby;
  • клиентская подсеть: 192.0.2.0/24.
Image Added
Рисунок 3 — Схема реализации DHCP-failover
Исходная конфигурация кластера:
 Блок  кода
titleESR-1
cluster
  cluster-interface bridge 1
  unit 1
    mac-address cc:9d:a2:71:83:78
  exit
  unit 2
    mac-address cc:9d:a2:71:82:38
 Блок  кода
cluster
  cluster-interface bridge 1
  unit 1
    mac-address 68:13:e2:7f:22:c0
  exit
  unit 2
    mac-address 68:13:e2:7f:10:30
  exit
  enable
exit
  
hostname ESR-1 unit 1
hostname ESR-2 unit 2
  
object-groupsecurity servicezone FAILOVER
  port-range 9999
exit

object-group network SYNC_DSTSYNC
exit
security zone LAN
exit
  
bridge 1
  vlan 1
  security-zone SYNC
  ip address-range 198.51.100.253254/24 unit 1
  ip address-range 198.51.100.254 unit 2
exit
object-group network SYNC_SRC
  ip address-range 198.51.100.254 unit 1
  ip address-range 198.51.100.253 unit 2
exit

security zone SYNC
exit
security zone LAN
exit

bridge 1
  vlan 1
  security-zone SYNC
  ip address 198.51.100.254/24 unit 1
  ip address 198.51.100.253/24 unit 253/24 unit 2
  vrrp id 1
  vrrp ip 198.51.100.1/24
  vrrp group 1
  vrrp
  enable
exit
  
interface gigabitethernet 1/0/2
  security-zone LAN
  ip address 192.0.2.254/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 1/0/3
  mode switchport
  spanning-tree disable
exit
interface gigabitethernet 2/0/2
  security-zone LAN
  ip address 192.0.2.253/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 2/0/3
  mode switchport
  spanning-tree disable
exit

ip failover
  local-address object-group SYNC_SRC
  remote-address object-group SYNC_DST
  vrrp-group 1
exit

security zone-pair SYNC self
  rule 1
    action permit
    match protocol icmp
    enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule 3
    action permit
    match protocol ah
    enable
  exit
  rule 4
    action permit
    match protocol udp
    match destination-port object-group FAILOVER
    enable
  exit
exit
security zone-pair LAN self
  rule 1
    action permit
    enable
  exit
exit

ip firewall failover
  sync-type unicast
  port 9999
  enable
exit
Настройка DHCP-failover
DHCP-failover позволяет обеспечить высокую доступность службы DHCP.
С алгоритмом настройки DHCP-failover можно ознакомиться по ссылке в разделе: Алгоритм настройки DHCP-failover.
Пример настройки
Задача:
Настроить DHCP-failover в кластере маршрутизаторов ESR-1 и ESR-2 со следующими параметрами:
  • в качестве default-router используется IP-адрес VRRP;
  • в качестве dns-server используется IP-адрес VRRP;
  • установить в качестве необходимого режима работы резервирования active-standby;
  • клиентская подсеть: 192.0.2.0/24.
Image Removed
Рисунок 3 — Схема реализации DHCP-failover
Исходная конфигурация кластера:
exit
Решение:
Выполним настройку DHCP-сервера. В качестве default-router и dns-server используется IP-адрес VRRP:
 Блок  кода
titleESR-1
ESR-1(config)# ip dhcp-server 
ESR-1(config)# ip dhcp-server pool TRUSTED
ESR-1(config-dhcp-server)# network 192.0.2.0/24
ESR-1(config-dhcp-server)# address-range 192.0.2.10-192.0.2.100
ESR-1(config-dhcp-server)# default-router 192.0.2.1
ESR-1(config-dhcp-server)# dns-server 192.0.2.1
ESR-1(config-dhcp-server)# exit
Разрешим получение DHCP-адресов:
 Блок  кода
titleESR-1
ESR-1(config)# object-group service DHCP_SERVER
ESR-1(config-object-group-service)# port-range 67
ESR-1(config-object-group-service)# exit
ESR-1(config)# object-group service DHCP_CLIENT
ESR-1(config-object-group-service)# port-range 68
ESR-1(config-object-group-service)# exit
ESR-1(config)# security zone-pair LAN self 
ESR-1(config-security-zone-pair)# rule 1
ESR-1(config-security-zone-pair-rule)# action permit
ESR-1(config-security-zone-pair-rule)# match protocol udp
ESR-1(config-security-zone-pair-rule)# match source-port object-group DHCP_CLIENT 
ESR-1(config-security-zone-pair-rule)# match destination-port object-group DHCP_SERVER 
ESR-1(config-security-zone-pair-rule)# enable 
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# exit
Сконфигурируем object-group для настройки failover-сервисов:
 Блок  кода
titleESR-1
ESR-1(config)# object-group network SYNC_SRC
ESR-1(config-object-group-network)# ip address-range
 Блок  кода
titleESR-1
cluster
  cluster-interface bridge 1
  unit 1
    mac-address cc:9d:a2:71:83:78
  exit
  unit 2
    mac-address cc:9d:a2:71:82:38
  exit
  enable
exit
  
hostname ESR-1 unit 1
hostname ESR-2 unit 2
  
security zone SYNC
exit
security zone LAN
exit
  
bridge 1
  vlan 1
  security-zone SYNC
  ip address 198.51.100.254/24 unit 1
  ESR-1(config-object-group-network)# ip address-range 198.51.100.253/24 unit 2
  vrrp id 1
  vrrp ip ESR-1(config-object-group-network)# exit
ESR-1(config)# object-group network SYNC_DST
ESR-1(config-object-group-network)# ip address-range 198.51.100.1/24
  vrrp group 1
  vrrp
  enable
exit
  
interface gigabitethernet 1/0/2
  security-zone LAN
 253 unit 1
ESR-1(config-object-group-network)# ip address-range 192198.051.2100.254/24
  vrrp id unit 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 1/0/3
  mode switchport
  spanning-tree disable
exit
interface gigabitethernet 2/0/2
  security-zone LAN
  ip address 192.0.2.253/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 2/0/3
  mode switchport
  spanning-tree disable
exit
  
security zone-pair SYNC self
  rule 1
    action permit
    match protocol icmp
    enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule 3
    action permit
    match protocol ah
    enable
  exit
exit
Решение:
ESR-1(config-object-group-network)# exit
Перейдем к выбору IP-адреса сетевого интерфейса, с которого будут отправляться сообщения при работе failover-сервисов, указав созданную object-group:
 Блок  кода
titleESR-1
ESR-1(config)# ip failover
ESR-1(config-failover)# local-address object-group SYNC_SRC
Настроим IP-адреса соседа при работе failover-сервисов, указав созданную object-group:
 Блок  кода
titleESR-1
ESR-1(config-failover)# remote-address object-group SYNC_DST
Укажем VRRP-группу, на основе которой определяется состояние (основной/резервный) маршрутизатора при работе failover-сервисов:
 Блок  кода
titleESR-1
ESR-1(config-failover)# vrrp-group 1
ESR-1(config-failover)# exit
Перейдем к настройке резервирования DHCP-сервера:
 Блок  кода
titleESR-1
ESR-1(config)# ip dhcp-server failover 

Установим режим работы резервирования:
 Блок  кода
titleESR-1
ESR-1(config-dhcp-server-failover)# mode active-standby 

 Примечание
Для работы в кластере необходимо использовать режим active-standby.
Включим DHCP-failover:
 Блок  кода
titleESR-1
ESR-1(config-dhcp-server-failover)# enable
ESR-1(config-dhcp-server-failover)# exit
Посмотреть состояние резервирования DHCP-сервера можно с помощью команды:
 Блок  кода
titleESR-1
ESR-1# show ip dhcp server failover 
VRF:                             --
    Mode:                        Active-Standby
    Role:                        Master
    State:                       Synchronized
    Last synchronization:        2025-01-09 12:00:57
Посмотреть состояние резервирования сессий DHCP можно с помощью командыВыполним настройку DHCP-сервера. В качестве default-router и dns-server используется IP-адрес VRRP:
 Блок  кода
titleESR-1
ESR-1(config)# ip dhcp-server 
ESR-1(config)# ip dhcp-server pool TRUSTED
ESR-1(config-dhcp-server)# network 192.0.2.0/24
ESR-1(config-dhcp-server)# address-range 192.0.2.10-192.0.2.100
ESR-1(config-dhcp-server)# default-router 192.0.2.1
ESR-1(config-dhcp-server)# dns-server 192.0.2.1
ESR-1(config-dhcp-server)# exit
Разрешим получение DHCP-адресов:
 Блок  кода
titleESR-1
ESR-1(config)# object-group service DHCP_SERVER
ESR-1(config-object-group-service)# port-range 67
ESR-1(config-object-group-service)# exit
ESR-1(config)# object-group service DHCP_CLIENT
ESR-1(config-object-group-service)# port-range 68
ESR-1(config-object-group-service)# exit
ESR-1(config)# security zone-pair LAN self 
ESR-1(config-security-zone-pair)# rule 1
ESR-1(config-security-zone-pair-rule)# action permit
ESR-1(config-security-zone-pair-rule)# match protocol udp
ESR-1(config-security-zone-pair-rule)# match source-port object-group DHCP_CLIENT 
ESR-1(config-security-zone-pair-rule)# match destination-port object-group DHCP_SERVER 
ESR-1(config-security-zone-pair-rule)# enable 
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# exit
Сконфигурируем object-group для настройки failover-сервисов:
 Блок  кода
titleESR-1
ESR-1(config)# object-group network SYNC_SRC
ESR-1(config-object-group-network)# ip address-range 198.51.100.254 unit 1
ESR-1(config-object-group-network)# ip address-range 198.51.100.253 unit 2
ESR-1(config-object-group-network)# exit
ESR-1(config)# object-group network SYNC_DST
ESR-1(config-object-group-network)# ip address-range 198.51.100.253 unit 1
ESR-1(config-object-group-network)# ip address-range 198.51.100.254 unit 2
ESR-1(config-object-group-network)# exit
1# show high-availability state 
DHCP server:
VRF:                               --
    Mode:                          Active-Standby
    State:                         Successful synchronization
    Last synchronization:          2025-01-09 12:01:21
crypto-sync:
    State:                         Disabled
Firewall sessions and NAT translations:
    State:                         Disabled
Выданные адреса DHCP можно просмотреть с помощью командыПерейдем к выбору IP-адреса сетевого интерфейса, с которого будут отправляться сообщения при работе failover-сервисов, указав созданную object-group:
 Блок  кода
titleESR-1
ESR-1(config)# ip failover
ESR-1(config-failover)# local-address object-group SYNC_SRC
Настроим IP-адреса соседа при работе failover-сервисов, указав созданную object-group:
 Блок  кода
titleESR-1
ESR-1(config-failover)# remote-address object-group SYNC_DST
Укажем VRRP-группу, на основе которой определяется состояние (основной/резервный) маршрутизатора при работе failover-сервисов:
 Блок  кода
titleESR-1
ESR-1(config-failover)# vrrp-group 1
ESR-1(config-failover)# exit
Перейдем к настройке резервирования DHCP-сервера:
 Блок  кода
titleESR-1
ESR-1(config)# ip dhcp-server failover 

Установим режим работы резервирования:
 Блок  кода
titleESR-1
ESR-1(config-dhcp-server-failover)# mode active-standby 
 Примечание
Для работы в кластере необходимо использовать режим active-standby.
Включим DHCP-failover:
 Блок  кода
titleESR-1
ESR-1(config-dhcp-server-failover)# enable
ESR-1(config-dhcp-server-failover)# exit
Посмотреть состояние резервирования DHCP-сервера можно с помощью команды:
 Блок  кода
titleESR-1
ESR-1# show ip dhcp server failover 
VRF:    1# show ip dhcp binding 
IP address         MAC / Client ID                                                 Binding type   Lease expires at       
----------------   -------------------------------------------------------------   ------------   --------------------   
192.0.2.10         02:00:00:69:91:12                --
    Mode:                        Active-Standby
   active Role:        2025-01-09 23:58:36    
192.0.2.11           Master
    State:02:00:00:2a:a6:85                       Synchronized
    Last synchronization:        2025-01-09 12:00:57
Посмотреть состояние резервирования сессий DHCP можно с помощью команды:
 Блок  кода
titleESR-1
ESR-1# show high-availability state 
DHCP server:
VRF:     active                          --
    Mode:                          Active-Standby
    State:                         Successful synchronization
    Last synchronization:          2025-01-09 12:01:21
crypto-sync:
    State:                         Disabled
Firewall sessions and NAT translations:
    State:                         Disabled
Выданные адреса DHCP можно просмотреть с помощью команды:
 Блок  кода
titleESR-1
ESR-1# show ip dhcp binding 
IP address         MAC / Client ID                                                 Binding type   Lease expires at       
----------------   -------------------------------------------------------------   ------------   --------------------   
192.0.2.10         02:00:00:69:91:12                                               active         2025-01-09 23:58:36    
192.0.2.11         02:00:00:2a:a6:85                                               active         2025-01-09 23:58:39    
Итоговая конфигурация кластера:
 Блок  кода
cluster
  cluster-interface bridge 1
  unit 1
    mac-address 68:13:e2:7f:22:c0
  exit
  unit 2
    mac-address 68:13:e2:7f:10:30
  exit
  enable
exit

hostname ESR-1 unit 1
hostname ESR-2 unit 2

object-group service DHCP_SERVER
  port-range 67
exit
object-group service DHCP_CLIENT
  port-range 68
exit

object-group network SYNC_DST
  ip address-range 198.51.100.253 unit 1
  ip address-range 198.51.100.254 unit 2
exit
object-group network SYNC_SRC
  ip address-range 198.51.100.254 unit 1
  ip address-range 198.51.100.253 unit 2
exit

security zone SYNC
exit
security zone LAN
exit

bridge 1
  vlan 1
  security-zone SYNC
  ip address 198.51.100.254/24 unit 1
  ip address 198.51.100.253/24 unit 2
  vrrp id 1
  vrrp ip 198.51.100.1/24
  vrrp group 1
  vrrp
  enable
exit

interface gigabitethernet 1/0/2
  security-zone LAN
  ip address 192.0.2.254/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 1/0/3
  mode switchport
  spanning-tree disable
exit
interface gigabitethernet 2/0/2
  security-zone LAN
  ip address 192.0.2.253/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 2/0/3
  mode switchport
  spanning-tree disable
exit

ip failover
  local-address object-group SYNC_SRC
  remote-address object-group SYNC_DST
  vrrp-group 1
exit

security zone-pair SYNC self
  rule 1
    action permit
    match protocol icmp
    enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule 3
    action permit
    match protocol ah
    enable
  exit
exit
security zone-pair LAN self
  rule 1
    action permit
    match protocol udp
    match source-port object-group DHCP_CLIENT
    match destination-port object-group DHCP_SERVER
    enable
  exit
exit

ip dhcp-server
ip dhcp-server pool TRUSTED
  network 192.0.2.0/24
  address-range 192.0.2.10-192.0.2.100
  default-router 192.0.2.1
  dns-server 192.0.2.1
exit
ip dhcp-server failover
  mode active-standby
  enable
exit
Настройка SNMP
Протокол SNMP позволяет системному администратору проводить мониторинг, контролировать производительность сети и изменять конфигурацию подключенных устройств.
В текущей схеме SNMP-трафик будет идти на интерфейсы Gi1/0/2.7 и Gi2/0/2.7. Необходимо настроить snmp-server и snmp-traps, чтобы удаленно получать информацию о состоянии сети и при необходимости изменять её конфигурацию.
Создайте зону безопасности для MGMT (management):
 Блок  кода
titleESR-1
ESR-1(config)# security zone MGMT
ESR-1(config-security-zone)# exit
Откройте SNMP-порты и порт для SSH-подключения:
 Блок  кода
titleESR-1
ESR-1(config)# object-group service SNMP
ESR-1(config-object-group-service)# port-range 161
ESR-1(config-object-group-service)# port-range 162
ESR-1(config-object-group-service)# exit
ESR-1(config)# object-group service SSH
ESR-1(config-object-group-service)# port-range 22
ESR-1(config-object-group-service)# exit
Укажите правила для зоны безопасности MGMT:
 Блок  кода
titleESR-1
ESR-1(config)# security zone-pair MGMT self
ESR-1(config-security-zone-pair)# rule 1
ESR-1(config-security-zone-pair-rule)# action permit 
ESR-1(config-security-zone-pair-rule)# match protocol icmp 
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# rule 2
ESR-1(config-security-zone-pair-rule)# action permit 
ESR-1(config-security-zone-pair-rule)# match protocol vrrp 
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# rule 3
ESR-1(config-security-zone-pair-rule)# action permit
ESR-1(config-security-zone-pair-rule)# match protocol tcp
ESR-1(config-security-zone-pair-rule)# match destination-port object-group SSH
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# rule 4
ESR-1(config-security-zone-pair-rule)# action permit
ESR-1(config-security-zone-pair-rule)# match protocol udp
ESR-1(config-security-zone-pair-rule)# match destination-port object-group SNMP
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# exit
ESR-1(config)# security zone-pair MGMT IPsec_VPN
ESR-1(config-security-zone-pair)# rule 1
ESR-1(config-security-zone-pair-rule)# action permit 
ESR-1(config-security-zone-pair-rule)# match protocol icmp 
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# rule 2
ESR-1(config-security-zone-pair-rule)# action permit
ESR-1(config-security-zone-pair-rule)# match protocol udp
ESR-1(config-security-zone-pair-rule)# match destination-port object-group SNMP
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# exit
ESR-1(config)# security zone-pair IPsec_VPN MGMT
ESR-1(config-security-zone-pair)# rule 1
ESR-1(config-security-zone-pair-rule)# action permit 
ESR-1(config-security-zone-pair-rule)# match protocol icmp 
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# rule 2
ESR-1(config-security-zone-pair-rule)# action permit
ESR-1(config-security-zone-pair-rule)# match protocol tcp
ESR-1(config-security-zone-pair-rule)# match destination-port object-group SSH
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# rule 3
ESR-1(config-security-zone-pair-rule)# action permit
ESR-1(config-security-zone-pair-rule)# match protocol udp
ESR-1(config-security-zone-pair-rule)# match destination-port object-group SNMP
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# exit
Настройте MGMT-интерфейсы:
 Блок  кода
titleESR-1
ESR-1(config)# interface gigabitethernet 1/0/2.7
ESR-1(config-if-gi)# description "Network: MGMT"
ESR-1(config-if-gi)# security-zone MGMT
ESR-1(config-if-gi)# ip address 192.18.7.254/24
ESR-1(config-if-gi)# vrrp id 7
ESR-1(config-if-gi)# vrrp ip 192.18.7.1/24
ESR-1(config-if-gi)# vrrp group 1
ESR-1(config-if-gi)# vrrp
ESR-1(config-if-gi)# exit
ESR-1(config)# interface gigabitethernet 2/0/2.7
ESR-1(config-if-gi)# description "Network: MGMT"
ESR-1(config-if-gi)# security-zone MGMT
ESR-1(config-if-gi)# ip address 192.18.7.253/24
ESR-1(config-if-gi)# vrrp id 7
ESR-1(config-if-gi)# vrrp ip 192.18.7.1/24
ESR-1(config-if-gi)# vrrp group 1
ESR-1(config-if-gi)# vrrp
ESR-1(config-if-gi)# exit
Management-сервер, куда должен дойти MGMT-трафик, имеет IP-адрес — 192.18.2.75, который доступен через VTI-туннели.
Создайте object-group и укажите IP-адреса с привязкой к unit, которые будут использоваться в качестве адресов, с которых будут отправляться SNMP-пакеты с ESR:
 Блок  кода
titleESR-1
ESR-1(config)# object-group network MGMT_SRC
ESR-1(config-object-group-network)# ip address-range 192.18.7.254 unit 1
ESR-1(config-object-group-network)# ip address-range 192.18.7.253 unit 2
ESR-1(config-object-group-network)# exit
Включите SNMP-server, настройте snmp-community:
 Блок  кода
titleESR-1
ESR-1(config)# snmp-server
ESR-1(config)# snmp-server system-shutdown
ESR-1(config)# snmp-server community MGMT client-list MGMT_SRC rw
Настройте SNMP-сервер:
 Блок  кода
titleESR-1
ESR-1(config)# snmp-server host 192.18.2.75
ESR-1(config-snmp-host)# source-address object-group MGMT_SRC
ESR-1(config-snmp-host)# exit
 Scroll Pagebreak
Настройте SNMP-уведомления на команды конфигурирования commit/confirm:
 Блок  кода
titleESR-1
ESR-1(config)# snmp-server enable traps config
ESR-1(config)# snmp-server enable traps config commit
ESR-1(config)# snmp-server enable traps config confirm
Настройка Source NAT
Функция Source NAT (SNAT) используется для подмены адреса источника у пакетов, проходящих через сетевой шлюз. При прохождении пакетов из локальной сети в публичную сеть адрес источника заменяется на один из публичных адресов шлюза. Дополнительно к адресу источника может применяться замена порта источника (NATP). При прохождении пакетов из публичной сети в локальную происходит обратная подмена адреса и порта.
Пример настройки
Задача:
  • предоставить доступ в Интернет хостам, находящимся в локальной сети;
  • клиентская подсеть: 192.0.2.0/24;
  • публичный IP адрес  – IP адрес на интерфейсе.
Image Removed
Рисунок 4 — Схема реализации Source NAT
Исходная конфигурация кластера:
 Блок  кода
cluster
  cluster-interface bridge 1
  unit 1
    mac-address cc:9d:a2:71:83:78
  exit
  unit 2
    mac-address cc:9d:a2:71:82:38
  exit
  enable
exit
 
hostname ESR-1 unit 1
hostname ESR-2 unit 2
 
security zone SYNC
exit
security zone LAN
exit
security zone WAN
exit
 
bridge 1
  vlan 1
  security-zone SYNC
  ip address 198.51.100.254/24 unit 1
  ip address 198.51.100.253/24 unit 2
  vrrp id 1
  vrrp ip 198.51.100.1/24
  vrrp group 1
  vrrp
  enable
exit
 
interface gigabitethernet 1/0/2
  security-zone LAN
  ip address 192.0.2.254/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 1/0/3
  mode switchport
  spanning-tree disable
exit
interface gigabitethernet 2/0/2
  security-zone LAN
  ip address 192.0.2.253/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 2/0/3
  mode switchport
  spanning-tree disable
exit
 
security zone-pair SYNC self
  rule 1
    action permit
    match protocol icmp
    enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule 3
    action permit
    match protocol ah
    enable
  exit
exit
security zone-pair LAN self
  rule 1
    action permit
    enable
  exit
exit
2025-01-09 23:58:39    
Настройка SNMP
Протокол SNMP позволяет системному администратору проводить мониторинг, контролировать производительность сети и изменять конфигурацию подключенных устройств.
В текущей схеме SNMP-трафик будет идти на интерфейсы Gi1/0/2.7 и Gi2/0/2.7. Необходимо настроить snmp-server и snmp-traps, чтобы удаленно получать информацию о состоянии сети и при необходимости изменять её конфигурацию.
Создайте зону безопасности для MGMT (management):
 Блок  кода
titleESR-1
ESR-1(config)# security zone MGMT
ESR-1(config-security-zone)# exit
Откройте SNMP-порты и порт для SSH-подключения:
 Блок  кода
titleESR-1
ESR-1(config)# object-group service SNMP
ESR-1(config-object-group-service)# port-range 161
ESR-1(config-object-group-service)# port-range 162
ESR-1(config-object-group-service)# exit
ESR-1(config)# object-group service SSH
ESR-1(config-object-group-service)# port-range 22
ESR-1(config-object-group-service)# exit
Укажите правила для зоны безопасности MGMTСконфигурируем необходимые сетевые интерфейсы c принадлежностью к зоне безопасности:
 Блок  кода
titleESR-1
ESR-1(config)# security interfacezone-pair gigabitethernet 1/0/1MGMT self
ESR-1(config-security-ifzone-gipair)# ip address 203.0.113.254/24rule 1
ESR-1(config-security-zone-ifpair-girule)# action security-zonepermit WAN
ESR-1(config-if-gi)# exitsecurity-zone-pair-rule)# match protocol icmp 
ESR-1(config-security-zone-pair-rule)# interface gigabitethernet 2/0/1enable
ESR-1(config-security-zone-ifpair-girule)# ip address 203.0.113.253/24exit
ESR-1(config-security-ifzone-gipair)# security-zonerule WAN2
ESR-1(config-security-zone-ifpair-girule)# exit
Создадим список IP-адресов, которые будут иметь возможность выхода в Интернет:
 Блок  кода
titleESR-1
action permit 
ESR-1(config-security-zone-pair-rule)# match object-groupprotocol networkvrrp INTERNET_USERS
ESR-1(config-security-objectzone-grouppair-networkrule)# ip address-range 192.0.2.10-192.0.2.100enable
ESR-1(config-security-objectzone-grouppair-networkrule)# exit
Добавим правило, где включена проверка адреса источника данных на принадлежность к диапазону адресов INTERNET_USERS, для соблюдения ограничения на выход в публичную сеть:
 Блок  кода
titleESR-1

ESR-1(config)# -security -zone-pair)# LANrule WAN 3
ESR-1(config-security-zone-pair-rule)# ruleaction 1permit
ESR-1(config-security-zone-pair-rule)# actionmatch permitprotocol tcp
ESR-1(config-security-zone-pair-rule)# match sourcedestination-addressport object-group INTERNET_USERSSSH
ESR-1(config-security-zone-pair-rule)# enable 
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# exit
Создадим набор правил SNAT. В атрибутах набора укажем, что правила применяются только для пакетов, направляющихся в зону WAN. Правила включают проверку адреса источника данных на принадлежность к пулу INTERNET_USERS и задают трансляцию в IP-адрес интерфейса:
 Блок  кода
titleESR-1
 rule 4
ESR-1(config-security-zone-pair-rule)# nataction source permit
ESR-1(config-snat-security-zone-pair-rule)# match rulesetprotocol SNAT_WANudp
ESR-1(config-security-zone-snatpair-rulesetrule)# tomatch zone WAN destination-port object-group SNMP
ESR-1(config-security-zone-snatpair-rulesetrule)# rule 1enable
ESR-1(config-snatsecurity-zone-pair-rule)# match source-address object-group INTERNET_USERSexit
ESR-1(config-security-zone-pair)# exit
ESR-1(config-snat-rule)# actionsecurity sourcezone-natpair interfaceMGMT IPsec_VPN
ESR-1(config-snatsecurity-zone-rulepair)# enablerule 1
ESR-1(config-security-zone-snatpair-rule)# action permit exit
ESR-1(config-security-zone-snatpair-rulesetrule)# exitmatch protocol icmp 
ESR-1(config-snat)# exit
Итоговая конфигурация кластера:
security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# rule 2
ESR-1(config-security-zone-pair-rule)# action permit
ESR-1(config-security-zone-pair-rule)# match protocol udp
ESR-1(config-security-zone-pair-rule)# match destination-port object-group SNMP
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# exit
ESR-1(config)# security zone-pair IPsec_VPN MGMT
ESR-1(config-security-zone-pair)# rule 1
ESR-1(config-security-zone-pair-rule)# action permit 
ESR-1(config-security-zone-pair-rule)# match protocol icmp 
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# rule 2
ESR-1(config-security-zone-pair-rule)# action permit
ESR-1(config-security-zone-pair-rule)# match protocol tcp
ESR-1(config-security-zone-pair-rule)# match destination-port object-group SSH
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# rule 3
ESR-1(config-security-zone-pair-rule)# action permit
ESR-1(config-security-zone-pair-rule)# match protocol udp
ESR-1(config-security-zone-pair-rule)# match destination-port object-group SNMP
ESR-1(config-security-zone-pair-rule)# enable
ESR-1(config-security-zone-pair-rule)# exit
ESR-1(config-security-zone-pair)# exit
Настройте MGMT-интерфейсы:
 Блок  кода
titleESR-1
ESR-1(config)# interface gigabitethernet 1/0/2.7
ESR-1(config-if-gi)# description "Network: MGMT"
ESR-1(config-if-gi)# security-zone MGMT
ESR-1(config-if-gi)# ip address 192.18.7.254/24
ESR-1(config-if-gi)# vrrp id 7
ESR-1(config-if-gi)# vrrp ip 192.18.7.1/24
ESR-1(config-if-gi)# vrrp group 1
ESR-1(config-if-gi)# vrrp
ESR-1(config-if-gi)# exit
ESR-1(config)# interface gigabitethernet 2/0/2.7
ESR-1(config-if-gi)# description "Network: MGMT"
ESR-1(config-if-gi)# security-zone MGMT
ESR-1(config-if-gi)# ip address 192.18.7.253/24
ESR-1(config-if-gi)# vrrp id 7
ESR-1(config-if-gi)# vrrp ip 192.18.7.1/24
ESR-1(config-if-gi)# vrrp group 1
ESR-1(config-if-gi)# vrrp
ESR-1(config-if-gi)# exit
Management-сервер, куда должен дойти MGMT-трафик, имеет IP-адрес — 192.18.2.75, который доступен через VTI-туннели.
Создайте object-group и укажите IP-адреса с привязкой к unit, которые будут использоваться в качестве адресов, с которых будут отправляться SNMP-пакеты с ESR:
 Блок  кода
titleESR-1
ESR-1(config)# object-group network MGMT_SRC
ESR-1(config-object-group-network)# ip address-range 192.18.7.254 unit 1
ESR-1(config-object-group-network)# ip address-range 192.18.7.253 unit 2
ESR-1(config-object-group-network)# exit
Включите SNMP-server, настройте snmp-community:
 Блок  кода
titleESR-1
ESR-1(config)# snmp-server
ESR-1(config)# snmp-server system-shutdown
ESR-1(config)# snmp-server community MGMT client-list MGMT_SRC rw
Настройте SNMP-сервер:
 Блок  кода
titleESR-1
ESR-1(config)# snmp-server host 192.18.2.75
ESR-1(config-snmp-host)#
 Блок  кода
cluster
  cluster-interface bridge 1
  unit 1
    mac-address 68:13:e2:7f:22:c0
  exit
  unit 2
    mac-address 68:13:e2:7f:10:30
  exit
  enable
exit

hostname ESR-1 unit 1
hostname ESR-2 unit 2

object-group network INTERNET_USERS
  ip address-range 192.0.2.10-192.0.2.100
exit

security zone SYNC
exit
security zone LAN
exit
security zone WAN
exit

bridge 1
  vlan 1
  security-zone SYNC
  ip address 198.51.100.254/24 unit 1
  ip address 198.51.100.253/24 unit 2
  vrrp id 1
  vrrp ip 198.51.100.1/24
  vrrp group 1
  vrrp
  enable
exit

interface gigabitethernet 1/0/1
  security-zone WAN
  ip address 203.0.113.254/24
exit
interface gigabitethernet 1/0/2
  security-zone LAN
  ip address 192.0.2.254/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 1/0/3
  mode switchport
  spanning-tree disable
exit
interface gigabitethernet 2/0/1
  security-zone WAN
  ip address 203.0.113.253/24
exit
interface gigabitethernet 2/0/2
  security-zone LAN
  ip address 192.0.2.253/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 2/0/3
  mode switchport
  spanning-tree disable
exit

security zone-pair SYNC self
  rule 1
    action permit
    match protocol icmp
    enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule 3
    action permit
    match protocol ah
    enable
  exit
exit
security zone-pair LAN self
  rule 1
    action permit
    enable
  exit
exit
security zone-pair LAN WAN
  rule 1
    action permit
    match source-address object-group INTERNET_USERS
    enable
  exit
exit

nat source
  ruleset SNAT_WAN
    rule 1
      match source-address object-group INTERNETMGMT_USERS
      action source-nat interface
      enable
    exit
  exit
exit
Настройка Destination NAT
SRC
ESR-1(config-snmp-host)# exit
 Scroll Pagebreak
Настройте SNMP-уведомления на команды конфигурирования commit/confirm:
 Блок  кода
titleESR-1
ESR-1(config)# snmp-server enable traps config
ESR-1(config)# snmp-server enable traps config commit
ESR-1(config)# snmp-server enable traps config confirm
Настройка Source NAT
Функция Source NAT (SNAT) используется для подмены адреса источника Функция Destination NAT (DNAT) состоит в преобразовании IP-адреса назначения у пакетов, проходящих через сетевой шлюз. DNAT используется для перенаправления трафика, идущего на некоторый «виртуальный» адрес в публичной сети, на «реальный» сервер в локальной сети, находящийся за сетевым шлюзомПри прохождении пакетов из локальной сети в публичную сеть адрес источника заменяется на один из публичных адресов шлюза. Дополнительно к адресу источника может применяться замена порта источника (NATP). При прохождении пакетов из публичной сети в локальную происходит обратная подмена адреса и порта.
Пример настройки
Задача:
  • организовать публичный доступа к серверу, находящемуся в частной сети и не имеющему публичного сетевого адреса;
  • предоставить доступ в Интернет хостам, находящимся в локальной сети;
  • клиентская подсеть: сервер доступен по адресу:  192.0.2.100/24;
...
  • публичный IP адрес  – IP адрес на интерфейсе.
Image Added
Рисунок 5 4 — Схема реализации Destination реализации Source NAT
Исходная конфигурация кластера:
 Блок  кода
cluster
  cluster-interface bridge 1
  unit 1
    mac-address cc:9d:a2:71:83:78
  exit
  unit 2
    mac-address cc:9d:a2:71:82:38
  exit
  enable
exit
  
hostname ESR-1 unit 1
hostname ESR-2 unit 2
  
security zone SYNC
exit
security zone DMZLAN
exit
security zone WAN
exit
  
bridge 1
  vlan 1
  security-zone SYNC
  ip address 198.51.100.254/24 unit 1
  ip address 198.51.100.253/24 unit 2
  vrrp id 1
  vrrp ip 198.51.100.1/24
  vrrp group 1
  vrrp
  enable
exit
  
interface gigabitethernet 1/0/12
  security-zone WANLAN
  ip address 203192.0.113.254/242.254/24
  vrrp id 2
  vrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication key ascii-text encrypted 88B11079B51D
  vrrp authentication algorithm md5
  vrrp
exit
interface gigabitethernet 1/0/3
  mode switchport
  spanning-tree disable
exit
interface gigabitethernet 2/0/12
  security-zone WANLAN
  ip address 203192.0.1132.253/24
exit
interface gigabitethernet 2/0/3
  mode switchport vrrp id 2
  spanning-tree disable
exit
  
security zone-pair SYNC self
  rulevrrp ip 192.0.2.1/24
  vrrp group 1
  vrrp authentication action permit
    match protocol icmpkey ascii-text encrypted 88B11079B51D
  vrrp authentication enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule algorithm md5
  vrrp
exit
interface gigabitethernet 2/0/3
  mode  action permitswitchport
    match protocol ah
    enable
  exit
exitspanning-tree disable
exit
 
security zone-pair WANSYNC self
  rule 1
    action permit
    enable
match protocol exit
exit
Сконфигурируем интерфейс в сторону DMZ-сервера в зоне безопасности DMZ:
 Блок  кода
titleESR-1
ESR-1(config)# interface gigabitethernet 1/0/2
ESR-1(config-subif)# security-zone DMZ 
ESR-1(config-subif)# ip address 192.0.2.254/24
ESR-1(config-subif)# vrrp id 10
ESR-1(config-subif)# vrrp ip 192.0.2.1/24
ESR-1(config-subif)# vrrp group 1
ESR-1(config-subif)# vrrp 
ESR-1(config-subif)# exit
ESR-1(config)# interface gigabitethernet 2/0/2
ESR-1(config-subif)# security-zone DMZ 
ESR-1(config-subif)# ip address 192.0.2.253/24
ESR-1(config-subif)# vrrp id 10
ESR-1(config-subif)# vrrp ip 192.0.2.1/24
ESR-1(config-subif)# vrrp group 1
ESR-1(config-subif)# vrrp 
ESR-1(config-subif)# exit
icmp
    enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule 3
    action permit
    match protocol ah
    enable
  exit
exit
security zone-pair LAN self
  rule 1
    action permit
    enable
  exit
exit
Сконфигурируем необходимые сетевые интерфейсы c принадлежностью к зоне безопасностиСоздадим профиль адресов публичной сети:
 Блок  кода
titleESR-1
ESR-1(config)# object-groupinterface network EXTERNAL_VIPSgigabitethernet 1/0/1
ESR-1(config-objectif-group-networkgi)# ip address-range 192203.180.4113.2254/24
ESR-1(config-objectif-group-networkgi)# ip addresssecurity-range 192.18.5.2zone WAN
ESR-1(config-objectif-group-networkgi)# exit
Создадим профиль портов:
 Блок  кода
titleESR-1

ESR-1(config)# interface gigabitethernet 2/0/1
ESR-1(config-if-gi)# object-groupip service SERVER_DMZaddress 203.0.113.253/24
ESR-1(config-objectif-group-servicegi)# portsecurity-rangezone 80WAN
ESR-1(config-objectif-group-servicegi)# exit
Войдем в режим конфигурирования DNAT и создадим пул Создадим список IP-адресов, в которые будут транслироваться адреса пакетов, поступающие на адреса 192.18.4.2 и 192.18.5.2 из внешней сетикоторые будут иметь возможность выхода в Интернет:
 Блок  кода
titleESR-1
ESR-1(config)# nat destination 
ESR-1(config-dnat)# pool SERVER_DMZobject-group network INTERNET_USERS
ESR-1(config-object-dnatgroup-poolnetwork)# ip address-range 192.0.2.10-192.0.2.100
ESR-1(config-object-dnatgroup-poolnetwork)# exit
Создадим набор правил «DNAT», в соответствии с которыми будет производиться трансляция адресов. В атрибутах набора укажем, что правила применяются только для пакетов, пришедших из зоны WAN. Набор правил включает в себя требования соответствия данных по адресу и порту назначения (match destination-address, match destination-port) и по протоколу. Кроме этого, в наборе задано действие, применяемое к данным, удовлетворяющим всем правилам (action destination-nat)Добавим правило, где включена проверка адреса источника данных на принадлежность к диапазону адресов INTERNET_USERS, для соблюдения ограничения на выход в публичную сеть:
 Блок  кода
titleESR-1
ESR-1(config-dnat)# ruleset DNAT_SERVER_DMZ
ESR-1(config-dnat-ruleset)# from zonesecurity zone-pair LAN WAN 
ESR-1(config-security-dnatzone-rulesetpair)# rule 1
ESR-1(config-security-dnatzone-pair-rule)# matchaction protocolpermit tcp
ESR-1(config-security-zone-dnatpair-rule)# match destinationsource-address object-group EXTERNALINTERNET_VIPS USERS
ESR-1(config-dnatsecurity-zone-pair-rule)# match destination-port object-group SERVER_DMZenable 
ESR-1(config-security-zone-dnatpair-rule)# action destination-nat pool SERVER_DMZ exit
ESR-1(config-dnat-rule)# enable 
-security-zone-pair)# exit
Создадим набор правил SNAT. В атрибутах набора укажем, что правила применяются только для пакетов, направляющихся в зону WAN. Правила включают проверку адреса источника данных на принадлежность к пулу INTERNET_USERS и задают трансляцию в IP-адрес интерфейса:
 Блок  кода
titleESR-1
ESR-1(config-dnat-rule)# nat source exit
ESR-1(config-dnat-rulesetsnat)# ruleruleset 2SNAT_WAN
ESR-1(config-dnatsnat-ruleruleset)# to matchzone protocolWAN udp
ESR-1(config-dnatsnat-ruleruleset)# match destination-address object-group EXTERNAL_VIPSrule 1
ESR-1(config-dnatsnat-rule)# match destinationsource-portaddress object-group SERVERINTERNET_DMZ USERS
ESR-1(config-dnatsnat-rule)# action destinationsource-nat pool SERVER_DMZinterface 
ESR-1(config-dnatsnat-rule)# enable 
ESR-1(config-dnatsnat-rule)# exit
ESR-1(config-dnatsnat-ruleset)# exit
ESR-1(config-dnatsnat)# exit
Для пропуска трафика, идущего из зоны WAN в DMZ, создадим еще одно правило. Пропускать следует только трафик, прошедший преобразование DNAT:
 Блок  кода
titleESR-1
ESR-1(config)# security zone-pair WAN DMZ 
ESR-1(config-security-zone-pair)# rule 1
ESR-1(config-security-zone-pair-rule)# match destination-nat 
ESR-1(config-security-zone-pair-rule)# action permit 
ESR-1(config-security-zone-pair-rule)# enable 
ESR-1(config-security-zone-pair-rule)# exit 
ESR-1(config-security-zone-pair)# exit 
Итоговая конфигурация кластера:
Настройка Destination NAT
Функция Destination NAT (DNAT) состоит в преобразовании IP-адреса назначения у пакетов, проходящих через сетевой шлюз. DNAT используется для перенаправления трафика, идущего на некоторый «виртуальный» адрес в публичной сети, на «реальный» сервер в локальной сети, находящийся за сетевым шлюзом.
Пример настройки
Задача:
  • организовать публичный доступа к серверу, находящемуся в частной сети и не имеющему публичного сетевого адреса;
  • сервер доступен по адресу: 192.0.2.10/24;
Image Added
Рисунок 5 — Схема реализации Destination NAT
Исходная конфигурация кластера:
 Блок  кода
cluster
  cluster-interface bridge 1
  unit 1
    mac-address cc:9d:a2:71:83:78
  exit
  unit 2
    mac-address cc:9d:a2:71:82:38
  exit
  enable
exit
  
hostname ESR-1 unit 1
hostname ESR-2 unit 2
  
security zone SYNC
exit
security zone DMZ
exit
security zone WAN
exit
  
bridge 1
  vlan 1
  security-zone SYNC
  ip address 198.51.100.254/24 unit 1
  ip address 198.51.100.253/24 unit 2
  vrrp id 1
  vrrp ip 198.51.100.1/24
  vrrp group 1
  vrrp
 Блок  кода
cluster
  cluster-interface bridge 1
  unit 1
    mac-address 68:13:e2:7f:22:c0
  exit
  unit 2
    mac-address 68:13:e2:7f:10:30
  exit
  enable
exit
  
hostname ESR-1 unit 1
hostname ESR-2 unit 2

object-group service SERVER_DMZ
  port-range 80
exit

object-group network EXTERNAL_VIPSinterface gigabitethernet 1/0/1
  security-zone WAN
  ip address 203.0.113.254/24
exit
interface gigabitethernet 1/0/3
  mode switchport
  spanning-tree disable
exit
interface gigabitethernet 2/0/1
  security-zone WAN
  ip address-range 192203.180.4.2
  ip address-range 192.18.5.2
exit
113.253/24
exit
interface gigabitethernet 2/0/3
  mode switchport
  spanning-tree disable
exit
  
security zone-pair SYNC
exit
security zone DMZ
exit
security zone WAN
exit

bridge 1
  vlan 1
  security-zone SYNC
  ip address 198.51.100.254/24 unit 1
  ip address 198.51.100.253/24 unit 2
  vrrp id 1
  vrrp ip 198.51.100.1/24
  vrrp group 1
  vrrp
  enable
exit

interface gigabitethernet 1/0/1
  security-zone WAN
  ip address 203.0.113.254/24
exit
 self
  rule 1
    action permit
    match protocol icmp
    enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule 3
    action permit
    match protocol ah
    enable
  exit
exit
security zone-pair WAN self
  rule 1
    action permit
    enable
  exit
exit
Сконфигурируем интерфейс в сторону DMZ-сервера в зоне безопасности DMZ:
 Блок  кода
titleESR-1
ESR-1(config)# interface gigabitethernet 1/0/2
  ESR-1(config-subif)# security-zone DMZ
  
ESR-1(config-subif)# ip address 192.0.2.254/24
 ESR-1(config-subif)# vrrp id 10
  ESR-1(config-subif)# vrrp ip 192.0.2.1/24
  ESR-1(config-subif)# vrrp group 1
  vrrp
exit
interface gigabitethernet 1/0/3
  mode switchport
  spanning-tree disable
exit
interface gigabitethernet 2/0/1
  security-zone WAN
  ip address 203.0.113.253/24
exit
ESR-1(config-subif)# vrrp 
ESR-1(config-subif)# exit
ESR-1(config)# interface gigabitethernet 2/0/2
  ESR-1(config-subif)# security-zone DMZ 
  ESR-1(config-subif)# ip address 192.0.2.253/24
  ESR-1(config-subif)# vrrp id 10
  ESR-1(config-subif)# vrrp ip 192.0.2.1/24
 ESR-1(config-subif)# vrrp group 1
  vrrp
exit
interface gigabitethernet 2/0/3
  mode switchport
  spanning-tree disable
exit

security zone-pair SYNC self
  rule 1
    action permit
    match protocol icmp
    enable
  exit
  rule 2
    action permit
    match protocol vrrp
    enable
  exit
  rule 3
    action permit
    match protocol ah
    enable
  exit
exit
security zone-pair WAN self
  rule 1
    action permit
    enable
  exit
exit
security zone-pair WAN DMZ
  rule 1
    action permit
    match destination-nat
    enable
  exit
exit

nat destination
  pool SERVER_DMZ
    ip address 192.0.2.10
  exit
  ruleset DNAT_SERVER_DMZ
    from zone WAN
    rule 1
      match protocol tcp
  ESR-1(config-subif)# vrrp 
ESR-1(config-subif)# exit
Создадим профиль адресов публичной сети:
 Блок  кода
titleESR-1
ESR-1(config)# object-group network EXTERNAL_VIPS
ESR-1(config-object-group-network)# ip address-range 192.18.4.2
ESR-1(config-object-group-network)# ip address-range 192.18.5.2
ESR-1(config-object-group-network)# exit
Создадим профиль портов:
 Блок  кода
titleESR-1
ESR-1(config)# object-group service SERVER_DMZ
ESR-1(config-object-group-service)# port-range 80
ESR-1(config-object-group-service)# exit
Войдем в режим конфигурирования DNAT и создадим пул адресов, в которые будут транслироваться адреса пакетов, поступающие на адреса 192.18.4.2 и 192.18.5.2 из внешней сети:
 Блок  кода
titleESR-1
ESR-1(config)# nat destination 
ESR-1(config-dnat)# pool SERVER_DMZ
ESR-1(config-dnat-pool)# ip address 192.0.2.10
ESR-1(config-dnat-pool)# exit
Создадим набор правил «DNAT», в соответствии с которыми будет производиться трансляция адресов. В атрибутах набора укажем, что правила применяются только для пакетов, пришедших из зоны WAN. Набор правил включает в себя требования соответствия данных по адресу и порту назначения (match destination-address, match destination-port) и по протоколу. Кроме этого, в наборе задано действие, применяемое к данным, удовлетворяющим всем правилам (action destination-nat):
 Блок  кода
titleESR-1
ESR-1(config-dnat)# ruleset DNAT_SERVER_DMZ
ESR-1(config-dnat-ruleset)# from zone WAN 
ESR-1(config-dnat-ruleset)# rule 1
ESR-1(config-dnat-rule)# match protocol tcp
ESR-1(config-dnat-rule)# match destination-address object-group EXTERNAL_VIPS 
ESR-1(config-dnat-rule)# match destination-port object-group SERVER_DMZ 
ESR-1(config-dnat-rule)# action destination-nat pool SERVER_DMZ 
ESR-1(config-dnat-rule)# enable 
ESR-1(config-dnat-rule)# exit
ESR-1(config-dnat-ruleset)# rule 2
ESR-1(config-dnat-rule)# match protocol udp
ESR-1(config-dnat-rule)#    match destination-address object-group EXTERNAL_VIPS
ESR-1(config-dnat-rule)# match destination-port object-group SERVER_DMZ  match
ESR-1(config-dnat-rule)# action destination-portnat object-grouppool SERVER_DMZ 
ESR-1(config-dnat-rule)# enable
ESR-1(config-dnat-rule)# exit
ESR-1(config-dnat-ruleset)# exit
ESR-1(config-dnat)# exit
Для пропуска трафика, идущего из зоны WAN в DMZ, создадим еще одно правило. Пропускать следует только трафик, прошедший преобразование DNAT:
 Блок  кода
titleESR-1
ESR-1(config)# security action destinationzone-natpair poolWAN SERVER_DMZ
      enable
    exit
    rule 2
      match protocol udp
      match destination-address object-group EXTERNAL_VIPS
      match destination-port object-group SERVER_DMZ
      action destination-nat pool SERVER_DMZ
      enable
    exit
  exit
exit
ESR-1(config-security-zone-pair)# rule 1
ESR-1(config-security-zone-pair-rule)# match destination-nat 
ESR-1(config-security-zone-pair-rule)# action permit 
ESR-1(config-security-zone-pair-rule)# enable 
ESR-1(config-security-zone-pair-rule)# exit 
ESR-1(config-security-zone-pair)# exit 
Настройка сервера удаленного доступа к корпоративной сети по WireGuard-протоколу
...