» Настройка Cisco оборудования

Lord_NIKON

Цитата:

К офису помимо этого необходимо еще коннектиться по cisco vpn client,

Ну, это целая наука! Кстати, почему по cisco vpn client? Почему не по cisco AnyConnect? И почему вообще не по L2TP/IPSec? Настраивается проще всего, у виндозы клиент уже встроенный.

alespopov сейчас попробую достать


vlary по сути что угодно можно... главное, чтобы работало)))

Lord_NIKON
Цитата:

по сути что угодно можно... главное, чтобы работало)))

Вот рабочий конфиг:

Код: aaa authentication login default local
aaa authentication ppp L2TP local
aaa authorization network L2TP local
!
aaa session-id common

vpdn enable
!
vpdn-group L2TP
! Default L2TP VPDN group
accept-dialin
protocol l2tp
virtual-template 1
no l2tp tunnel authentication
!
username user1 password 0 pass1
........
username user10 password 0 pass10

crypto isakmp policy 1
encr 3des
authentication pre-share
group 2
lifetime 3600
crypto isakmp key Lw19bVm51c95Vm address 0.0.0.0 0.0.0.0
crypto isakmp keepalive 3600

!
crypto ipsec transform-set TS1 esp-3des esp-sha-hmac
mode transport
!
crypto dynamic-map L2TP_MAP 10
set nat demux
set transform-set TS1
!
!
crypto map CRYP_MAP 6000 ipsec-isakmp dynamic L2TP_MAP
!

interface Ethernet1/0
desc WAN interface
ip address 1.1.1.1 255.255.255.0
crypto map CRYP_MAP

interface Ethernet1/1
desc LAN interface
ip address 10.10.1.1 255.255.255.0

interface Virtual-Template1
ip unnumbered Vlan10
ip mtu 1460
ip virtual-reassembly
ip tcp adjust-mss 1420
peer default ip address pool l2tppool
ppp mtu adaptive
ppp authentication ms-chap-v2 L2TP
ppp authorization L2TP
ppp ipcp dns 10.10.1.1 10.10.1.5

ip local pool l2tppool 10.10.1.244 10.10.1.254

Есть cisco 880

interface FastEthernet0
no ip address
!
interface FastEthernet1
no ip address
!
interface FastEthernet2
no ip address
shutdown
!
interface FastEthernet3
no ip address
shutdown

interface FastEthernet4
description LAN
ip address 10.10.10.193 255.255.255.0
no ip redirects
no ip unreachables
no ip proxy-arp
duplex auto
speed auto
!
interface Vlan1
description WAN
ip address 10.11.11.65 255.255.255.0
no ip redirects
no ip unreachables
no ip proxy-arp


C сети 10.10.10.0 не пингуется ничего за сетью 10.11.11.0
В обратную сторону с сети 10.11.11.0 все пингуется

На 870-й cisco при той же конфигурации все пингуется в обе стороны

Elric72 А к какому интерфейсу привязан Vlan1?

Elric72
Если все остальное правильно, попробуйте просто написать ip routing, лет 10 назад это были достаточно распространенные грабли.

vlary Если не путаю то дефотом в ней к Fa0-Fa3

Elric72
А пингующий из сети 10.10.10.0/24 знает что для сети 10.11.11.0/24 нужно направлять на 10.10.10.193 ?
Трейсроут от него посмотрите. Ну и потом, так-то Fa4 это WAN а Vlan1 это LAN

Цитата:

А к какому интерфейсу привязан Vlan1?

он на всех
interface FastEthernet0-3

Цитата:

попробуйте просто написать ip routing

Роутинг что на что ?
Все сети эти сети есть на интерфейсах сиско

Я с адреса самого интерфеса сиски 10.10.10.193 не могу ничего пропиговать в сети другого интерфейса 10.11.11.0
Ни каких ассеслистов и команд no ip route в конфигурации нет

Цитата:

Ну и потом, так-то Fa4 это WAN а Vlan1 это LAN

Ну и по какой концепции такой трафик запрещен ? Это же на ASA с приоритетами интерфейсов ?
Мне надо за fa4 подключить удаленное подразделение и чтобы его сеть увидели в центре.
Повторюсь на 870 все без проблем пингуется
А рисовать что-то типа такого очень не хочется
vlan 2
interface FastEthernet3
switchport access vlan 2
interface Vlan2
ip address 10.11.11.193 255.255.255.0
Да еще получать минус порт fa4

интересно, а no ip redirects не относиться к роутингу ?

Добавлено:

Цитата:

C сети 10.10.10.0 не пингуется ничего за сетью 10.11.11.0
В обратную сторону с сети 10.11.11.0 все пингуется

и опять же вопрос, а какая сеть за сетью 10.11.11.0. И там может быть банально поднят нат.

Добавлено:
и где дефаулт, а если его нет - то циска других сетей кроме сетей 10.10.10.0/24 и 10.11.11.0/24 других не может знать в принципе, поэтому фиг его знает что там у тебя и где пингуется.

С такими раскладами даже не удивлюсь наличию двух сеток одинаковых.

Elric72

Цитата:

А рисовать что-то типа такого очень не хочется

Не очень все-же понятно чего Вы хотите сделать собственно. Возложить функции коммутатора на маршрутизатор ? Или что ?

Цитата:

Мне надо за fa4 подключить удаленное подразделение и чтобы его сеть увидели в центре.

Она вообще с/через интернет(ом) будет работать, или просто нужно две сетки соединить маршрутом ? И при чем тут вообще Vlan2 ?

Различие между Fa3 и Fa4 можно увидеть выполнив:

Код: sh run all

Цитата:

Она вообще с/через интернет(ом) будет работать, или просто нужно две сетки соединить маршрутом ?

нет никаго интернета !
просто подключаю удаленное подразделение в другом городе

В порты fa0 и fa1 подключены модемы их я пингую только с vlan1 из fa4 нет

фигню говоришь. Начинать придется с теории, рекомендую:

Амато Вито - Основы организации сетей Cisco - Том №1,2 - 2004
Основы организации сетей Cisco - Том №1
Основы организации сетей Cisco - Том №2

приношу извинения, ошибся веткой.

aamen
Цитата:

на циске аса 5540 под иос 9.0 подняли clientless webvpn

Немножко ошибся адресом. Это в другой ветке: Настройка Cisco PIX Firewall / ASA

Проблема со скоростью при подключении Windows клентов pptp серверу на cisco.
В наличии Cisco 3925e (C3900e-UNIVERSALK9_NPE-M). На ней поднят pptp. К ней подключается клиенты:
1. Windows XP (ноутбук) с реальным IP адресом в той же подсети (физически в соседнем порту свича). Ширина канала по данным Iperf.exe - 91мбит.
2. Подключаю этого же клиента (ноутбук) с реального адреса 2-го провайдера. Ширина канала 0.9 - 2 мбит (среднее значение) при заявленной ширине 12 мбит.
3. Подключается клиент Unix из филиала в Белоруссии - 28 мбит (ну тут ограничение канала на их стороне).
4. Подключаюсь из дома (WinXP, провайдер тот же что и на порту Cisco, заявленная ширина канала дома 100 мбит, по спидомеру в браузере показывает до 80 мбит на вх, 50 на отдачу) - ширина vpn - 2-3 мбит. В чем мои грабли по настройке?

Вырезки из конфига

aaa new-model
!
!
aaa authentication ppp default local
aaa authorization network default local
!
aaa attribute list vpn_1
attribute type addr 172.16.7.152 service ppp protocol ip
!
aaa attribute list vpn_2
attribute type addr 172.16.7.154 service ppp protocol ip
!
aaa attribute list vpn_l3
attribute type addr 172.16.7.156 service ppp protocol ip
vpdn enable
!
vpdn-group 1
! Default PPTP VPDN group
accept-dialin
protocol pptp
virtual-template 1
!
interface GigabitEthernet0/0
description WAN
ip address ххх.ххх.ххх.83 255.255.255.248
ip dns view-group default-list
ip nat outside
ip virtual-reassembly in
duplex auto
speed auto
no cdp enable
no mop enabled
interface GigabitEthernet0/1
description NET172
ip address 172.16.4.1 255.255.252.0
ip nat inside
ip virtual-reassembly in
duplex auto
speed auto

interface Virtual-Template1
description ===================PPTP Interface=====================
ip unnumbered GigabitEthernet0/0
ip mtu 1400
peer default ip address pool testvpn
no keepalive
ppp authentication ms-chap ms-chap-v2
!
ip local pool testvpn 172.16.7.152 172.16.7.157 recycle delay 100

MTU убирал, потом поставил 1400. Результат одинаков. В винде правку реестра делал по настройке MTU на аналогичное значение - не помогло. Буду благодарен за рекомендации.

beda65
для начала снимите выставленные ip mtu
и сделайте cle ip tra
затем после нескольких pptp-клаентов:
show ip tra | i fragm|reass|unreach
в студию

Спасибо за ответ, результаты привожу
cisco3925e(config)#int virtual-template1
cisco3925e(config-if)#no ip mtu 1400
cisco3925e(config-if)#^Z
cisco3925e#wr t
interface Virtual-Template1
description ===================PPTP Interface=====================
ip unnumbered GigabitEthernet0/0
peer default ip address pool testvpn
no keepalive
ppp authentication ms-chap ms-chap-v2
ppp ipcp dns 172.16.4.225 172.16.4.217
ppp ipcp wins 172.16.4.217 172.16.4.225
вывод по клиентам в нумерации моего изначального поста
1. cisco3925e#show ip tra | i fragm|reass|unreach
Frags: 144983 reassembled, 0 timeouts, 0 couldn't reassemble
0 fragmented, 0 fragments, 0 couldn't fragment
Rcvd: 0 format errors, 0 checksum errors, 0 redirects, 28 unreachable
Sent: 110 redirects, 313 unreachable, 30 echo, 255 echo reply
2.cisco3925e#show ip tra | i fragm|reass|unreach
Frags: 144983 reassembled, 0 timeouts, 0 couldn't reassemble
0 fragmented, 0 fragments, 0 couldn't fragment
Rcvd: 0 format errors, 0 checksum errors, 0 redirects, 28 unreachable
Sent: 110 redirects, 314 unreachable, 30 echo, 255 echo reply
3.cisco3925e#show ip tra | i fragm|reass|unreach
Frags: 144983 reassembled, 0 timeouts, 0 couldn't reassemble
0 fragmented, 0 fragments, 0 couldn't fragment
Rcvd: 0 format errors, 0 checksum errors, 0 redirects, 28 unreachable
Sent: 110 redirects, 314 unreachable, 30 echo, 255 echo reply

п. 4 проверить не могуиз дома - только вечером .

и вот только что после совместного Iperf на клиентах 1 и 3:

cisco3925e#show ip tra | i fragm|reass|unreach
Frags: 144983 reassembled, 0 timeouts, 0 couldn't reassemble
0 fragmented, 0 fragments, 0 couldn't fragment
Rcvd: 0 format errors, 0 checksum errors, 0 redirects, 28 unreachable
Sent: 110 redirects, 314 unreachable, 30 echo, 255 echo reply

PS На виндовом клиенте в реестре добавленные ключи не удалял, т.е. как было.

Добавлено вечером (дома реестр не правлен)
из дома результат
cisco3925e#show ip tra | i fragm|reass|unreach
Frags: 206171 reassembled, 0 timeouts, 0 couldn't reassemble
0 fragmented, 0 fragments, 0 couldn't fragment
Rcvd: 0 format errors, 0 checksum errors, 0 redirects, 28 unreachable
Sent: 110 redirects, 349 unreachable, 30 echo, 260 echo reply

beda65
mtu не трогайте, с фрагментацией всё и так в порядке.
unreacheble....
покажите sh run | i ip route
и ip route

и трассировку от pptp-клаента до целевого хоста.

slut
Еще раз спасибо за содействие, высылаю маршруты на cisco
cisco3925e#sh ip route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP
+ - replicated route, % - next hop override

Gateway of last resort is AAA.BBB.CCC.86 to network 0.0.0.0
тут реальный шлюз

S* 0.0.0.0/0 [1/0] via AAA.BBB.CCC.86
87.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C ААА.BBB.CCC.80/29 is directly connected, GigabitEthernet0/0
L AAA.BBB.CCC.83/32 is directly connected, GigabitEthernet0/0
172.16.0.0/16 is variably subnetted, 2 subnets, 2 masks
C 172.16.4.0/22 is directly connected, GigabitEthernet0/1
L 172.16.4.1/32 is directly connected, GigabitEthernet0/1
последняя строка -адрес внутреннего интерфейса

cisco3925e#sh run | i ip route
ip route 0.0.0.0 0.0.0.0 AAA.BBB.CCC.86 тут указание на def gateway
ip route 172.16.4.0 255.255.252.0 172.16.4.254 permanent

трассировка с клиента
C:\>tracert -d 172.16.4.207

Трассировка маршрута к 172.16.4.207 с максимальным числом прыжков 30

1 <1 мс <1 мс <1 мс 172.16.4.1
2 <1 мс <1 мс <1 мс 172.16.4.207

Трассировка завершена.

Как с Catalyst 3750 забрать локальное время по SNMP (какой OID)? Это вообще возможно ?

Приветствую.

Подскажите в чем разница между Release 15.2.4-JA1 и Release 12.4.25d-JA2, на данный момент на Aironet 1040 стоит 12.4.25d-JA1, если я поставлю 15,2,4-JA1 не придется ли мне в СЦ нести?

в Cisco и IOS я новичок и гугль ничего не сказал толкового

k3NGuru
Цитата:

Подскажите в чем разница между Release 15.2.4-JA1 и Release 12.4.25d-JA2

Release 15.2.4-JA1 - это следующее поколение IOS. Но не думаю, что для Aironet там есть что-то такое, ради чего стоит заморачиваться.
Цитата:

не придется ли мне в СЦ нести?

Вряд ли. Если не встанет, то через Rommon всегда сможешь откатиться на старый образ. Ежели предварительно его сохранил...

vlary

т.е я смело могу ставить 15 версию и не бояться, что что-то не так будет работать?

З,Ы
Почитал Release Notes
You can install the 32-MB Cisco IOS Release 15.2(2)JA on all 1040, 1140, 1250, 1260, and 2600 series access points

k3NGuru
Коллега, скажу банальную вещь - прочитайте release notes перед апгрейдом и сохраните текущий IOS "на всякий случай".

k3NGuru
Цитата:

т.е я смело могу ставить 15 версию и не бояться, что что-то не так будет работать?

Ну что смело - то да, а что не бояться - то нет. Поскольку конфиг может вполне поплыть из-за разницы релизов, и кое-что придется править руками .
Не знаю как в 15 релизе, но когда в свое время менял на своих цисках ось 12.3 на 12.4, некоторая ругань имела место быть.

k3NGuru

Цитата:

Коллега, скажу банальную вещь - прочитайте release notes перед апгрейдом и сохраните текущий IOS "на всякий случай".

И не только IOS, но и конфиг обязятельно. ( позвольте напомнить: #copy run flash:OldConfig.txt)
А изменения там точно имеются, как следствие - строчки просто пропадают из конфига.

Да Aironet еще пустой и токлом не настроенный, только сегодня его привезли и распаковали, вот и думаю обновить до актуально прошивки или же пусть будет как оно есть

k3NGuru Есть очень хороший принцип: работает - не трогай! Скажу больше: 15-е иосы кривущие до безобразия. Что работало в 12-ых без проблем, в 15-ых баг на баге. Так что очень не советую переезжать с 12.4 на 15 ! Кроме того вы в курсе, что 15 иосах некоторый функционал закрыт и его требуется открывать, то есть лицензировать/активировать, ака покупать ?
http://www.faq-cisco.ru/articles/obshhie-svedeniya/cisco-ios-15-pervoe-znakomstvo

Подскажите такую штуку, в характеристиках точки Aironet 1040 заявлена поддержка 802.11n (300Mbps), но что-то я не могу найти где включается

[more=Скоростя]ap(config)#interface dot11Radio0
ap(config-if)#speed ?
1.0 Allow 1.0 Mb/s rate
11.0 Allow 11.0 Mb/s rate
12.0 Allow 12.0 Mb/s rate
18.0 Allow 18.0 Mb/s rate
2.0 Allow 2.0 Mb/s rate
24.0 Allow 24.0 Mb/s rate
36.0 Allow 36.0 Mb/s rate
48.0 Allow 48.0 Mb/s rate
5.5 Allow 5.5 Mb/s rate
54.0 Allow 54.0 Mb/s rate
6.0 Allow 6.0 Mb/s rate
9.0 Allow 9.0 Mb/s rate
basic-1.0 Require 1.0 Mb/s rate
basic-11.0 Require 11.0 Mb/s rate
basic-12.0 Require 12.0 Mb/s rate
basic-18.0 Require 18.0 Mb/s rate
basic-2.0 Require 2.0 Mb/s rate
basic-24.0 Require 24.0 Mb/s rate
basic-36.0 Require 36.0 Mb/s rate
basic-48.0 Require 48.0 Mb/s rate
basic-5.5 Require 5.5 Mb/s rate
basic-54.0 Require 54.0 Mb/s rate
basic-6.0 Require 6.0 Mb/s rate
basic-9.0 Require 9.0 Mb/s rate
default Set default rates
m0-7 Allow MCS rate indices 0-7
m0. Allow MCS rate index 0
m1. Allow MCS rate index 1
m10. Allow MCS rate index 10
m11. Allow MCS rate index 11
m12. Allow MCS rate index 12
m13. Allow MCS rate index 13
m14. Allow MCS rate index 14
m15. Allow MCS rate index 15
m2. Allow MCS rate index 2
m3. Allow MCS rate index 3
m4. Allow MCS rate index 4
m5. Allow MCS rate index 5
m6. Allow MCS rate index 6
m7. Allow MCS rate index 7
m8-15 Allow MCS rate indices 8-15
m8. Allow MCS rate index 8
m9. Allow MCS rate index 9
ofdm How to place OFDM rates in rates elements
only-ofdm Set rates for best OFDM throughput (no ERP protection will be used)
range Set rates for best range
throughput Set rates for best throughput (includes non-OFDM rates and may cause ERP protection
to be used)
<cr>
[/more]

Какие имеются [more=Интерфейсы]
ap#show interfaces
BVI1 is up, line protocol is up
Hardware is BVI, address is
Internet address is 192.168.88.239/24
MTU 1500 bytes, BW 54000 Kbit/sec, DLY 5000 usec,
reliability 255/255, txload 1/255, rxload 1/255
Encapsulation ARPA, loopback not set
ARP type: ARPA, ARP Timeout 04:00:00
Last input never, output never, output hang never
Last clearing of "show interface" counters never
Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0
5 minute input rate 3000 bits/sec, 3 packets/sec
5 minute output rate 2000 bits/sec, 3 packets/sec
2575 packets input, 324368 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants, 0 throttles
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
2285 packets output, 1557210 bytes, 0 underruns
0 output errors, 0 collisions, 0 interface resets
0 unknown protocol drops
0 output buffer failures, 0 output buffers swapped out
Dot11Radio0 is administratively down, line protocol is down
Hardware is 802.11N 2.4GHz Radio, address is
MTU 1500 bytes, BW 54000 Kbit/sec, DLY 1000 usec,
reliability 255/255, txload 1/255, rxload 1/255
Encapsulation ARPA, loopback not set
ARP type: ARPA, ARP Timeout 04:00:00
Last input never, output never, output hang never
Last clearing of "show interface" counters never
Input queue: 0/1677/0/0 (size/max/drops/flushes); Total output drops: 0
Queueing strategy: fifo
Output queue: 0/30 (size/max)
5 minute input rate 0 bits/sec, 0 packets/sec
5 minute output rate 0 bits/sec, 0 packets/sec
0 packets input, 0 bytes, 0 no buffer
Received 0 broadcasts, 0 runts, 0 giants, 0 throttles
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored
0 input packets with dribble condition detected
0 packets output, 0 bytes, 0 underruns
0 output errors, 0 collisions, 0 interface resets
0 unknown protocol drops
0 babbles, 0 late collision, 0 deferred
0 lost carrier, 0 no carrier
0 output buffer failures, 0 output buffers swapped out
GigabitEthernet0 is up, line protocol is up
Hardware is PowerPC405ex Ethernet, address is
MTU 1500 bytes, BW 100000 Kbit/sec, DLY 100 usec,
reliability 255/255, txload 1/255, rxload 1/255
Encapsulation ARPA, loopback not set
Full-duplex, 100Mb/s, media type is T
output flow-control is unsupported, input flow-control is unsupported
ARP type: ARPA, ARP Timeout 04:00:00
Last input 00:00:00, output 00:00:00, output hang never
Last clearing of "show interface" counters never
Input queue: 0/1677/0/0 (size/max/drops/flushes); Total output drops: 0
Queueing strategy: fifo
Output queue: 0/40 (size/max)
5 minute input rate 2000 bits/sec, 3 packets/sec
5 minute output rate 3000 bits/sec, 2 packets/sec
6541 packets input, 919464 bytes, 0 no buffer
Received 4485 broadcasts, 0 runts, 0 giants, 0 throttles
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored
0 watchdog, 0 multicast, 0 pause input
0 input packets with dribble condition detected
2437 packets output, 1609995 bytes, 0 underruns
0 output errors, 0 collisions, 2 interface resets
22 unknown protocol drops
0 babbles, 0 late collision, 0 deferred
0 lost carrier, 0 no carrier, 0 pause output
0 output buffer failures, 0 output buffers swapped out
[/more]

Или я что-то не понимаю?

k3NGuru
Цитата:

Какие имеются Интерфейсы

А что там не понятно?
GigabitEthernet0 - это для провода, идущего в локалку.
Dot11Radio0 - беспроводка.
BVI1 - бридж, объединяющий локалку и беспроводку, и имеющий айпи 192.168.88.239.

Цитата:

но что-то я не могу найти где включается

Troubleshoot 802.11n Speeds
Кстати, где-то попадалось, что 802.11n работает либо при отключенном шифровании, либо при WPA2/AES. TKIP не катит.