форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Архивированная нить - только для чтения!  Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[Проследить за развитием треда]

"Проброс траффика через IPSec tunnel в интернет и обратно. "
Сообщение от ivv (ok) on 27-Май-04, 17:30  (MSK)
Возник у меня такой вопрос: Настроил IPSec tunnel между двумя подсетями через инет.Схема примерно как здесь http://noc.tomsk.ru/tmp/router.png. В качестве R1 используется SOHO 97 (IOS 12.3),за ним сетка 10.1.5.0/24. В качестве R5 стоит PIX 515E (ver.6.1).R2R3R4 - это интернет. За пиксом R5 есть есть несколько локальных сетей 10.1.x.x На пиксе помимо прочего поднят НАТ в инет. Есть еще один роутер в инет (скажем R6) - через него тоже могут ходить  в инет сети 10.1.х.х. За пиксом стоит стоит еще одна циска (скажем R7) ,к которой подключена сеть 10.1.1.0/24. Есть некий адрес в инете 1.2.3.4,на который должны достучаться машины из сети 10.1.5.0 (за R1). IPSec я настроил для адресов 10.1.5.0/24 - 10.1.1.0/24 и 10.1.5.0/24 - 1.2.3.4. между R1-R5. Вот на SOHO (R1) crypto map to-office 20 ipsec-isakmp description VPN to ofice set peer real-ip-pix (r5) set security-association lifetime seconds 21600 set transform-set to-office match address 101 access-list 101 permit ip 10.1.5.0 0.0.0.255 host 1.2.3.4 access-list 101 permit ip 10.1.5.0 0.0.0.255 10.1.1.0 0.0.0.255 access-list 150 deny   ip 10.1.5.0 0.0.0.255 10.1.1.0 0.0.0.255 access-list 150 deny   ip 10.1.5.0 0.0.0.255 host 1.2.3.4 interface BVI1 ip address real-ip-soho(r1) 255.255.255.252 ip nat outside crypto map to-office ip nat inside source list 150 interface BVI1 overload IPSec туннел поднимается нормально. я могу достучаться до хостов в сети 10.1.1.0 из сети 10.1.5.0  и наоборот. Но из сети 10.1.5.0 не получаю доступа к внешнему инетовскому адресу 1.2.3.4. Мне требуется пробросить траффик из 10.1.5.0 к 1.2.3.4 через IPSec туннель,занатить его на пиксе R5 или роутере R6  (требуется,чтобы пакеты на адрес 1.2.3.4 пришли под инетовским адресом R5 или R6). Кто что мне может посоветовать?
	Рекомендовать в FAQ | Cообщить модератору | Наверх

Индекс форумов | Темы | Пред. тема | След. тема

Сообщения по теме

1. "Проброс траффика через IPSec tunnel в интернет и обратно. "
Сообщение от Corhaid (??) on 28-Май-04, 10:10  (MSK)
>Мне требуется пробросить траффик из 10.1.5.0 к 1.2.3.4 через IPSec туннель,занатить его >на пиксе R5 или роутере R6  (требуется,чтобы пакеты на адрес >1.2.3.4 пришли под инетовским адресом R5 или R6). > >Кто что мне может посоветовать? Построить GRE туннель между R1 и R2 и зашифровать его.
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	2. "Проброс траффика через IPSec tunnel в интернет и обратно. "
	Сообщение от ivv (ok) on 28-Май-04, 11:24  (MSK)
	> >>Мне требуется пробросить траффик из 10.1.5.0 к 1.2.3.4 через IPSec туннель,занатить его >>на пиксе R5 или роутере R6  (требуется,чтобы пакеты на адрес >>1.2.3.4 пришли под инетовским адресом R5 или R6). >> >>Кто что мне может посоветовать? > >Построить GRE туннель между R1 и R2 и зашифровать его. GRE over IPSec? Я про него думал уже. Но есть сомнения - (насколько я слышал)некоторые несознательные провы(не мои) режут GRE-протокол (по дурости или еще как), а пакетики бегут по довольно длинному пути.
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	3. "Проброс траффика через IPSec tunnel в интернет и обратно. "
	Сообщение от Corhaid (??) on 29-Май-04, 07:49  (MSK)
	>> >>>Мне требуется пробросить траффик из 10.1.5.0 к 1.2.3.4 через IPSec туннель,занатить его >>>на пиксе R5 или роутере R6  (требуется,чтобы пакеты на адрес >>>1.2.3.4 пришли под инетовским адресом R5 или R6). >>> >>>Кто что мне может посоветовать? >> >>Построить GRE туннель между R1 и R2 и зашифровать его. > >GRE over IPSec? >Я про него думал уже. Но есть сомнения - (насколько я слышал)некоторые >несознательные провы(не мои) режут GRE-протокол (по дурости или еще как), а >пакетики бегут по довольно длинному пути. Если я ничего не путаю, то GRE траффик будет инкапсулирован в IPSec и заголовок пакета будет уже не GRE а ESP.
		Рекомендовать в FAQ | Cообщить модератору | Наверх

Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.