URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 5567
[ Назад ]
Исходное сообщение
"IPSEC-шифрование трафика циски "
Отправлено andrew , 18-Июн-04 14:53 
Уважаемые! Есть 1760, 1 IP реальный, 1 - левый. И есть FreeBSD с аналогичными интефейсами. Как заставить циску шифровать весь трафик между ней и фрихой не уточняя приватных сетей? Шифровать трафик из одной приватной сети в другую - без проблем, шифровать весь трафик между 2 фрихами - тоже без проблем, а вот циска-фриха - никак...
Содержание
Сообщения в этом обсуждении
"IPSEC-шифрование трафика циски "
Отправлено Corhaid , 21-Июн-04 02:07 
>Уважаемые! Есть 1760, 1 IP реальный, 1 - левый. И есть FreeBSD
>с аналогичными интефейсами. Как заставить циску шифровать весь трафик между ней
>и фрихой не уточняя приватных сетей? Шифровать трафик из одной приватной
>сети в другую - без проблем, шифровать весь трафик между 2
>фрихами - тоже без проблем, а вот циска-фриха - никак...

Идеология IPSec на сиске такова, что шифруются только явно указанные сети. Решение - строить GRE Tunnel  и шифровать его целиком.

"IPSEC-шифрование трафика циски "
Отправлено andrew , 21-Июн-04 17:06 
>>Уважаемые! Есть 1760, 1 IP реальный, 1 - левый. И есть FreeBSD
>>с аналогичными интефейсами. Как заставить циску шифровать весь трафик между ней
>>и фрихой не уточняя приватных сетей? Шифровать трафик из одной приватной
>>сети в другую - без проблем, шифровать весь трафик между 2
>>фрихами - тоже без проблем, а вот циска-фриха - никак...
>
>Идеология IPSec на сиске такова, что шифруются только явно указанные сети. Решение
>- строить GRE Tunnel  и шифровать его целиком.
А не встречал ли кто примеров настройки шифрованного gre-туннеля?
"IPSEC-шифрование трафика циски "
Отправлено Skiv , 21-Июн-04 18:21 
>>>Уважаемые! Есть 1760, 1 IP реальный, 1 - левый. И есть FreeBSD
>>>с аналогичными интефейсами. Как заставить циску шифровать весь трафик между ней
>>>и фрихой не уточняя приватных сетей? Шифровать трафик из одной приватной
>>>сети в другую - без проблем, шифровать весь трафик между 2
>>>фрихами - тоже без проблем, а вот циска-фриха - никак...
>>
>>Идеология IPSec на сиске такова, что шифруются только явно указанные сети. Решение
>>- строить GRE Tunnel  и шифровать его целиком.
>А не встречал ли кто примеров настройки шифрованного gre-туннеля?


что то вроде этого (там IPX - просто удали все что про него)
http://www.cisco.com/en/US/tech/tk827/tk369/technologies_con...

"IPSEC-шифрование трафика циски "
Отправлено andrew , 22-Июн-04 17:41 
Поднял GRE-туннел - те же грабли, вид сбоку...
из подсетки в подсетку шифрует, а ping с циски на фриху идет мимо туннеля.
роутинг ip route 0.0.0.0 0.0.0.0 tunnel0. Где копать?
"IPSEC-шифрование трафика циски "
Отправлено Corhaid , 23-Июн-04 01:42 
>Поднял GRE-туннел - те же грабли, вид сбоку...
>из подсетки в подсетку шифрует, а ping с циски на фриху идет
>мимо туннеля.
>роутинг ip route 0.0.0.0 0.0.0.0 tunnel0. Где копать?

Ну конфигу попрошу в студию, для начала сиськину.

"IPSEC-шифрование трафика циски "
Отправлено andrew , 23-Июн-04 09:20 
>>Поднял GRE-туннел - те же грабли, вид сбоку...
>>из подсетки в подсетку шифрует, а ping с циски на фриху идет
>>мимо туннеля.
>>роутинг ip route 0.0.0.0 0.0.0.0 tunnel0. Где копать?
>
>Ну конфигу попрошу в студию, для начала сиськину.


crypto isakmp policy 1
encr 3des
hash md5
authentication pre-share
group 2
lifetime 3600
crypto isakmp key 123456 address IP_PUB_CISCO
!
!
crypto ipsec transform-set fgs esp-3des esp-md5-hmac
!
crypto map fgm local-address FastEth0/0
crypto map fgm local-address Loopb0
crypto map fgm local-address Tunnel0
crypto map fgm 1 ipsec-isakmp
set peer IP_PUB_BSD
set transform-set fgs
set pfs group2
match address 100
!
!
!
interface Tunnel0
ip address IP_TUN_1 255.255.255.252
  tunnel source IP_PUB_CISCO
tunnel destination IP_PUB_BSD
crypto map fgm
!
interface Ethernet0/0
description local
ip address IP_LOCAL 255.255.255.0
!
interface FastEthernet0/0
ip address IP_PUB_CISCO 255.255.255.0
crypto map fgm
!

ip route 0.0.0.0 0.0.0.0 tun0
access-list 100 permit gre host 172.20.25.20 host 172.20.25.21

"IPSEC-шифрование трафика циски "
Отправлено andrew , 23-Июн-04 09:22 
Малость ошибся - Access-list выглядит так:
access-list 100 permit gre host IP_PUB_CISCO host IP_PUB_BSD
"IPSEC-шифрование трафика циски "
Отправлено Corhaid , 23-Июн-04 09:33 

>crypto isakmp key 123456 address IP_PUB_CISCO
Здесь должен быть ключ удаленного адреса. т.е. должен быть БСДшный адрес.

>crypto map fgm local-address FastEth0/0
>crypto map fgm local-address Loopb0
>crypto map fgm local-address Tunnel0
Обычно ничего этого не пишу. И все тип-топ


> interface Tunnel0
> ip address IP_TUN_1 255.255.255.252
>  tunnel source IP_PUB_CISCO
> tunnel destination IP_PUB_BSD
> crypto map fgm

Если версия ИОС 12.3 то крипто-мапа на туннеле не нужна 100%. И в 12.2 у меня на 12.2(23) и выше без нее все работает.

>ip route 0.0.0.0 0.0.0.0 tun0

Можно попробовать заменить тун0 на ИП адрес выхода из туннеля.

"IPSEC-шифрование трафика циски "
Отправлено ВОЛКА , 23-Июн-04 11:20 
а на циске других роутов больше нет??
"IPSEC-шифрование трафика циски "
Отправлено andrew , 23-Июн-04 12:05 
IOS Version 12.2(15)T9
без крипто-мапа туннель вааще не поднимается
других маршрутов нет, кроме ip route 0.0.0.0 0.0.0.0 tun0
(пытался ставить вместо tun0 ip фришного конца туннеля - монопенисуально)
когда пингуешь фриху с циски tcpdump пишет
cisco_pub_ip > bsd_pub_ip: icmp: echo request
и пинг не проходит (явно идет мимо туннеля)
а вот када пингуешь циску с фрихи - пинги лезут в туннель, но циска не отзывается:
bsd_pub_ip > cisco_pub_ip: ESP(spi=0x8f376f05,seq=0x18
bsd_pub_ip > cisco_pub_ip: ESP(spi=0x8f376f05,seq=0x19
а весь трафик из локальных сетей уходит в туннель нормально
cisco_pub_ip > bsd_pub_ip : ESP(spi=0x0b111d17,seq=0x19)
bsd_pub_ip > cisco_pub_ip : ESP(spi=0x8f376f05,seq=0x27)
То ли какая то хрень с access-list, то ли c роутингом...


"IPSEC-шифрование трафика циски "
Отправлено ВОЛКА , 23-Июн-04 12:17 
надо прописать еще маршрут на другой конец тунеля....
"IPSEC-шифрование трафика циски "
Отправлено andrew , 23-Июн-04 12:52 
>IOS Version 12.2(15)T9
>без крипто-мапа туннель вааще не поднимается
>других маршрутов нет, кроме ip route 0.0.0.0 0.0.0.0 tun0
>(пытался ставить вместо tun0 ip фришного конца туннеля - монопенисуально)
>когда пингуешь фриху с циски tcpdump пишет
> cisco_pub_ip > bsd_pub_ip: icmp: echo request
>и пинг не проходит (явно идет мимо туннеля)
>а вот када пингуешь циску с фрихи - пинги лезут в туннель,
>но циска не отзывается:
> bsd_pub_ip > cisco_pub_ip: ESP(spi=0x8f376f05,seq=0x18
> bsd_pub_ip > cisco_pub_ip: ESP(spi=0x8f376f05,seq=0x19
>а весь трафик из локальных сетей уходит в туннель нормально
> cisco_pub_ip > bsd_pub_ip : ESP(spi=0x0b111d17,seq=0x19)
> bsd_pub_ip > cisco_pub_ip : ESP(spi=0x8f376f05,seq=0x27)
>То ли какая то хрень с access-list, то ли c роутингом...

нашел беду -
надо access-list 100 permit ip host cisco_pub_ip host bsd_pub_ip
а было
надо access-list 100 permit gre host cisco_pub_ip host bsd_pub_ip

"IPSEC-шифрование трафика циски "
Отправлено andrew , 30-Июн-04 11:52 
А вот еще вопрос: Если вместо интерфейса FastEth0/0 использовать
interface Serial0
physical-layer async
ip address cisco_pub_ip 255.255.255.252
encapsulation ppp
как в этом случае поднять туннель?
как делать сrypto map на cisco_pub_ip?
"IPSEC-шифрование трафика циски "
Отправлено Corhaid , 01-Июл-04 01:49 
>А вот еще вопрос: Если вместо интерфейса FastEth0/0 использовать
>interface Serial0
> physical-layer async
> ip address cisco_pub_ip 255.255.255.252
> encapsulation ppp
>как в этом случае поднять туннель?
>как делать сrypto map на cisco_pub_ip?

По идее все должно быть так же. Но я сам не пробовал именно в таком виде - у меня на РРР асинках нигде нету IPSec, только старый Cisco`вский CET. Но на синхронном РРР все работает без проблемм.