> Всем доброго дня!

И вам добрейшего!

> Есть ли возможность создавать видеоконференции на Cisco 2921 с PVDM3-32?
> Понимаю, что этих ресурсов очень мало, интересна сама возможность, а DSP, если
> нужно прикупим.

It's deprecated in newer versions of code.

https://www.cisco.com/c/en/us/products/collateral/unified-co...

> Всем доброго дня!
> Есть ли возможность создавать видеоконференции на Cisco 2921 с PVDM3-32?
> Понимаю, что этих ресурсов очень мало, интересна сама возможность, а DSP, если
> нужно прикупим.
> В инете полно упоминаний, что такое возможно, есть даже DSP-калькулятор для расчета
> необходимых ресурсов под разные типы применений, в том числе и видеоконференций.
> Но вот, чего никак не могу найти, это примеров конфигураций, схем применения
> и т.п. Если кто-то имеет опыт/информацию/ссылки, поделитесь, пожалуйста...

CUBE это не про конференции вообще, а про транзит вызовов между глобальной и локальной сетью.
Конференц-бридж только аудио на роутерах.

> В инете много примеров как организовывается резервирование интернет-канала при двух провайдерах.
> Возникла задачка посложней:
> Есть cisco 29XX и целых 3 аплинка к разным операторам.

Что есть на узле кроме 29ХХ?
L3 свитч какой-нибудь есть?

> же поднят vpn до удаленного офиса.

что мешает для резервирования ВПН использовать несколько тоннелей и EIGRP ?

Конфиг ваш покажите

Вы полные конфиги покажите
Хаба, спока, и проблемного спока.
+ sh ip ospf database с хаба

> ip nat inside source static tcp 192.168.3.2 3389 interface FastEthernet4 9965

если это работает, то

то на FastEthernet4 на "in" вешаем

ip access-list extended dostup-rdp
  permit tcp host 67.343.53.8 host $ip_address_from_FastEthernet4 eq 3154
  deny tcp any host $ip_address_from_FastEthernet4 eq 3154
  permit ip any any

> Добрый день.
> Допустимо ли подключить 2 разных NPE-G2 в один 7206VXR (одну подключить с
> лицевой стороны и вторую с обратной). Все порты будут видны?
> Спасибо.

туда только один NPE-G2 лезет

трекать нужно только основного провайдера
желательно трекать несколько адресов, и вот когда они все будут недоступны, переключаться на резервный.
Статические маршруты на те адреса, что вы трекаете, должны быть прописаны.

При переключении EEM следует очищать таблицу трансляций...

Инет на кису хотите езернетом присунуть или в АДСЛ порт?

На сетевом уровне как подключение к инету подано - статика, пппое, что-то другое?
Какая адресация в локалке? нужен ли сервис DHCP? и т.д. и т.п.

Короче прежде чем дать вменяемый пример конфига нужны подробности.

Насчет веб-морды - есть конечно любители, но после того как освоишься в CLI, про веб морду и не вспомнишь. Весь конфиг единым файлом в котором все структурировано и наглядно.

> Доброе время суток. Ребята помогите пожалуйста новичку в оборудовании Cisco.
> Никогда не работал с Cisco, но вот всё же приобрел сие чудо.
> вот с чего начать, как настроить, к сожалению я не знаю,

Начать стоит со статей "Сети для самых маленьких" ( http://linkmeup.ru/blog/12.html ), там нет ничего про ADSL, но есть много про настройку цисок (подключение, отключение и пр.) и понимания сетей.

Ребят, похоже что то не то с прошивкой или с самим роутером, есть ли возможность вернуть\сбросить роутер до заводских настроек\прошивки. Писали об этом вкратце), но по поискам нашел более подробное описание режима rommon, сменил значение, загрузился, и командой dir flash увидел в первой строке которая -rw-, я так понял должна быть дата и т.п. прошивки, так вот там прочерки стоят, это нормально?, тоже самое командой dir nv ram, в первой строке тоже прочерки. Это я так понял сама прошивка c870-advipservicesk9-mz.124-4.T1.bin и как сделать что бы всё было как "новое"?) Извиняюсь конечно, но пока я только осваиваю cisco, в моём случае роутер б\у, просто хотелось бы сбросить его полностью и начать свою конфигурацию.
И вот эти "щелчки", после сброса кнопкой reset (при включении), прекратились, так же прекратилось мигание индикатора CD. По поискам в сети, есть инфа что роутер "загибается", или кривая прошивка.

попробуй другой соурс-IP

это все работает, когда реально разный траффик

смотрю
r2#sh cef int fa 0/0.20
и вижу:

FastEthernet0/0.20 is up (if_number 6)
  Corresponding hwidb fast_if_number 6
  Corresponding hwidb firstsw->if_number 2
  Internet address is 192.168.253.1/24
  ICMP redirects are always sent
  Per packet load-sharing is disabled
  IP unicast RPF check is disabled
  Output features: Post-Ingress-NetFlow
  IP policy routing is disabled
  BGP based policy accounting on input is disabled
  BGP based policy accounting on output is disabled
  Hardware idb is FastEthernet0/0
  Fast switching type 1, interface type 18
  IP CEF switching enabled
  IP CEF switching turbo vector
  IP prefix lookup IPv4 mtrie 8-8-8-8 optimized
  Input fast flags 0x0, Output fast flags 0x0
  ifindex 2(2)
  Slot  Slot unit 0 VC -1
  IP MTU 1500

аналогично для fa 0/0.10

в выводе есть строка  Per packet load-sharing is disabled - т.е. на этих интерфейсах балансировка выключена.

попытка включить балансировку на интерфейсе
r2(config-subif)#ip load-sharing per-packet
ни к чему не приводит (везде сказано, что она включена по дефолту, похоже на то - новых строк в конфигурации интерфейса не появляется, в sh run all строка присуствует).

вопрос - как бы ее (балансировку) все-таки включить? или на сабинтерфейсах это нельзя? (тогда плохо - когда разные каналы включены на один физический интерфейс через vlan'ы - нормальная ситуация в наше время).

В общем, загадочная система.
нашел команду ip cef load-sharing algorithm
требует задать один из  4-х вариантов:
original
universal [id]
tunnel [id]
include-ports

по умолчанию в sh run all не показывается. но прочитал что по умолчанию стоит в universal c неким уникальным для железки id. Этот id влияет на способ формирования hash-записей для форвардинга. Подробно в это углубляться не стал, попробовал экспериментально.

запустил трафик с одного адреса источника на 4 разных получателя.

с original - весь трафик идет по одному маршруту.
c tunnel - честно и равномерно распределяется по двум имеющимся маршрутам
с universal - без параметра id (когда циска сама его придумывает, уникальный для железки) - весь трафик идет по одному маршруту, но другому, чем с original
если менять id у universal (диапазон громадный, 1-FFFFFFFF, попробовал на вскидку несколько вариантов с маленькими и с большими значениями), то поведение меняется.
то весь трафик по одному маршруту, то по другому, то распределяется равномерно, то с перекосом (поскольку получателей в тесте всего 4, то получается 3:1) на один маршрут. Короткого внятного описания, как устроено хеширование, как на него влияет id и что должно в итоге получаться - не нашел. Есть слова про то, как устроено хеширование, но что из этого следует - сходу не понял, надо толстые книжки читать, видимо...
include-ports (в зависимости от source/dest портов) даже пробовать не стал, не мой случай.

остается надеяться, что на реальном канале с сотнями разных адресов в проходящих пакетах, будет работать честно (и для ситуации "два линка - два провода(туннеля) между маршрутизаторами, как я понял, оптимальный вариант tunnel).

но все оказывается гораздо более заморочено, чем кажется поначалу.

>[оверквотинг удален]
> 10.0.0.10 -> 172.30.1.1 => IP adj out of FastEthernet0/0.20, addr 192.168.253.254
> То же самое вижу и на включенном в разрыве сети анализаторе трафика
> - весь трафик идет по одному интерфейсу fa0/0.20.
> Если добавлять пинги на другие адреса - картина та же (при этом
> все адреса реально есть в сети и пинги ходят, но никакой
> балансировки между маршрутами не происходит).
> Что я делаю не так?
> Понятно, что тест не вполне честный, пинг никакой реальной нагрузки на каналы
> не дает - но если обещали балансировку per-destination, то хочу ее
> увидеть.

sh arp

> Подскажите пожалуйста, по netflow
> - как его установить (сенсор)? Прошить в cisco или он там уже
> есть?

Зависит от Cisco, например на cat2960 его нет и не будет никогда.

> - коллектор-анализатор - это сторонние проги которые можно ставить на комп? Или
> тот же коллектор может быть на cisco и уже входит в
> состав ПО для cisco?

Сторонние проги.

> - если уже стоят сенсор-коллектор (?) я могу получить как-то доступ к
> накопленной информации из своей написанной проги?

Ну если это ВАШ коллектор - скорее всего да.

> Конечная цель - настроить сеть так, чтобы инфа получаемая коллектором (?) обрабатывалась
> своей самописной прогой и та ее выдавала пользователю.

Ну так сеть-то тут причем??
сеть - это только источник данных, а что там ваша прога будет делать...
Вам, однако, и решать.

> Знания по netflow пока на уровне википедии..

А netflow generator каким-нибудь кто-нибудь пользовался?
Что лучше взять?

Paessler NetFlow Generator уж больно простецким кажется.

И еще философский вопрос - протокол выглядит довольно простым, при первом взгляде. Распарсить наверное не сложно.
А почему тогда исходники фришных тулзов весят почти все более 1Мб(!)? Притом что многие похоже не имеют графической части вообще..

> Есть точка доступа: 1852i.
> Version - AIR-AP1850-K9-8-7-106-0
> Как контролллер её заставить получать ip из dhcp windows 2012 R2 и
> как клиентов wifi заставить получать адрес там же?

При чем, через wifi адаптер(pci-e) компьютера нормально подключчается к dhcp.

Ответ нашелся :)

connection tracking , смотрим reply dst address.

спасибо всем за внимание :)

> Вероятно, я неправильно понял технологию proxy-arp, но мне казалось, что c 1.1.1.3/16
> при "no arp-proxy" я не должен пинговать оба хоста, при "arp-proxy
> restricted" смог бы пропинговать только 1.1.2.2, и только с "arp-proxy unrestricted"
> пропинговал бы оба. Не пойму, почему получилось везде одинаково

restricted от unrestricted отличается тем, что restricted не отвечает на запросы, когда и дест и соурс на одном логическом интерфейсе. В текущей конфигурации у вас все десты на разных интерфейсах, restricted ни на что не повлияет.
А почему с выключенным пингуется - полагаю, что просто арп закешировался ранее.
А нагляднее тестить не пингом а arping.

>> адреса 1.1.1.1/32. Всё.

Коллега, вы указываете сферический в вакууме IP адрес и непонятно где он в вашей сети и в ней ли вообще.

Кроме того, фильтровать аксес-листами на IOS не модно уже сто лет как. Модно использовать стейтфул фаервол Zone-Based Firewall, до него раньше был ip inspect.

Вот для затравки рыба:

ip inspect log drop-pkt
zone security LAN
zone security INET
object-group service IPSEC 
 esp
 ahp
 udp eq isakmp
 udp eq non500-isakmp
 gre
object-group service good_ICMP
 icmp echo
 icmp echo-reply
 icmp parameter-problem
 icmp unreachable
 icmp source-quench
 icmp traceroute
 icmp time-exceeded
ip access-list extended zbfc_ICMP
 permit object-group good_ICMP any any
class-map type inspect match-any zbfc_ICMP
 match access-group name zbfc_ICMP
ip access-list extended zbfc_IPSEC
 permit object-group IPSEC any any

class-map type inspect match-any zbfc_IPSEC
 match access-group name zbfc_IPSEC
class-map type inspect match-any zbfc_INET_IN_SELF
 match protocol ssh
 match protocol ntp
policy-map type inspect zbfp_INET2LAN
 class class-default
  drop
policy-map type inspect zbfp_INET2SELF
 class zbfc_INET_IN_SELF
  pass
 class zbfc_IPSEC
  pass
 class zbfc_ICMP
  pass
class-map type inspect match-any zbfc_DROP_OUT
 match protocol bittorrent
 match protocol pptp
 match protocol l2tp
!
class-map type inspect match-any zbfc_INSPECT_OUT
 match protocol ftp
 match protocol tcp
 match protocol udp
 match protocol icmp
policy-map type inspect zbfp_LAN2INET
 class zbfc_DROP_OUT
  drop log
 class zbfc_INSPECT_OUT
  inspect
 class class-default
  pass
zone-pair security zp_INET2LAN source INET destination LAN
 service-policy type inspect zbfp_INET2LAN
zone-pair security zp_INET2SELF source INET destination self
 service-policy type inspect zbfp_INET2SELF
zone-pair security zp_LAN2INET source LAN destination INET
 service-policy type inspect zbfp_LAN2INET
! interface Vlan1
!  zone-member security LAN
! interface TunXX
!  zone-member security LAN
! interface Dial1
!  zone-member security INET

> Отвалился с мониторинга центральный коммутатор,
> Что это может быть?

syslog и snmp куда сливается телеметрия с этого железа включено в него-же?

> Отвалился с мониторинга центральный коммутатор, в нем большинство серверов, включая SQLи
> и гипервизоры. Это к тому, что перегружать его проблематично.
> Плохо работал вентилятор, есть с3k-blwr-60сfm на замену, но не был установлен. Перед
> падением температура была 27С. Отвалилось все работающее на ip: ssh, snmp,
> ping. А коммутация для серверов продолжает работать нормально.
> горит оранжевым диод SYST, CON могу соедениться после 17 часов МСК
> Что это может быть?

А к физической консоли подключиться не пробовали?

> Друзья помогите с софтом на huawei s5300
> S5300LI-V200R003SPH025  поиски в нэте результатов не дают (

http://fileshare.link/8111d5c3713359d8/S5300LI-V200R003SPH02...

Спасибо, музы! Пароль подобрался, при наборе в 300й раз палец так же соскользнул как и при вводе пароля при создании админа. Второй админ куда-то делся совсем, возможно, тогда не сохранилась конфа.

Остался вопрос, почему с con ничего не вводится?

> - при попытке зайти с CON никакой реакции нет и ничего не
> отображается (кабель и ноут в порядке, втыкаю в соседнюю циску там
> все гут);
> - при попытке  зайти с CON и перегрузить WLC по питанию,
> идет загруз (см ниже) потом пишется что-то типа "введите пароль или
> Recovery-config для заводских настроек", ниже выдается user:, но после этого никакой
> реакции на нажатие клавиш даже Enter и Crtl-С

Самое просто выбрать один из маршрутов как главный и добавить его без трекинга с большей админ-дистанцией, например 10

ip route 0.0.0.0 0.0.0.0 10.0.10.1 10

тогда если первые два упадут будет использоваться этот.

> Если возникают потери по первому каналу, то проверяем в каком состоянии track
> 20 (не положили ли уже второй маршрут), и если в Up,
> то переводим track 10 в Down - т.е. кладем маршрут, пусть
> весь трафик ходит по второму, где потерь нет. А вот если
> track 20 в Down (второй маршрут уже лежит), то оставляем track
> 10 в Up - пусть с хоть с потерями, но трафик
> продолжает ходить через первый маршрут. Ну и аналогично для track 2.
> Если же канал восстановился (ip sla дает приемлемое кол-во потерь), то
> соответствующий track должен сразу переходить в Up, независимо от состояния соседа.

Я в EEM сварщик ненастоящий, но мне кажется, что никто не мешает вам сделать как-то так:

event manager applet channel_10_down
event track 10 state down
action 010 track read 20
action 020 if $_track_state eq up
action 030 cli command "conf t"
action 040 ip route 0.0.0.0 0.0.0.0 10.0.10.2
action 050 no ip route 0.0.0.0 0.0.0.0 10.0.10.1
action 060 cli command "exit"
action 070 else
action 080 syslog msg "Vse propalo!!!!"
action 090 end

и аналогично для остальных ситуаций.

> Добры день.
> Есть BGP сервер и 4 аплинка. Появилась задача подключить клиента по BGP
> и нужно ему переанонсировать не fullview а только лучшие анонсы от
> 2х аплинков. Подскажите как настроить фильтры чтоб ему не посыпался fullview?
> Заранее благодарен!

При получении маршрутов пометить своими комьюнитями.
Потом клиенту запихнуть маршруты из этих двух комьюнити.

> Добры день.
> Есть BGP сервер и 4 аплинка. Появилась задача подключить клиента по BGP
> и нужно ему переанонсировать не fullview а только лучшие анонсы от
> 2х аплинков. Подскажите как настроить фильтры чтоб ему не посыпался fullview?
> Заранее благодарен!

В зависимости от задачи.
Если надо отдавать FullView, сформированный на основе двух конкретных аплинков, то вам надо реплицировать анонсы от двух лучших аплинков в отдельный врф, и уже из этого врф отдавать анонсы клиенту. Но вытянет ли ваше железо 2 фулвью в ФИБ?

Если же надо отдавать недо-фул, в котором только принятые ВАМИ маршруты от двух конкретных аплинков - то просто метите на входе от нужных аплинков роуты особенным комьюнити, а на выходе к клиенту отдаете только те, что помечены этим самым особенным комьюнити. Но вы должны понимать, что а) это, скорее всего, будет не полноценная таблица б) будут отдаваться только реально лучшие маршруты, если они предоставлены одним из избранных аплинков, а если лучший маршрут будет предоставляться другим аплинком - то такой маршрут вообще не дойдет клиенту.

> и добавить
> его же DNS-ом,

А вот это лишнее.
Внутренний DNS должен быть кеширующим для запросов наружу. Тогда и адреса внутренние будут резолвиться и наружу будет доступ.

> ISA 2006. Есть маршрутизатор CISCO 2921. Как сделать, чтобы подсеть "администрация"
> выходила в интернет через CISCO 2921, а остальные через ISA 2006.

Задача понятная и решаемая; решений есть больше одного.

Самое простое решение: Используйте маршрутизатор как маршрутизатор, а прокси как прокси. (Тут возможны проблемы если у вас есть NAT на ISA).

Оптимальное решение зависит от конкретных задач и функционала который вы используете на ISA.

На пальцах объяснять не получится.

Расписать подробно требует времени. Если есть бюджет на задачу, пишите в скайп: eek_ru

> На данный момент имею настроенный сервер Open VPN на маршрутизаторе. И доступ
> к внутренней сети маршрутизатора с клиента имеется без проблем.
> Конфиг сервера:
> https://pastebin.com/N5pdGbWx
> Хочу сделать доступ с сервера к клиенту. На сервере адресация вида 192.168.89.XYZ,
> на клиенте адресация 192.168.0.XYZ. Клиент - тоже маршрутизатор. Я так понимаю
> что необходимо добавить маршрут к конфигу на сервере или к конфигу
> клиента в /etc/openvpn/ccd/client_username, но какой я не понимаю.

На сервере — маршрут к локальной сети клиента через IP-адрес клиента в туннеле.

На клиенте — маршрут к локальной сети сервера через IP-адрес сервера в туннеле.

Это не обязательно даже делать именно в конфиге OpenVPN; но так делать удобно тем, что маршрут будет подниматься вместе с туннелем и не надо явно прописывать адрес шлюза.

Я бы сделал как-то так, в конфиге сервера:

route 192.168.0.0 255.255.255.0
push "route 192.168.89.0 255.255.255.0"

(не проверял, но как-то так по памяти)

Почитайте про PfR. Для сетей с малым количеством узлов оно конечно будет избыточно, но возможно решит ваш вопрос.

> Дано: есть канал (IP-tunnel) на котором могут возникать потери пакетов в самом
> разном количестве, от случайных единичных до полной пропажи в течение длительного
> времени.
> Задача: средствами маршрутизатора Cisco определить наличие потерь пакетов выше заданного.

[skipped]

Скрипт на TCL. Пусть хоть постоянно крутится.
Но! Как это скажется на загрузке процессора и памяти неизвестно.

> Дано: есть канал (IP-tunnel) на котором могут возникать потери...
> Задача: средствами маршрутизатора Cisco определить наличие потерь пакетов выше заданного.
> Для этого использую IP SLA.

[skipped]

> ip sla reaction-configuration 1 react packetLoss threshold-value 50 1 threshold-type immediate

[skipped]
> Собственно, вопрос - что сделано не так и как заставить реагировать SLA на наличие
> скольки-то потерянных при тесте пакетов?

[skipped]

Отвечаю сам себе:
threshold-value 50 1 означает, что реакция будет возникать, если потеряно меньше одного ИЛИ больше 50 пакетов. Поскольку посылаю всего 50 пакетов - то никогда.
Если написать threshold-value 1 1, то при двух и более потерянных пакетах в логе наблюдается горка сообщений.

> ip sla reaction-configuration 1 react packetLoss threshold-value 50 1 threshold-type immediate
> action-type trapOnly
> ip sla logging traps
> насколько я понимаю, если в результате теста получили timeout (ни один пакет
> не дошел) или имеем сколько-то (от 1 до 50 - задал
> по максимуму) потерянных пакетов, то должны генерироваться трапы и выдаваться события
> на консоль.

Вы неправильно понимаете. Как это устроено - нарисовано здесь: https://www.cisco.com/c/dam/en/us/td/i/200001-300000/200001-...

У вас rising threshold равен 50, falling - 1. Так события и генерируются.

Прочитайте Configuring Proactive Threshold Monitoring for IP SLAs Operations - https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/ipsla/conf....

или петля где-то в сети у Вас или посмотрите на 45 каталисте "mac address-table synchronize", если у Вас несколько линеек воткнуто

> Коллеги, добрый!
> Вопрос короткий.
> Знает ли кто-нибудь, как сделать редистрибьюцию статик роутов в OSPF как internal,
> а не external?
> Без создания интерфейса в целевой сети - тогда всё сломается, т.к. AD
> connected сети меньше AD статик роутов.

редистрибюция это в принципе external.
Не нравится - добавляйте нужный интерфейс пассивным, и делайте на нем дикий cost

> Коллеги, добрый!
> Вопрос короткий.
> Знает ли кто-нибудь, как сделать редистрибьюцию статик роутов в OSPF как internal,
> а не external?
> Без создания интерфейса в целевой сети - тогда всё сломается, т.к. AD
> connected сети меньше AD статик роутов.

Чего добиться то пытаетесь?

Ответ в вашем же дебаге, ваш телефон не сообщает корректно кодек.

0) На 3745 cme очень древний, 4.3 если я правильно помню. Нормальная работа SIP телефонов началась с 8 ветки (это ASR G2 как минимум)

1) Попробуйте вбить руками кодек в настройки DN на стороне CME.

debug ccsip messages

Что мешает сделать translation profile на границе и по прежнему иметь не пересекающиеся диалпланы?

Прописал дополнительный дайлпир с хантстопом и коллблоком, дал ему преференс 2, общему дайлпиру на меридиан дал преференс 3, наблюдаю.

> Могу выложить конфигурации оборудования.

Не самая плохая идея начинать именно с этого.
И с описания моделей имеющегося оборудования.

> Здравствуйте,
> Есть Сетевой адаптер HP FlexibleLOM Adapter, 554FLR, 2x10Gb, FlexFabric, SFP+  будет
> ли с ним работать Трансивер HP 1Gb SFP RJ-45 ?

нет.

Portable Product Sheets – Routing Performance
             PPS     Mbps
ISR G2 2901 327,000 167.42
ISR G2 2911 353,000 180.73
ISR G2 2921 480,000 245.76
ISR G2 2951 580,000 296.96

Numbers are given with 64 byte packet size, IP only, and are only an indication of raw switching performance.
These are testing numbers, usually with FE to FE, GigE to GigE or POS to POS, no services enabled. As you add ACL's,
encryption, compression, etc - performance will decline significantly from the given numbers, unless it is a hardware-assisted
platform, such as the ASR 1000, 7600 or 12000, which process QoS, ACL's, and other features in hardware (or when a hardware
assist is installed, for instance an AIM-VPN in a 3745 will offload the encryption from the CPU).
Every situation is different - please simulate the true environment to get applicable performance
values.
Knowing the performance for a specific router platform is not a good indication of how well a specific feature will
perform. If a feature is supported in the CEF path, for instance, and we know the feature-free CEF throughput in a
specific configuration, then we only know the platform's "never-to-exceed" performance but we do not know the
actual performance of any given feature, which will always be less.
All numbers are for IP packets only - no IPX/AT/DEC, etc. - Mbps calculated by pps * 64bytes * 8bits/byte; except
for 12000 (Engines 0, 1, 2, 3 & 5) where these numbers represent the maximum mbps forwarding rates when packets are
greater than 64 bytes. Please see inserted comments in this field.

>[оверквотинг удален]
> В планах – соединить туннелями все наши региональные отделения.
> Это порядка 15-20 туннелей.
> Мне кажется, один маршрутизатор все это не вытянет. Там все таки шифрование
> процессор задействует.
> Может надо разносить роли – отдельно доступ в интернет, отдельно маршрутизация между
> подсетями, отдельно под туннели.
> Но это все весьма накладно.
> Хочется вообще понять, в описанной конфигурации - нагрузка большая на железку? Или
> нет?
> Сколько она может держать туннелей, nat-трансляций, и маршрутизируемых подсетей одновременно?

Производительность маршрутизатора меряется в пакетах,
От количества сетей де-факто не зависит, зависит от правил обработки трафика.
Например, допустим маршрутизатор способен обрабатывать 200 000 пакетов/секунда.
Хотите НАТ? - это двойная нагрузка, более 100 000 вы не увидите.
Хотите PBR? - делим еще на 2.
Хотите ZBF? - делим еще на 2.
Хотите "плюшкофишки"? - смело вычитаете 15-30%...
Хотите IPSec? - он в зависимости от характера трафика может дать прирост от 2 до 10 раз.... хотя тут можно криптомодули + лицензия соответствующая.

Кстати, у вас лицензия на IPSec установлена? а криптомодуль? а скорости по ipsec какие?

В ipsec важно не столько количество тунелей, сколько количество трафика по ним "бегающего" и используемые алгоритмы.

Вот эту бумажку посмотрите насчет того, что сама Cisco думает по поводу своих железок:

https://supportforums.cisco.com/legacyfs/online/legacy/7/1/5...

Там в конце есть красивая табличка с примерной скоростью подключения.

По моей практике эта бумажка соответсвует действительности.

Для случаев когда много inspect, crypto, nat и кто-нибудь от большого ума еще включил nbar (match protocol) - бумажка даже слишком оптимистична.

2911 если включить все что нужно, кое-как тянет 30 мегабит. Причем 30 мегабит - это не 30 туда и обратно, это 30 мегабит в одном направлении.

Что касается утверждения о том, что производительность меряется в пакетах. Это утверждение совершенно верное, только для тех случаев когда маршрутизатор ничего кроме маршрутизации не делает. И к вашему случаю когда "все в одном" никакого отношения не имеет.

Если нужны варианты решения проблемы - пишите в личку.

>[оверквотинг удален]
> В планах – соединить туннелями все наши региональные отделения.
> Это порядка 15-20 туннелей.
> Мне кажется, один маршрутизатор все это не вытянет. Там все таки шифрование
> процессор задействует.
> Может надо разносить роли – отдельно доступ в интернет, отдельно маршрутизация между
> подсетями, отдельно под туннели.
> Но это все весьма накладно.
> Хочется вообще понять, в описанной конфигурации - нагрузка большая на железку? Или
> нет?
> Сколько она может держать туннелей, nat-трансляций, и маршрутизируемых подсетей одновременно?

убрать логирование на ACL если есть  

> #sho proc cpu sort
> CPU utilization for five seconds: 95%/92%; one minute: 94%; five minutes: 90%

Еще бы показать при этом

show int | inc thernet.* is .*, line | rate

Для роутинга между виланами всяко надо L3 свитч. Для ваших скоростей за глаза хватит б/у 3750 нужной комплектации интерфейсов. Нормальные продавцы могут за % от цены дать гарантию.

Что я хочу сказать.
Во-первых я наврал (не специально) про лицензию 2960X. По факту была нужная лицензия, позволяющая работать на L3 уровне. Именно lan-base.
Перенастроил сеть, маршрутизацией vlan начал занимается 2690x.
Загрузка 2960x поднялась со средней в 30% до средних 50%. При этом около 15% стабильно занимает процесс Hulc LED Process. Почитал про него, говорят - баг. По советам пробовал гасить все неиспользуемые порты - не помогло. Ладно, с этим потом разберусь.
Нагрузка на 2911 стала меньше. Сколько - сказать точно не могу, в данной конфигурации сеть была настроена в конце января.
Вроде бы все стало хорошо, но..
Через некоторое время - примерно неделю как, в рабочие часы, стал нестабильно работать интернет. Если смотреть пинги до того же яндекса, частенько пропадают пакеты, время отклика тоже 50-110 мс. В принципе, 50-110 - не то, чтобы очень плохо. Но хотелось бы до 50 )
До этого было в пределах 15-30 мс.
Начал разбираться дальше.
Понял, что недонастроил связку 2911 и 2960х. На 2911 остались сабинтерфесы, смотрящие в транк на 2960х. В связи с этим часть локального трафика ходила все равно через 2911.
Убрал все это.
По итогам нагрузка на 2960 стала в среднем 60% в рабочие часы.
Нагрузка на 2911 стабильно составляет примерно 50%, выше обычно не поднимается.
Но на доступ в интернет и на потери пингов это никак не повлияло ))
Если смотреть нагрузку на интерфейсы, в среднем:
g 0/0 (внутренний) входящий порядка 10 мбит, исходящий порядка 20-30 мбит.
g 0/1 (внешний) входящий порядка 20-30 мбит, исходящий порядка 10 мбит.
Все совпадает ))
Вроде бы немного.
Клиенты в локальной сети ограничены 300 nat-трансляциями. Кроме серверов.
Количество nat-трансляций на 2911
#sho ip nat sta
Total active translations: 12699 (214 static, 12485 dynamic; 12699 extended)
Peak translations: 13813, occurred 00:13:20 ago
Довольно много.
Если их почистить, то временно становится лучше.
Но уже при количестве трансляций около 4000 проблемы начинаются снова, пакеты теряются.

Если запустить ping с 2911 - пакеты не пропадают.
ping 8.8.8.8 repeat 100
Success rate is 100 percent (1000/1000), round-trip min/avg/max = 12/16/64 ms
Если запустить ping с 2960 - пакеты пропадают.
ping 8.8.8.8 repeat 100
Success rate is 88 percent (880/1000), round-trip min/avg/max = 21/69/147 ms
Т.е проблемы не с маршрутизатором.
Проверяем пинг с 2960 на 2911.
ping 192.168.9.2 repeat 100
Success rate is 84 percent (84/100), round-trip min/avg/max = 35/61/94 ms
Смотрим загрузку интерфейсов, которыми соединены устройства.
2911
sho int g 0/0 history 60min

SPB-LIG-GW1   03:19:11 PM Thursday Feb 15 2018 RTZ

                11111111111111111111111111111111111111
      999999999900000000011100000110000000000000000000999988888888
   10           ##*###################################
    9 ###################################################*
    8 ######################################################*#####
    7 ############################################################
    6 ############################################################
    5 ############################################################
    4 ############################################################
    3 ############################################################
    2 ############################################################
    1 ############################################################
     0....5....1....1....2....2....3....3....4....4....5....5....6
               0    5    0    5    0    5    0    5    0    5    0
      GigabitEthernet0/0 input rate(mbits/sec)  (last 60 minutes)
              * = maximum   # = average

SPB-LIG-GW1   03:19:11 PM Thursday Feb 15 2018 RTZ

      222222222222222211111111111111111111111111112222222222222222
      113322211100000099887889999777778877778898890000223445555333
   20 ###############*                            *###############
   19 ################*#     ****             *  #################
   18 #################### *#####     #*    *#####################
   17 ############################*###############################
   16 ############################################################
   15 ############################################################
   14 ############################################################
   13 ############################################################
   12 ############################################################
   11 ############################################################
   10 ############################################################
     0....5....1....1....2....2....3....3....4....4....5....5....6
               0    5    0    5    0    5    0    5    0    5    0
      GigabitEthernet0/0 output rate(mbits/sec)  (last 60 minutes)
              * = maximum   # = average

2960
sho interfaces g 1/0/24 history 60min
      222222222222222111111111111111111111111111112222222222222222
      124322221100000999988889999778788777778988990001223445554332
      921669204237856932033364021291604243678294164450344584527939
      881764821022263687942280806305805917612045220256834276505633
      621950976912465880743342367080975160329828374289151017472915
25620                                                      *#*
24760                                                    *####*
23900   **                                               #######
23040   ##*#                                            ########
22180 **#####*                                        ##########
21320 #########*                                     *##########
20460 ###############                             *#############
19600 ################**     * *             *   ###############
18740 ###################***####*     *     *###################
17880 ########################### *#*##   ######################
17020 ##########################################################
     0....5....1....1....2....2....3....3....4....4....5....5....6
               0    5    0    5    0    5    0    5    0    5    0
      GigabitEthernet1/0/24 input rate(kbits/sec)  (last 60 minutes)
              * = maximum   # = average

       1       111111111111111111111111111111111111111
      909999999000000000011100000110100000000000000000999988888889
      908665579133022566922087449119077899999469965331964050135681
      303772834755826156422219707888591829185654969329470659875574
      508883462379717937000478453777768997437683563867338824030956
11280                    **      **
10950                   *###**  *##*#* #####*  ##
10620                *########* #############*####*
10290          *## ##################################*
9960 ##*     ########################################*
9630 #####*############################################
9300 ###################################################
8970 ####################################################
8640 ####################################################*   ##
8310 ##################################################### *###
7980 ##########################################################
     0....5....1....1....2....2....3....3....4....4....5....5....6
               0    5    0    5    0    5    0    5    0    5    0
      GigabitEthernet1/0/24 output rate(kbits/sec)  (last 60 minutes)
              * = maximum   # = average

20mbit - не такая большая цифра, чтобы портить жизнь.
Не понимаю, продолжу дальше копать. Но буду признателен идеям и подсказкам )

При этом, если запустить
ping 192.168.9.2 с компьютера в локальной сети, то
Статистика Ping для 192.168.9.2:
    Пакетов: отправлено = 1358, получено = 1358, потеряно = 0
    (0% потерь)
Т.е. тот же адрес маршрутизатора пингуется без проблем, при этом пакет идет через коммутатор
tracert 192.168.9.2
Трассировка маршрута к 192.168.9.2 с максимальным числом прыжков 30

  1     2 ms     2 ms     1 ms  192.168.101.1 - это адрес коммутатора в данном сегменте сети
  2    <1 мс    <1 мс    <1 мс  192.168.9.2

>[оверквотинг удален]
> с настройками 9600\8бит\none parity\1 стоп бит\ none control - так было
> сказано в мануале и все было ок. Спустя неделю я потерял
> возможность администрирования одного из роутеров, т.к при заходе на циску терминал
> мне выдает набор каких-то кракозябр... Как бы я не перебирал настройки
> ком порта, не менял кодировку и языки-один хрен,ничего не помогает! Решил
> в итоге проверить,может проблема в переходнике ком порта на юсб?(хотя это
> странно,т.к 1 из роутеров работал нормально,но, я решил проверить...). Нашел старый
> системник с комп портом - таже беда,кракозябры в терминале при нажатии
> любой клавиши.
> ПАМАГИТИ ТАВАРИЩИ!!!!!

Зайди через telnet, ибо насколько я помню на этом антиквариате ssh нет, и покажи конфиг.

> ПАМАГИТИ ТАВАРИЩИ!!!!!

подключись 9600 и посмотри во время загрузки
попробуй ее прервать ctrl-break
если будут нормальные символы
посмотри confreg, выключи загрузку конфига
загрузишься без конфига, сможешь посмотреть настройки con порта
еще если у роутера есть AUX, то можно на него попробовать подключиться, там только распиновка не помню какая
ну и когда роутеры настраиваешь, первым делом обеспечивай подключение к нему через сеть. консоль это крайняя мера всегда.

Что ответила поддержка билайна?

>[оверквотинг удален]
> и профиль модема
> f45-ssh#sh cellular 0/0/0 profile
> Profile password Encryption level: 7
> Profile 1 = INACTIVE*
> --------
> PDP Type = PPP
> Access Point Name (APN) = internet.beeline.ru
> Authentication = CHAP
> Username: beeline, Password: 110B1C001B1B0509
>  * - Default profile

dialer string вижу. А chat-script?
Кто и по каким правилам будет производить "ATDT#99*" или что-нибудь подобное?