Управление удаленным доступом

1

Создать профиль PPTP-сервера.

esr(config)# remote-access pptp <NAME>

<NAME> – имя профиля PPTP-сервера, задаётся строкой до 31 символа.

2

Указать описание конфигурируемого сервера (не обязательно).

esr(config-pptp-server)# description <DESCRIPTION>

<DESCRIPTION> – описание PPTP-сервера, задаётся строкой до 255 символов.

3

Указать IP-адрес, который должен обрабатывать PPTP-сервер.

esr(config-pptp-server)# outside-address 
 { object-group  <OBJ-GROUP-NETWORK-NAME> |
 ip-address <ADDR> | interface { <IF> | <TUN> } }

<OBJ-GROUP-NETWORK-NAME> – имя профиля содержащего IP-адрес, который должен слушать PPTP-сервер, задаётся строкой до 31 символа;

<ADDR> – начальный IP-адрес диапазона, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<IF> – тип и идентификатор интерфейса маршрутизатора;

<TUN> – тип и номер туннеля маршрутизатора.

4

Указать IP-адрес локального шлюза.

esr(config-pptp-server)# local-address
 { object-group <OBJ-GROUP-NETWORK-NAME > |
 ip-address <ADDR> }

<OBJ-GROUP-NETWORK-NAME> – имя профиля IP-адресов, который содержит IP-адрес локального шлюза, задаётся строкой до 31 символа;

<ADDR> – начальный IP-адрес диапазона, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

5

Указать список IP-адресов, из которого PPTP выдаются динамические IP-адреса удаленным пользователям.

esr(config-pptp-server)# remote-address
 { object-group <OBJ-GROUP-NETWORK-NAME > |
 address-range <FROM-ADDR>-<TO-ADDR> }

<OBJ-GROUP-NETWORK-NAME> – имя профиля IP-адресов, который содержит список IP-адресов удаленных пользователей, задаётся строкой до 31 символа;

<FROM-ADDR> – начальный IP-адрес диапазона, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<TO-ADDR> – конечный IP-адрес диапазона, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

6

Выбрать режим аутентификации PPTP-клиентов.

esr(config-pptp-server)# authentication mode
 { local | radius }

• local – аутентификация пользователя по локальной базе.
• radius – аутентификация пользователя по базе RADIUS-сервера. На маршрутизаторе должен быть сконфигурирован механизм взаимодействия с RADIUS-сервером см. раздел Алгоритм настройки AAA по протоколу RADIUS

esr(config-pptp-server)# authentication method <METHOD>

<METHOD> - метод аутентификации, принимает значения [chap, mschap, mschap-v2, eap, pap].

По умолчанию разрешен только chap

8

Указать имя пользователя (при использовании локальной аутентификации пользователей).

esr(config-pptp-server) username < NAME >

<NAME> – имя пользователя, задаётся строкой до 12 символов.

9

Указать пароль пользователя(при использовании локальной аутентификации пользователей).

esr(config-pptp-user) password ascii-text
 { <PASSWORD> | encrypted <PASSWORD> }

<PASSWORD> – пароль пользователя, задается строкой до 32 символов.

10

Активировать пользователя(при использовании локальной аутентификации пользователей).

esr(config-pptp-user) enable

11

Включить PPTP-сервер в зону безопасности и настроить правила взаимодействия между зонами или отключить firewall (см. раздел Конфигурирование Firewall).

esr(config-pptp-server)# security-zone <NAME>

<NAME> – имя зоны безопасности, задаётся строкой до 31 символа.

esr(config-pptp-server)# enable

13

Указать DSCP-приоритет исходящих пакетов (не обязательно).

esr(config-pptp-server)# dscp <DSCP>

<DSCP>– dscp приоритет исходящих пакетов [0..63].

14

Включить шифрование MPPE для PPTP-соединений (не обязательно).

esr(config-pptp-server)# encryption mppe

15

Указать размер MTU (MaximumTransmitionUnit) для сервера (не обязательно).
MTU более 1500 будет активно только в случае применения команды "system jumbo-frames"

esr(config-pptp-server) mtu <MTU>

<MTU> – значение MTU, принимает значения в диапазоне [1280..1500].

Значение по умолчанию: 1500.

16

Указать список DNS-серверов, которые будут использовать удаленные пользователи (не обязательно).

esr(config-pptp-server)# dns-servers
 object-group <OBJ-GROUP-NETWORK -NAME >

<OBJ-GROUP-NETWORK-NAME> – имя профиля IP-адресов, содержащего, который содержит адреса необходимых DNS-серверов, задаётся строкой до 31 символа.

17

Указать список WINS-серверов, которые будут использовать удаленные пользователи (не обязательно).

esr(config-pptp-server)# wins-servers object-group
 <OBJ-GROUP-NETWORK -NAME >

<OBJ-GROUP-NETWORK-NAME> – имя профиля IP-адресов, который содержит адреса необходимых WINS-серверов, задаётся строкой до 31 символа.

1

Создать профиль L2TP-сервера.

esr(config)# remote-access l2tp <NAME>

<NAME> – имя профиля L2TP-сервера, задаётся строкой до 31 символа.

2

Указать описание конфигурируемого сервера (не обязательно).

esr(config-l2tp-server)# description <DESCRIPTION>

<DESCRIPTION> – описание L2TP-сервера, задаётся строкой до 255 символов.

3

Указать IP-адрес, который должен слушать L2TP-сервер.

esr(config-l2tp-server)# outside-address 
 { object-group <NAME> | ip-address <ADDR> |
 interface { <IF> | <TUN> } }

<OBJ-GROUP-NETWORK-NAME> – имя профиля содержащего IP-адрес, который должен слушать L2TP-сервер, задаётся строкой до 31 символа;

<ADDR> – начальный IP-адрес диапазона, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<IF> – тип и идентификатор интерфейса маршрутизатора;

<TUN> – тип и номер туннеля маршрутизатора.

4

Указать IP-адрес локального шлюза либо отключить firewall для PPTP-сервера

esr(config-l2tp-server)# local-address { object-group
 <OBJ-GROUP-NETWORK -NAME> | ip-address <ADDR> }

<OBJ-GROUP-NETWORK-NAME> – имя профиля IP-адресов, который содержит IP-адрес локального шлюза, задаётся строкой до 31 символа;

<ADDR> – начальный IP-адрес диапазона, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

5

Указать список IP-адресов из которого L2TP выдаются динамические IP-адреса удаленным пользователям.

esr(config-l2tp-server)# remote-address
 { object-group <OBJ-GROUP-NETWORK -NAME > |
 address-range <FROM-ADDR>-<TO-ADDR> }

<OBJ-GROUP-NETWORK-NAME> – имя профиля IP-адресов, который содержит список IP-адресов удаленных пользователей, задаётся строкой до 31 символа;

<FROM-ADDR> – начальный IP-адрес диапазона, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<TO-ADDR> – конечный IP-адрес диапазона, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

6

Выбрать режим аутентификации L2TP-клиентов.

esr(config-l2tp-server)# authentication mode
 { local | radius }

• local – аутентификация пользователя по локальной базе.
• radius – аутентификация пользователя по базе RADIUS-сервера. На маршрутизаторе должен быть сконфигурирован механизм взаимодействия с RADIUS-сервером см. раздел Алгоритм настройки AAA по протоколу RADIUS

esr(config-l2tp-server)# authentication method <METHOD>

<METHOD> - метод аутентификации, принимает значения [chap, mschap, mschap-v2, eap, pap].

По умолчанию разрешен только chap.

8

Включить L2TP-сервер в зону безопасности и настроить правила взаимодействия между зонами (см. раздел Конфигурирование Firewall).

esr(config-l2tp-server)# security-zone <NAME>

<NAME> – имя зоны безопасности, задаётся строкой до 31 символа.

9

Указать имя пользователя (при использовании локальной базы аутентификации).

esr(config-l2tp-server) username < NAME >

<NAME> – имя пользователя, задаётся строкой до 12 символов.

10

Указать пароль пользователя (при использовании локальной базы аутентификации).

esr(config-l2tp-user) password ascii-text
 { <PASSWORD> | encrypted <PASSWORD> }

<PASSWORD> – пароль пользователя, задается строкой до 32 символов.

11

Включить пользователя (при использовании локальной базы аутентификации).

esr(config-l2tp-user) enable

12

Выбрать метод аутентификации по ключу для IKE-соединения ().

esr(config-l2tp-server)# ipsec authentication method pre-shared-key

13

Указать общий секретный ключ для аутентификации, который должен совпадать у обоих сторон, устанавливающих туннель.

esr(config-l2tp-server)# ipsec authentication pre-shared-key
 { ascii-text { <TEXT> | encrypted <ENCRYPTED-TEXT> } |
 hexadecimal {<HEX> | encrypted <ENCRYPTED-HEX> } }

<TEXT> – строка [1..64] ASCII символов;

<HEX> – число размером [1..32] байт задаётся строкой [2..128] символов в шестнадцатеричном формате (0xYYYY...) или (YYYY...).

<ENCRYPTED-TEXT> – зашифрованный пароль размером [1..32] байт, задаётся строкой [2..128] символов;

<ENCRYPTED-HEX> – зашифрованное число размером [2..64] байт, задаётся строкой [2..256] символов.

14

Включить сервер.

esr(config-l2tp-server)# enable

15

Указать DSCP приоритет исходящих пакетов.

esr(config-l2tp-server)# dscp <DSCP>

<DSCP> – dscp приоритет исходящих пакетов [0..63].

16

Указать размер MTU (MaximumTransmitionUnit) для сервера (не обязательно).
MTU более 1500 будет активно только в случае применения команды "system jumbo-frames"

esr(config-l2tp-server) mtu <MTU>

<MTU> – значение MTU, принимает значения в диапазоне [1280..1500].

Значение по умолчанию: 1500.

17

Указать список DNS-серверов, которые будут использовать удаленные пользователи (не обязательно).

esr(config-l2tp-server)# dns-servers object-group
 <OBJ-GROUP-NETWORK -NAME >

<OBJ-GROUP-NETWORK-NAME> – имя профиля IP-адресов, содержащего, который содержит адреса необходимых DNS-серверов, задаётся строкой до 31 символа.

18

Указать список WINS-серверов, которые будут использовать удаленные пользователи (не обязательно).

esr(config-l2tp-server)# wins-servers
 object-group <OBJ-GROUP-NETWORK -NAME >

<OBJ-GROUP-NETWORK-NAME> – имя профиля IP-адресов, который содержит адреса необходимых WINS-серверов, задаётся строкой до 31 символа.

1

Создать PPTP-туннель и перейти в режим его конфигурирования.

esr(config)# tunnel pptp <INDEX>

<INDEX> – идентификатор туннеля в диапазоне: [1..10].

2

Указать описание конфигурируемого туннеля (не обязательно).

esr(config-pptp)# description <DESCRIPTION>

<DESCRIPTION> – описание туннеля, задается строкой до 255 символов.

3

Указать экземпляр VRF, в котором будет работать данный PPTP-туннель (не обязательно).

esr(config-pptp)# ip vrf forwarding <VRF>

<VRF> – имя VRF, задается строкой до 31 символа.

4

Включить PPTP-туннель в зону безопасности и настроить правила взаимодействия между зонами или отключить firewall (см. раздел Конфигурирование Firewall).

esr(config-pptp)# security-zone <NAME>

<NAME> – имя зоны безопасности, задаётся строкой до 31 символа.

esr(config-pptp)# ip firewall disable

5

Установить удаленный IP-адрес для установки туннеля.

esr(config-pptp)# remote address <ADDR>

<ADDR> – IP-адрес локального шлюза, задается в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

6

Установить размер MTU (MaximumTransmitionUnit) для туннеля (не обязательно)

esr(config-pptp)# mtu <MTU>

<MTU> – значение MTU, принимает значения в диапазоне:

• для ESR-10/12V(F)/14VF – [552..9600];
• для ESR-20/21 – [552..9500];
• для ESR-100/200/1000/1200/1500/1700 [552..10000].

Значение по умолчанию: 1500.

7

Указать пользователя и установить пароль в открытой или зашифрованной форме для аутентификации удаленной стороны.

esr(config-pptp)# username <NAME> password ascii-text
 { <WORD> | encrypted <HEX> }

<NAME> – имя пользователя, задается строкой до 31 символа.

<WORD> – пароль в открытой форме, задается строкой [8..64] символов, может включать символы [0-9a-fA-F].

<HEX> – пароль в зашифрованной форме, задается строкой [16..128] символов.

8

Активировать туннель

esr(config-pptp)# enable

esr(config-pptp)# ip tcp adjust-mss <MSS>

<MSS> – значение MSS, принимает значения в диапазоне [500..1460].
Значение по умолчанию: 1460

10

Игнорировать маршрут по умолчанию через данный PPTP-туннель (не обязательно)

esr(config-pptp)# ignore-default-route

11

Задать интервал времени, за который усредняется статистика о нагрузке на туннель (не обязательно).

esr(config-pptp)# load-average <TIME>

<TIME> – интервал в секундах, принимает значения [5..150]

Значение по умолчанию: 5

12

Указать метод аутентификации (не обязательно).

esr(config-pptp)# authentication method <METHOD>

<METHOD> – метод аутентификации, возможные значения: chap, mschap, mschap-v2, eap, pap
Значение по умолчанию: chap

esr(config-pptp)# history statistics

esr(config-pptp)# ppp timeout keepalive <TIME >

<TIME> – время в секундах, задается в диапазоне [1..32767].
Значение по умолчанию: 10

esr(config-pptp)# ppp failure-count <NUM>

<NUM> – количество неудачных data-link тестов, задается в диапазоне [1..100].
Значение по умолчанию: 10