...

Раскрыть

title	Проверка наличия лицензии

Без форматирования

esr# show licence 
Licence information
-------------------
Name:    eltex
Version: 1.0
Type:    ESR-1000
S/N:     NP01000415
MAC:     A8:F9:4B:AA:34:99
Features:
 WIFI - Wi-Fi controller
 BRAS - Broadband Remote Access Server

Все команды конфигурации приведены для версии ПО ESR 1.11.2.

Выполняем настройку ip-адресов, BGP, wirelees-controller.

...

Схема включения ESR повторяет собой схему Настройка ESR в режиме wireless-controller с резервированием роутера "последней мили" и Настройка ESR при терминировании одного из саб-туннелей softgre в Bridge в другом VRF. Ниже будет сразу приведена общая конфигурация ESR (без настроек BRAS) и с учетом настроек интерфейсов, которые нам понадобятся для взаимодействия в VRF, описанном в таблице 3.1.

Раскрыть

title	Alfa

Без форматирования

#!/usr/bin/clish
#18
hostname Alfa

object-group network gre_termination
  ip prefix 192.168.200.48/28
exit
object-group network mgmt_AP
  ip prefix 198.18.128.0/21
  ip prefix 198.18.192.0/19
  ip prefix 100.64.0.56/30
  ip prefix 198.19.0.0/19
exit
object-group network clients_AP
  ip prefix 198.18.192.0/19
  ip prefix 198.18.128.0/21
exit
object-group network clients_dpi
  ip prefix 198.19.0.0/19
exit
object-group network SoftWLC
  ip prefix 100.123.0.0/24
exit

ip vrf dpi
  ip protocols bgp max-routes 250
exit

radius-server retransmit 2
radius-server host 100.123.0.2
  key ascii-text testing123
  timeout 5
  priority 20
  source-address 198.18.128.2
  auth-port 31812
  acct-port 31813
  dead-interval 10
exit
aaa radius-profile PCRF
  radius-server host 100.123.0.2
  exit
  das-server COA
  key ascii-text testing123
  port 3799
  clients object-group SoftWLC
exit
aaa das-profile COA
  das-server COA
exit

vlan 3
  force-up
exit
vlan 10
  force-up
exit
vlan 12
  force-up
exit
vlan 101
  force-up
exit
vlan 9,92
exit

security zone trusted
exit
security zone untrusted
exit
security zone gre
exit
security zone sidelink
exit
security zone user
exit
security zone trusted_dpi
  ip vrf forwarding dpi
exit
security zone untrusted_dp
  ip vrf forwarding dpi
exit
security zone sidelink_dpi
  ip vrf forwarding dpi
exit
security zone user_dpi
  ip vrf forwarding dpi
exit

route-map out_BGP_GRE
  rule 1
    match ip address object-group gre_termination
    action set as-path prepend 64603 track 1
    action set metric bgp 1000 track 1
    action permit
  exit
exit
route-map out_BGP_AP
  rule 1
    match ip address object-group mgmt_AP
    action set as-path prepend 64603 track 1
    action set metric bgp 1000 track 1
    action permit
  exit
exit
route-map out_BGP_NAT
  rule 1
    match ip address object-group clients_AP
    action set as-path prepend 64603 track 1
    action set metric bgp 1000 track 1
    action permit
  exit
exit
route-map in_PREF
  rule 1
    action set local-preference 90
    action permit
  exit
exit
route-map out_BGP_DPI
  rule 1
    match ip address object-group clients_dpi
    action set as-path prepend 64603 track 1
    action set metric bgp 1000 track 1
    action permit
  exit
exit
router bgp 64603
  neighbor 100.64.0.33
    remote-as 12389
    update-source 100.64.0.34
    address-family ipv4 unicast
      route-map out_BGP_GRE out
      enable
    exit
    enable
  exit
  neighbor 100.64.0.41
    remote-as 12389
    update-source 100.64.0.42
    address-family ipv4 unicast
      route-map out_BGP_AP out
      enable
    exit
    enable
  exit
  neighbor 100.64.0.49
    remote-as 12389
    update-source 100.64.0.50
    address-family ipv4 unicast
      route-map out_BGP_NAT out
      enable
    exit
    enable
  exit
  neighbor 100.64.0.58
    remote-as 64603
    update-source 100.64.0.57
    address-family ipv4 unicast
      route-map in_PREF in
      next-hop-self
      enable
    exit
    enable
  exit
  address-family ipv4 unicast
    redistribute connected
    redistribute static
  exit
  enable
  vrf dpi
    neighbor 100.64.0.73
      remote-as 12389
      update-source 100.64.0.74
      address-family ipv4 unicast
        route-map out_BGP_DPI out
        enable
      exit
      enable
    exit
    neighbor 100.64.0.98
      remote-as 64603
      update-source 100.64.0.97
      address-family ipv4 unicast
        route-map in_PREF in
        next-hop-self
        enable
      exit
      enable
    exit
    address-family ipv4 unicast
      redistribute connected
    exit
    enable
  exit
exit

tracking 1
  vrrp 3 not state master
  enable
exit

bridge 1
  description "GRE_termination"
  vlan 101
  security-zone gre
  ip address 192.168.200.51/28
  vrrp id 1
  vrrp ip 192.168.200.49/32
  vrrp ip 192.168.200.50/32 secondary
  vrrp priority 200
  vrrp group 1
  vrrp preempt disable
  vrrp preempt delay 150
  vrrp timers garp delay 1
  vrrp timers garp repeat 10
  vrrp
  protected-ports local
  protected-ports exclude vlan
  ports vrrp filtering enable
  ports vrrp filtering exclude vlan
  enable
exit
bridge 3
  description "mgmt_AP"
  vlan 3
  security-zone trusted
  ip address 198.18.128.2/21
  ip helper-address 100.123.0.2
  ip helper-address 100.123.0.3
  ip helper-address vrrp-group 1
  vrrp id 3
  vrrp ip 198.18.128.1/32
  vrrp priority 200
  vrrp group 1
  vrrp preempt disable
  vrrp preempt delay 150
  vrrp timers garp delay 1
  vrrp timers garp repeat 10
  vrrp
  ip tcp adjust-mss 1400
  protected-ports local
  protected-ports exclude vlan
  ports vrrp filtering enable
  ports vrrp filtering exclude vlan
  enable
exit
bridge 9
  description "SideLink"
  vlan 9
  security-zone sidelink
  ip address 100.64.0.57/30
  ip tcp adjust-mss 1400
  enable
exit
bridge 10
  description "data1_AP"
  vlan 10
  unknown-unicast-forwarding disable
  security-zone user
  ip address 198.18.192.2/19
  ip helper-address 100.123.0.2
  ip helper-address vrrp-group 1
  vrrp id 10
  vrrp ip 198.18.192.1/32
  vrrp priority 200
  vrrp group 1
  vrrp preempt disable
  vrrp preempt delay 150
  vrrp timers garp delay 1
  vrrp timers garp repeat 10
  vrrp
  ip tcp adjust-mss 1400
  location data10
  protected-ports radius
  protected-ports exclude vlan
  enable
exit
bridge 12
  ip vrf forwarding dpi
  vlan 12
  unknown-unicast-forwarding disable
  security-zone user_dpi
  ip address 198.19.0.2/19
  ip helper-address 100.123.0.2
  ip helper-address vrrp-group 1
  vrrp id 12
  vrrp ip 198.19.0.1/32
  vrrp priority 200
  vrrp group 1
  vrrp preempt disable
  vrrp preempt delay 150
  vrrp timers garp delay 1
  vrrp timers garp repeat 10
  vrrp
  ip tcp adjust-mss 1400
  location data12
  protected-ports localradius
  protected-ports exclude vlan
  ports vrrp filtering enable
  ports vrrp filtering exclude vlan
  enable
exit
bridge 92
  ip vrf forwarding dpi
  description "SideLink for VRF dpi"
  vlan 92
  security-zone sidelink_dpi
  ip address 100.64.0.97/30
  ip tcp adjust-mss 1400
  enable
exit

interface gigabitethernet 1/0/1
  description "UpLink"
  mode hybrid
exit
interface gigabitethernet 1/0/1.206
  description "VRF_AP"
  security-zone gre
  ip address 100.64.0.34/30
exit
interface gigabitethernet 1/0/1.208
  description "VRF_BACKBONE"
  security-zone trusted
  ip address 100.64.0.42/30
  ip tcp adjust-mss 1400
exit
interface gigabitethernet 1/0/1.210
  description "VRF_NAT"
  security-zone untrusted
  ip address 100.64.0.50/30
  ip tcp adjust-mss 1400
exit
interface gigabitethernet 1/0/1.214
  ip vrf forwarding dpi
  description "br12_vrf"
  security-zone untrusted_dp
  ip address 100.64.0.74/30
  ip tcp adjust-mss 1400
exit
interface gigabitethernet 1/0/2
  description "SideLink"
  mode hybrid
  switchport general acceptable-frame-type tagged-only
  switchport general allowed vlan add 3,9-10,12,92,101 tagged
exit
tunnel lt 1
  peer lt 2
  security-zone trusted
  ip address 10.200.200.1/30
enable
exit
  tunnel lt 2
  peer lt 1
  ip vrf forwarding dpi
  security-zone trusted_dpi
  ip address 10.200.200.2/30
enable
exit
tunnel softgre 1
  description "mgmt"
  mode management
  local address 192.168.200.49
  default-profile
  enable
exit
  tunnel softgre 1.1
  bridge-group 3
  enable
exit
tunnel softgre 2
  description "data"
  mode data
  local address 192.168.200.50
  default-profile
  enable
exit

snmp-server
snmp-server system-shutdown
snmp-server community "public11" ro 
snmp-server community "private1" rw 

snmp-server host 100.123.0.2
 source-address 198.18l.128.2
exit

snmp-server enable traps config
snmp-server enable traps config commit
snmp-server enable traps config confirm
snmp-server enable traps environment
snmp-server enable traps environment pwrin
snmp-server enable traps environment pwrin-insert
snmp-server enable traps environment fan
snmp-server enable traps environment fan-speed-changed
snmp-server enable traps environment fan-speed-high
snmp-server enable traps environment memory-flash-critical-low
snmp-server enable traps environment memory-flash-low
snmp-server enable traps environment memory-ram-critical-low
snmp-server enable traps environment memory-ram-low
snmp-server enable traps environment cpu-load
snmp-server enable traps environment cpu-dp-critical-temp
snmp-server enable traps environment cpu-dp-overheat-temp
snmp-server enable traps environment cpu-dp-supercooling-temp
snmp-server enable traps environment cpu-mgmt-critical-temp
snmp-server enable traps environment cpu-mgmt-overheat-temp
snmp-server enable traps environment cpu-mgmt-supercooling-temp
snmp-server enable traps environment board-overheat-temp
snmp-server enable traps environment board-supercooling-temp
snmp-server enable traps environment sfp-overheat-temp
snmp-server enable traps environment sfp-supercooling-temp
snmp-server enable traps environment switch-overheat-temp
snmp-server enable traps environment switch-supercooling-temp
snmp-server enable traps wifi
snmp-server enable traps wifi wifi-tunnels-number-in-bridge-high
snmp-server enable traps wifi wifi-tunnels-operation
snmp-server enable traps file-operations
snmp-server enable traps file-operations successful
snmp-server enable traps file-operations failed
snmp-server enable traps file-operations canceled
snmp-server enable traps interfaces
snmp-server enable traps interfaces rx-utilization-high
snmp-server enable traps interfaces tx-utilization-high
snmp-server enable traps interfaces number-high
snmp-server enable traps screen
snmp-server enable traps screen dest-limit
snmp-server enable traps screen source-limit
snmp-server enable traps screen icmp-threshold
snmp-server enable traps screen udp-threshold
snmp-server enable traps screen syn-flood
snmp-server enable traps screen land
snmp-server enable traps screen winnuke
snmp-server enable traps screen icmp-frag
snmp-server enable traps screen udp-frag
snmp-server enable traps screen icmp-large
snmp-server enable traps screen syn-frag
snmp-server enable traps screen unknown-proto
snmp-server enable traps screen ip-frag
snmp-server enable traps screen port-scan
snmp-server enable traps screen ip-sweep
snmp-server enable traps screen syn-fin
snmp-server enable traps screen fin-no-ack
snmp-server enable traps screen no-flag
snmp-server enable traps screen spoofing
snmp-server enable traps screen reserved
snmp-server enable traps screen quench
snmp-server enable traps screen echo-request
snmp-server enable traps screen time-exceeded
snmp-server enable traps screen unreachable
snmp-server enable traps screen tcp-all-flags
snmp-server enable traps entity
snmp-server enable traps entity config-change
snmp-server enable traps entity-sensor
snmp-server enable traps entity-sensor threshold
snmp-server enable traps envmon
snmp-server enable traps envmon fan
snmp-server enable traps envmon shutdown
snmp-server enable traps envmon supply
snmp-server enable traps envmon temperature
snmp-server enable traps flash
snmp-server enable traps flash insertion
snmp-server enable traps flash removal
snmp-server enable traps snmp
snmp-server enable traps snmp authentication
snmp-server enable traps snmp coldstart
snmp-server enable traps snmp linkdown
snmp-server enable traps snmp linkup
snmp-server enable traps syslog

security passwords history 0

ip dhcp-relay

ip route vrf dpi 100.123.0.0/24 10.200.200.1
ip route 198.19.0.0/19 10.200.200.2

wireless-controller
  peer-address 100.64.0.58
  nas-ip-address 198.18.128.2
  vrrp-group 1
  data-tunnel configuration radius
  keepalive mode reactive
  aaa das-profile COA
  aaa radius-profile PCRF
  enable
exit
ip telnet server
ip ssh server

ntp enable
ntp server 100.123.0.2
exit

...

Раскрыть

title	Beta

Без форматирования

#!/usr/bin/clish
#18
hostname Beta

object-group network gre_termination
  ip prefix 192.168.200.48/28
exit
object-group network mgmt_AP
  ip prefix 198.18.128.0/21
  ip prefix 198.18.192.0/19
  ip prefix 100.64.0.56/30
  ip prefix 198.19.0.0/19
exit
object-group network clients_AP
  ip prefix 198.18.192.0/19
  ip prefix 198.18.128.0/21
exit
object-group network clients_dpi
  ip prefix 198.19.0.0/19
exit
object-group network SoftWLC
  ip prefix 100.123.0.0/24
exit

ip vrf dpi
  ip protocols bgp max-routes 250
exit

radius-server retransmit 2
radius-server host 100.123.0.2
  key ascii-text testing123
  timeout 11
  source-address 198.18.128.3
  auth-port 31812
  acct-port 31813
  retransmit 2
  dead-interval 10
exit
aaa radius-profile PCRF
  radius-server host 100.123.0.2
exit
das-server COA
  key ascii-text testing123
  port 3799
  clients object-group SoftWLC
exit
aaa das-profile COA
  das-server COA
exit

vlan 3
  force-up
exit
vlan 10
  force-up
exit
vlan 12
  force-up
exit
vlan 101
  force-up
exit
vlan 9,92
exit

security zone trusted
exit
security zone untrusted
exit
security zone gre
exit
security zone sidelink
exit
security zone user
exit
security zone trusted_dpi
  ip vrf forwarding dpi
exit
security zone untrusted_dp
  ip vrf forwarding dpi
exit
security zone sidelink_dpi
  ip vrf forwarding dpi
exit
security zone user_dpi
  ip vrf forwarding dpi
exit

route-map out_BGP_GRE
  rule 1
    match ip address object-group gre_termination
    action set as-path prepend 64603 track 1
    action set metric bgp 1000 track 1
    action permit
  exit
exit
route-map out_BGP_AP
  rule 1
    match ip address object-group mgmt_AP
    action set as-path prepend 64603 track 1
    action set metric bgp 1000 track 1
    action permit
  exit
exit
route-map out_BGP_NAT
  rule 1
    match ip address object-group clients_AP
    action set as-path prepend 64603 track 1
    action set metric bgp 1000 track 1
    action permit
  exit
exit
route-map in_PREF
  rule 1
    action set local-preference 20
    action permit
  exit
exit
route-map out_BGP_DPI
  rule 1
    match ip address object-group clients_dpi
    action set as-path prepend 64603 track 1
    action set metric bgp 1000 track 1
    action permit
  exit
exit
router bgp 64603
  neighbor 100.64.0.37
    remote-as 12389
    update-source 100.64.0.38
    address-family ipv4 unicast
      route-map out_BGP_GRE out
      enable
    exit
    enable
  exit
  neighbor 100.64.0.45
    remote-as 12389
    update-source 100.64.0.46
    address-family ipv4 unicast
      route-map out_BGP_AP out
      enable
    exit
    enable
  exit
  neighbor 100.64.0.53
    remote-as 12389
    update-source 100.64.0.54
    address-family ipv4 unicast
      route-map out_BGP_NAT out
      enable
    exit
    enable
  exit
  neighbor 100.64.0.57
    remote-as 64603
    update-source 100.64.0.58
    address-family ipv4 unicast
      route-map in_PREF in
      next-hop-self
      enable
    exit
    enable
  exit
  address-family ipv4 unicast
    redistribute connected
    redistribute static
  exit
  enable
  vrf dpi
    neighbor 100.64.0.77
      remote-as 12389
      update-source 100.64.0.78
      address-family ipv4 unicast
        route-map out_BGP_DPI out
        enable
      exit
      enable
    exit
    neighbor 100.64.0.97
      remote-as 64603
      update-source 100.64.0.98
      address-family ipv4 unicast
        route-map in_PREF in
        next-hop-self
        enable
      exit
      enable
    exit
    address-family ipv4 unicast
      redistribute connected
    exit
    enable
  exit
exit

tracking 1
  vrrp 3 not state master
  enable
exit

bridge 1
  description "GRE_termination"
  vlan 101
  security-zone gre
ip firewall disable
ip address 192.168.200.52/28
  vrrp id 1
  vrrp ip 192.168.200.49/32
  vrrp ip 192.168.200.50/32 secondary
  vrrp priority 190
  vrrp group 1
  vrrp preempt disable
  vrrp preempt delay 150
  vrrp timers garp delay 1
  vrrp timers garp repeat 10
  vrrp
  enable
exit
bridge 3
  description "mgmt_AP"
  vlan 3
  security-zone trusted
ip firewall disable
ip address 198.18.128.3/21
  ip helper-address 100.123.0.2
  ip helper-address vrrp-group 1
  vrrp id 3
  vrrp ip 198.18.128.1/32
  vrrp priority 190
  vrrp group 1
  vrrp preempt disable
  vrrp preempt delay 150
  vrrp timers garp delay 1
  vrrp timers garp repeat 10
vrrp track-ip intervalvrrp
9 vrrp ip tcp adjust-mss 14581400
  protected-ports local
  protected-ports exclude vlan
  ports vrrp filtering enable
  ports vrrp filtering exclude vlan
  enable
exit
bridge 9
  description "SideLink"
  vlan 9
  security-zone sidelink
ip firewall disable
ip address 100.64.0.58/30
  ip tcp adjust-mss 1400
  enable
exit
bridge 10
  description "data1_AP"
  vlan 10
  unknown-unicast-forwarding disable
  security-zone user
ip firewall disable
ip address 198.18.192.3/19
  ip helper-address 100.123.0.2
  ip helper-address vrrp-group 1
  vrrp id 10
  vrrp ip 198.18.192.1/32
  vrrp priority 190
  vrrp group 1
  vrrp preempt disable
  vrrp preempt delay 150
  vrrp timers garp delay 1
  vrrp timers garp repeat 10
  vrrp
  ip tcp adjust-mss 14581400
  location data10
  protected-ports localradius
  protected-ports exclude vlan
  ports vrrp filtering enable
  ports vrrp filtering exclude vlan
  enable
exit
bridge 12
  ip vrf forwarding dpi
  vlan 12
  unknown-unicast-forwarding disable
  security-zone user_dpi
ip firewall disable
ip address 198.19.0.3/19
  ip helper-address 100.123.0.2
  ip helper-address vrrp-group 1
  vrrp id 12
  vrrp ip 198.19.0.1/32
  vrrp priority 190
  vrrp group 1
  vrrp preempt disable
  vrrp preempt delay 150
  vrrp timers garp delay 1
  vrrp timers garp repeat 10
  vrrp
  ip tcp adjust-mss 1400
  location data12
  protected-ports localradius
  protected-ports exclude vlan
  ports vrrp filtering enable
  ports vrrp filtering exclude vlan
  enable
exit
bridge 92
  ip vrf forwarding dpi
  description "SideLink for VRF dpi"
  vlan 92
  security-zone sidelink_dpi
ip firewall disable
ip address 100.64.0.98/30
  ip tcp adjust-mss 1400
  enable
exit

interface gigabitethernet 1/0/1
  mode hybrid
  switchport forbidden default-vlan
exit
interface gigabitethernet 1/0/1.207
  description "VRF_AP"
  security-zone gre
ip firewall disable
ip address 100.64.0.38/30
exit
interface gigabitethernet 1/0/1.209
  description "VRF_BACKBONE"
  security-zone trusted
ip firewall disable
ip address 100.64.0.46/30
  ip tcp adjust-mss 1400
exit
interface gigabitethernet 1/0/1.211
  description "VRF_NAT"
  security-zone untrusted
ip firewall disable
ip address 100.64.0.54/30
  ip tcp adjust-mss 1400
exit
interface gigabitethernet 1/0/1.215
  ip vrf forwarding dpi
  description "dpi_vrf"
  security-zone untrusted_dp
ip firewall disable
ip address 100.64.0.78/30
  ip tcp adjust-mss 1400
exit
interface gigabitethernet 1/0/2
  description "SideLink"
  mode hybrid
  switchport forbidden default-vlan
  switchport general acceptable-frame-type tagged-only
  switchport general allowed vlan add 3,9-10,12,92,101 tagged
exit
tunnel lt 1
  peer lt 2
  security-zone trusted
ip firewall disable
ip address 10.200.200.5/30
  enable
exit
tunnel lt 2
  peer lt 1
  ip vrf forwarding dpi
ip firewall disable
ip address 10.200.200.6/30
  enable
exit
tunnel softgre 1
  description "mgmt"
  mode management
  local address 192.168.200.49
  default-profile
  enable
exit
tunnel softgre 1.1
  bridge-group 3
  enable
exit
tunnel softgre 2
  description "data"
  mode data
  local address 192.168.200.50
  default-profile
  enable
exit

snmp-server
snmp-server community "public11" ro 
snmp-server community "private1" rw 

snmp-server host 100.123.0.2
  source-address 198.18.128.3
exit

snmp-server enable traps config
snmp-server enable traps config commit
snmp-server enable traps config confirm
snmp-server enable traps environment
snmp-server enable traps environment pwrin
snmp-server enable traps environment pwrin-insert
snmp-server enable traps environment fan
snmp-server enable traps environment fan-speed-changed
snmp-server enable traps environment fan-speed-high
snmp-server enable traps environment memory-flash-critical-low
snmp-server enable traps environment memory-flash-low
snmp-server enable traps environment memory-ram-critical-low
snmp-server enable traps environment memory-ram-low
snmp-server enable traps environment cpu-load
snmp-server enable traps environment cpu-dp-critical-temp
snmp-server enable traps environment cpu-dp-overheat-temp
snmp-server enable traps environment cpu-dp-supercooling-temp
snmp-server enable traps environment cpu-mgmt-critical-temp
snmp-server enable traps environment cpu-mgmt-overheat-temp
snmp-server enable traps environment cpu-mgmt-supercooling-temp
snmp-server enable traps environment board-overheat-temp
snmp-server enable traps environment board-supercooling-temp
snmp-server enable traps environment sfp-overheat-temp
snmp-server enable traps environment sfp-supercooling-temp
snmp-server enable traps environment switch-overheat-temp
snmp-server enable traps environment switch-supercooling-temp
snmp-server enable traps wifi
snmp-server enable traps wifi wifi-tunnels-number-in-bridge-high
snmp-server enable traps wifi wifi-tunnels-operation
snmp-server enable traps file-operations
snmp-server enable traps file-operations successful
snmp-server enable traps file-operations failed
snmp-server enable traps file-operations canceled
snmp-server enable traps interfaces
snmp-server enable traps interfaces rx-utilization-high
snmp-server enable traps interfaces tx-utilization-high
snmp-server enable traps interfaces number-high
snmp-server enable traps screen
snmp-server enable traps screen dest-limit
snmp-server enable traps screen source-limit
snmp-server enable traps screen icmp-threshold
snmp-server enable traps screen udp-threshold
snmp-server enable traps screen syn-flood
snmp-server enable traps screen land
snmp-server enable traps screen winnuke
snmp-server enable traps screen icmp-frag
snmp-server enable traps screen udp-frag
snmp-server enable traps screen icmp-large
snmp-server enable traps screen syn-frag
snmp-server enable traps screen unknown-proto
snmp-server enable traps screen ip-frag
snmp-server enable traps screen port-scan
snmp-server enable traps screen ip-sweep
snmp-server enable traps screen syn-fin
snmp-server enable traps screen fin-no-ack
snmp-server enable traps screen no-flag
snmp-server enable traps screen spoofing
snmp-server enable traps screen reserved
snmp-server enable traps screen quench
snmp-server enable traps screen echo-request
snmp-server enable traps screen time-exceeded
snmp-server enable traps screen unreachable
snmp-server enable traps screen tcp-all-flags
snmp-server enable traps entity
snmp-server enable traps entity config-change
snmp-server enable traps entity-sensor
snmp-server enable traps entity-sensor threshold
snmp-server enable traps envmon
snmp-server enable traps envmon fan
snmp-server enable traps envmon shutdown
snmp-server enable traps envmon supply
snmp-server enable traps envmon temperature
snmp-server enable traps flash
snmp-server enable traps flash insertion
snmp-server enable traps flash removal
snmp-server enable traps snmp
snmp-server enable traps snmp authentication
snmp-server enable traps snmp coldstart
snmp-server enable traps snmp linkdown
snmp-server enable traps snmp linkup
snmp-server enable traps syslog

security passwords history 0

ip dhcp-relay

ip route vrf dpi 100.123.0.0/24 10.200.200.5
ip route 198.19.0.0/19 10.200.200.6

wireless-controller
  peer-address 100.64.0.57
  nas-ip-address 198.18.128.3
  vrrp-group 1
  data-tunnel configuration radius
  aaa das-profile COA
  aaa radius-profile PCRF
  enable
exit
ip telnet server
ip ssh server

ntp enable
ntp server 100.123.0.2
exit

4.2. Настройка BRAS на ESR

...

Детально настройка BRAS описана в документе BRAS. L2 WiFi - руководство по настройке и быстрому запуску, поэтому ниже будет приведена конфигурация с необходимыми пояснениями для новых настроек.

Настраиваем взаимодействие с радиус сервером:

...

title	Alfa

Без форматирования

radius-server retransmit 2
radius-server host 100.123.0.2
  key ascii-text testing123
  timeout 5
  priority 20
  source-address 198.18.128.2
  auth-port 31812
  acct-port 31813
  dead-interval 10
exit
aaa radius-profile PCRF
  radius-server host 100.123.0.2
exit
das-server COA
  key ascii-text testing123
  port 3799
  clients object-group SoftWLC
exit
das-server COA_dpi
  key ascii-text testing123
  port 30799
  clients object-group SoftWLC
exit
aaa das-profile COA
  das-server COA
exit
aaa das-profile COA_dpi
  das-server COA_dpi
exit

...

title	Beta

...

Взаимодействие с RADIUS-сервером и параметры das-server на ESR дефолтном VRF было настроено ранее в разделе 4.1, т.к. оно необходимо взаимодействия с комплексом SoftWLC при построение softGRE дата-туннелей.

Используя данные из таблицы 3.1 настроим das-server для взаимодействия с экземпляром BRAS в VRF dpi. Данная настройка будет одинакова на Alfa и Beta:

Раскрыть

title	Alfa / Beta

Без форматирования
das-server COA_dpi key ascii-text testing123 port 30799 clients object-group SoftWLC exit aaa das-profile COA das-server COA exit aaa das-profile COA_dpi das-server COA_dpi exit

Обратим внимание, что появилась дополнительная настройка das-server, которую в дальнейшем будем использовать для взаимодействия с инстансом BRAS, работающем в VRF dpi. Настройки дял обоих роутеров различаются только source-address.

Настраиваем access-list, которые будут использоваться сервисами BRAS:. Данная настройка идентична на обоих ESR.

Раскрыть

title	Alfa / Beta

Без форматирования

ip access-list extended WELCOME
  rule 1
    action permit
    match protocol tcp
    match destination-port 443
    enable
  exit
  rule 2
    action permit
    match protocol tcp
    match destination-port 8443
    enable
  exit
  rule 3
    action permit
    match protocol tcp
    match destination-port 80
    enable
  exit
  rule 4
    action permit
    match protocol tcp
    match destination-port 8080
    enable
  exit
exit

ip access-list extended INTERNET
  rule 1
    action permit
    enable
  exit
exit

ip access-list extended unauthUSER
  rule 1
    action permit
    match protocol udp
    match source-port 68
    match destination-port 67
    enable
  exit
  rule 2
    action permit
    match protocol udp
    match destination-port 53
    enable
  exit
exit

Данная настройка идентична на обоих ESR.

Далее добавляем необходимые настройки BRAS на интерфейсе клиентов:

Раскрыть

title	Alfa / Beta

Без форматирования

object-group network bras_users
  ip address-range 198.18.192.4-198.18.223.254
  ip address-range 198.19.0.4-198.19.31.254
exit

bridge 10
  service-subscriber-control object-group bras_users
  location data10
exit
bridge 12
  service-subscriber-control object-group bras_users
  location data12
exit

Настройки идентичны на обоих ESR за исключением nas-ip-address и ip proxy source-address. Сначала будет указан адрес Alfa, в () будет указан адрес Beta.

Примечание

title	Важно!

Обратим внимание, что в В настройке BRAS на интерфейсе указывается объект, в котором указаны адреса, которые могут получить клиенты, но исключены адреса ESR, VRRP и широковещательный адрес. Это сделано для обеспечения взаимодействия между интерфейсами ESR и корректной работы VRRP.

Затем выполняем настройку BRAS:. Настройки идентичны на обоих ESR за исключением nas-ip-address и ip proxy source-address. Сначала будет указан адрес Alfa, в () будет указан адрес Beta.

Раскрыть

title	Alfa/Beta конфигурация BRAS

Без форматирования

subscriber-control filters-server-url http://100.123.0.2:7070/filters/file
subscriber-control
  aaa das-profile COA
  aaa sessions-radius-profile PCRF
  aaa services-radius-profile PCRF
  backup traffic-processing transparent
  nas-ip-address 198.18.128.2 (198.18.128.3)
  session mac-authentication
  bypass-traffic-acl unauthUSER
  vrrp-group 1
  default-service
    class-map unauthUSER
    filter-name remote gosuslugi
    filter-action permit
    default-action redirect http://100.123.0.2:8080/eltex_portal/
  exit
  enable
exit

Обратим внимание настройки:

1) vrrp-group 1 - для отслеживания BRAS состояние VRRP ESR.

2) backup traffic-processing transparent - данная настройка позволяет пропускать трафик через интерфейсы, на которых включена BRAS-авторизация в случае, если VRRP ESR находится в состоянии BACKUP. Требуется для корректной работы при прохждении трафика через "перемычку".

4.3. Настройка BRAS в недефолтном VRF

Для работы в недефолтном VRF настраивается дополнительный экземпляр BRAS, для работы в этом VRF командой: "subscriber-control vrf <имя VRF>". В результате на каждом ESR будет настроено два экземпляра BRAS.

Раскрыть

Без форматирования

subscriber-control vrf br12dpi
  aaa das-profile COA_br12dpi
  aaa sessions-radius-profile PCRF
  aaa services-radius-profile PCRF
  backup traffic-processing transparent
  nas-ip-address 198.18.128.2 (198.18.128.3)
  session mac-authentication
  bypass-traffic-acl unauthUSER
  vrrp-group 1
  ip proxy source-address 198.19.0.2 (198.19.0.2)
  default-service
    class-map unauthUSER
    filter-name remote gosuslugi
    filter-action permit
    default-action redirect http://100.123.0.2:8080/eltex_portal/
  exit
  enable
exit

Обратим внимание, что в настройках BRAS мы указываем:

1) vrrp-group 1 - для отслеживания BRAS состояние VRRP ESR.

2) backup traffic-processing transparent - данная настройка позволяет пропускать трафик через интерфейсы, на которых включена BRAS-авторизация в случае, если VRRP ESR находится в состоянии BACKUP. Требуется для корректной работы при прохждении трафика через "перемычку".

3) subscriber-control vrf <имя VRF> - для каждого VRF выполняется настройка отдельного инстанса BRAS.

4) ip proxy source-address <ip-адрес> - при редиректе на портал и при использовании url-фильтрации BRAS выполняет проксирование. Для удобства траблшутинга в настройках инстанса BRAS в VRF используем адрес с бриджа клиентов.

...

настройки экземпляра BRAS в VRF отличаются только использованием другой настройки aaa das-profile - указан профиль, который был настроен для взаимодействия с BRAS в VRF.

Примечание

title	Важно

Т.к. BRAS при редиректе на портал или включении URL-фильтрации проксирует обращение пользователя - то при работе BRAS в VRF в качестве адреса-источника будет использован ближайший по маршруту адрес в рамках VRF, в котором работает BRAS. Для текущей конфигурации, при редиректе на портал, это будет адрес туннеля lt 2, который связывает VRF dpi с дефолтным VRF.

4.3. Настройка изучения option 82

При использовании option 82 для идентификации genericp AP, с которой подключаются пользователи WiFi для каждого экземпляра BRAS выполним настройку данного функционала.

Раскрыть

title	Alfa

Без форматирования
subscriber-control peer-address 100.64.0.58 subscriber-control dhcp-option-82-include enable exit subscriber-control vrf dpi dhcp-option-82-include enable exit

Раскрыть

title	Beta

Без форматирования
subscriber-control peer-address 100.64.0.57 subscriber-control dhcp-option-82-include enable exit subscriber-control vrf dpi dhcp-option-82-include enable exit

Параметры настройки изучения option 82:

subscriber-control peer-address <IP-адрес> - адрес соседнего роутера, с которым будет выполняться синхронизация изученных option 82
dhcp-option-82-include enable - включает изучение option 82 из DHCP-пакетов пользователей WiFi
dhcp-option-82-include lease-time - время хранения изученной option 82 в секундах, диапазон значений 60-86400, значение по умолчанию 3600. Данный параметр должен совпадать с настройками времени аренды адреса на DHCP-сервере.
dhcp-option-82-include accept-time - время хранения неподтвержденной option 82 в секундах, диапазон значений 10-3600, значение по умолчанию 60. Опция считается неподтвержденной, если не получен DHCP-ack в ходе получения адреса пользователем.
dhcp-option-82-include size - размер таблицы изученной option 82, по умолчанию значени равно максимальному количеству сессий BRAS, которые можно поднять на данном типе ESR, максимальное значение - удвоенному значению макисмального количества сессий BRAS, которые можно поднять на данном типе ESR.

4.4. Настройка файрвол на ESR

При использовании нескольких VRF на ESR, каждый VRF c т. з. настройки файрвола рассматривается как отдельное устройство. Это требует, что бы для каждой security-zone был указана VRF, к которой она принадлежит. Использование в правилах файрвол связки зон из разных VRF не допускается. Настройки object-group не привязываются к VRF и могут использоваться в настройках файрвола для любого VRF. Настройки файрвола идентичны для ESR Alfa/Beta. Могут различаться только object-group.Ранее в конфигурации уже были созданы security-zone., за исключением адресов BGP-соседей.

Зоны безопасности (security-zone) уже ранее были созданы в конфигурации:

Раскрыть

title	Alfa/Beta security zone

Без форматирования

security zone trusted
exit
security zone untrusted
exit
security zone gre
exit
security zone sidelink
exit
security zone user
exit
security zone trusted_dpi
ip vrf forwarding dpi
exit
security zone untrusted_dp
ip vrf forwarding dpi
exit
security zone sidelink_dpi
ip vrf forwarding dpi
exit
security zone user_dpi
ip vrf forwarding dpi
exit

...

Drawio

border	true
viewerToolbar	true

fitWindow	false
diagramName	esr-client-scheme
simpleViewer	false
width
diagramWidth	572
revision	23

Рис. 5.5.1.

ESR поставляется с предустановленной при выпуске factory конфигурацией, но для . Для построения GRE-туннелей требуется выполнить конфигурирование устройства. Выполнять конфигурирование предварительно при подключении каждого нового клиента является трудоемкой задачей. Поэтому предполагается сформировать универсальную конфигурацию, выложить разместить её на tftp-сервер и с помощью DHCP выдать информацию для её загрузки при получении первичного адреса при подключении ESR client. Это позволит автоматически накатывать загрузить и применить нужную конфигурацию на ESR client при подключении и при необходимости легко внести в нее изменения и распространить на все ESR client.

5.2. Описание конфигурации

Выделяем подсеть первчиных адресов для ESR-client 192.168.250.0/24. Можно использовать разные подсети для разных групп ESR-client. Она должна быть проанонсирована на ESR BRAS L3 Alfa / Beta через стык с VRF AP.

Далее приведена конфигурация ESR client на примере ESR-10 версия ПО не ниже 1.11.0:

Раскрыть

title	ESR-10 config file

Без форматирования

#!/usr/bin/clish
#18
hostname ESR-10GRE

object-group service telnet
  port-range 23
exit
object-group service ssh
  port-range 22
exit
object-group service dhcp_server
  port-range 67
exit
object-group service dhcp_client
  port-range 68
exit
object-group service ntp
  port-range 123
exit

object-group network MNG
  ip prefix 100.123.0.0/24
  ip prefix 192.168.200.48/28
  ip prefix 192.168.250.0/24
exit

vlan 2,10-11
exit

security zone trusted
exit
security zone GRE
exit

bridge 1
  description "Tunnel-IP"
  vlan 2
  security-zone GRE
  ip address dhcp
  ip dhcp client ignore router
  enable
exit
bridge 2
  description "userDATA"
  enable
exit
bridge 3
  description "mgmt_ESR10"
  security-zone trusted
  ip address dhcp
  enable
exit

interface gigabitethernet 1/0/1
  mode switchport
  switchport access vlan 2
exit
interface gigabitethernet 1/0/2
  mode switchport
  switchport mode trunk
  bridge-group 2
exit
interface gigabitethernet 1/0/3
  mode switchport
  switchport access vlan 10
  bridge-group 2 tagged
exit
interface gigabitethernet 1/0/4
  mode switchport
  switchport access vlan 11
  bridge-group 2 tagged
exit
interface gigabitethernet 1/0/5
  mode switchport
  switchport mode trunk
  bridge-group 2
exit
interface gigabitethernet 1/0/6
  mode switchport
  switchport access vlan 2
exit

tunnel gre 1
  mtu 1462
  keepalive dst-address 10.255.252.1
  keepalive dhcp dependent-interface bridge 1
  keepalive dhcp dependent-interface bridge 3
  keepalive enable
  mode ethernet
  local interface bridge 1
  remote address 192.168.200.49
  enable
exit
tunnel gre 1.1
  bridge-group 3
  mtu 1458
  snmp init-trap
  enable
exit
tunnel gre 2
  mtu 1462
  mode ethernet
  local interface bridge 1
  bridge-group 2
  remote address 192.168.200.50
  enable
exit

snmp-server
snmp-server system-shutdown
snmp-server community "private1" rw 
snmp-server community "public11" ro 

snmp-server host 100.123.0.2
  source-interface bridge 3
exit

snmp-server enable traps config
snmp-server enable traps config commit
snmp-server enable traps config confirm
snmp-server enable traps environment
snmp-server enable traps environment memory-flash-critical-low
snmp-server enable traps environment memory-flash-low
snmp-server enable traps environment memory-ram-critical-low
snmp-server enable traps environment memory-ram-low
snmp-server enable traps environment cpu-load
snmp-server enable traps environment cpu-critical-temp
snmp-server enable traps environment cpu-overheat-temp
snmp-server enable traps environment cpu-supercooling-temp
snmp-server enable traps file-operations
snmp-server enable traps file-operations successful
snmp-server enable traps file-operations failed
snmp-server enable traps file-operations canceled
snmp-server enable traps interfaces
snmp-server enable traps interfaces rx-utilization-high
snmp-server enable traps interfaces tx-utilization-high
snmp-server enable traps interfaces number-high
snmp-server enable traps screen
snmp-server enable traps screen dest-limit
snmp-server enable traps screen source-limit
snmp-server enable traps screen icmp-threshold
snmp-server enable traps screen udp-threshold
snmp-server enable traps screen syn-flood
snmp-server enable traps screen land
snmp-server enable traps screen winnuke
snmp-server enable traps screen icmp-frag
snmp-server enable traps screen udp-frag
snmp-server enable traps screen icmp-large
snmp-server enable traps screen syn-frag
snmp-server enable traps screen unknown-proto
snmp-server enable traps screen ip-frag
snmp-server enable traps screen port-scan
snmp-server enable traps screen ip-sweep
snmp-server enable traps screen syn-fin
snmp-server enable traps screen fin-no-ack
snmp-server enable traps screen no-flag
snmp-server enable traps screen spoofing
snmp-server enable traps screen reserved
snmp-server enable traps screen quench
snmp-server enable traps screen echo-request
snmp-server enable traps screen time-exceeded
snmp-server enable traps screen unreachable
snmp-server enable traps screen tcp-all-flags
snmp-server enable traps entity
snmp-server enable traps entity config-change
snmp-server enable traps entity-sensor
snmp-server enable traps entity-sensor threshold
snmp-server enable traps envmon temperature
snmp-server enable traps flash
snmp-server enable traps flash insertion
snmp-server enable traps flash removal
snmp-server enable traps snmp
snmp-server enable traps snmp authentication
snmp-server enable traps snmp coldstart
snmp-server enable traps snmp linkdown
snmp-server enable traps snmp linkup
snmp-server enable traps syslog

security zone-pair trusted self
  rule 10
    action permit
    match source-address MNG
    enable
  exit
exit
security zone-pair GRE self
  rule 10
    action permit
    match source-address MNG
    enable
  exit
exit

security passwords history 0

ip telnet server
ip ssh server

ntp enable
ntp server 100.123.0.2
exit

...

Как видно из приведенной настройки, файл ESR10conf-1.11.txt с конфигурацией ESR должен быть расположен на сервере tftp 192.168.250.2.

Конфигурация может различаться в части адресов object-group, для разных подсетей первичных адресов, т.к. подключение ESR client может выполняться к различным ESR BRAS L3.

6. Настройка взаимодействия с SoftWLC

...

Дерево страниц

Сравнение версий

Старая версия 31

Новая версия 32

Ключ

4.2. Настройка BRAS на ESR

4.3. Настройка BRAS в недефолтном VRF

4.3. Настройка изучения option 82

4.4. Настройка файрвол на ESR

5.2. Описание конфигурации

6. Настройка взаимодействия с SoftWLC

Дерево страниц

История страницы

Сравнение версий

Старая версия 31

Новая версия 32

Ключ

4.2. Настройка BRAS на ESR

4.3. Настройка BRAS в недефолтном VRF

4.3. Настройка изучения option 82

4.4. Настройка файрвол на ESR

5.2. Описание конфигурации

6. Настройка взаимодействия с SoftWLC