Помогите, пожалуйста. разобраться.Дано: Cisco 2811. Маршрутизация статическая, т.е. протоколы динамической
маршрутизации не включены.
На одном из внешних VLAN-ов поднят Site to Site VPN (IPSec Tunnel). IP-адрес на данном VLAN-е "белый", статический. На другой стороне - Zywall 5EE, тоже "белый" условно статический IP. Туннель от удаленного объекта во внутреннюю сеть. Удаленная сеть вида
192.168.181.0/24, внутренняя сеть 192.168.40.0/24. В таблицу статических
маршрутов добавлен
ip route 192.168.181.0 255.255.255.0 FastEthernet0/1.295
Вроде бы все работает, но вот вид самого маршрута некоторые сомнения
вызывает. Правильно ли это? Из того, что здесь на форуме пытался найти на заданную тему - похоже, что неправильно. Это сейчас туннель один, а потом их в
перспективе пару-тройку десятков может оказаться.
Как правильно прописать маршрут в удаленную внутреннюю сеть ?
>Как правильно прописать маршрут в удаленную внутреннюю сеть ?ip route 192.168.181.0 255.255.255.0 xxx.xxx.xxx.xxx
правильнее прописывать маршрут на адрес в случае multiple access интерфейсов
>
>>Как правильно прописать маршрут в удаленную внутреннюю сеть ?
>
>ip route 192.168.181.0 255.255.255.0 xxx.xxx.xxx.xxx
>
>правильнее прописывать маршрут на адрес в случае multiple access интерфейсовТак вот и вопрос собственно об этом: на какой адрес, если ни один из интерфейсов на циске не принадлежит подсети 192.168.181.0/24 ?
а если бы принадлежал, то не нужно было бы и прописывать...
>а если бы принадлежал, то не нужно было бы и прописывать...Ну да. В то же маршрут
ip route 192.168.181.0 255.255.255.0 192.168.181.1
делает недоступной удаленную сеть. Делать-то что? Помогите, плз, я в настройках цискиных роутеров полный ноль. Если нужна какая дополнительная информация - спрашивайте.
Или просто тупо кидать все на интерфейс VLAN'а в надежде, что роутер сам разберется в какой туннель ему пакет укладывать?
>[оверквотинг удален]
>
>Ну да. В то же маршрут
>
> ip route 192.168.181.0 255.255.255.0 192.168.181.1
>
>делает недоступной удаленную сеть. Делать-то что? Помогите, плз, я в настройках цискиных
>роутеров полный ноль. Если нужна какая дополнительная информация - спрашивайте.
>
>Или просто тупо кидать все на интерфейс VLAN'а в надежде, что роутер
>сам разберется в какой туннель ему пакет укладывать?ничего он сам не будет укладывать
если вы не разбираетесь - оставляйте как есть, потому как вы просто напросто просите за вас перенастроить что-то
задайте конкретный вопрос - получите конкретный ответ
>задайте конкретный вопрос - получите конкретный ответТак чтобы правильно вопрос задать - половину ответа знать нужно. Я же пока только вижу, что маршрутизация настроена некорректно, хоть и работает. И просто не понимаю, что нужно указать в качестве форвардинг адреса. Или эта задача решается вообще другими средствами? Подскажите хоть - в каком направлении копать.
ip route 192.168.181.0 255.255.255.0 ip_address
где ip_address - это ip адрес ближайшего к вам маршрутизатора, через которого проходит ваш IPSec.
как правило, это шлюз по умолчанию (если ваши VPN построены через Internet)
>ip route 192.168.181.0 255.255.255.0 ip_address
>где ip_address - это ip адрес ближайшего к вам маршрутизатора, через которого
>проходит ваш IPSec.
>как правило, это шлюз по умолчанию (если ваши VPN построены через Internet)
>Простите, а что скажет маршрутизатор, когда получит пакет с dst 192.168.181.1, к примеру? При условиии что VPN проложена через интернет. Или это такой тонкий сарказм был?
В общем, разобрался, кажется. Просто нужно было добавить reverse-route в описание crypto map. Правда, я не очень понял, как это соотносится с описанием "Reverse Route Injection" в хелпе к SDM.
>[оверквотинг удален]
>>как правило, это шлюз по умолчанию (если ваши VPN построены через Internet)
>>
>
>Простите, а что скажет маршрутизатор, когда получит пакет с dst 192.168.181.1, к
>примеру? При условиии что VPN проложена через интернет. Или это такой
>тонкий сарказм был?
>
>В общем, разобрался, кажется. Просто нужно было добавить reverse-route в описание
>crypto map. Правда, я не очень понял, как это соотносится с
>описанием "Reverse Route Injection" в хелпе к SDM.а маршрутизатор ниче не скажет на это учите как работает впн. он инкапсулирует существующий пакет в новый с шифрованием и собственным ip заголовком в котором указан ip адресс пира. дальше сам читай всё по детски просто.