Исходное сообщение
"Cisco 2921 <IPSec> DLink DSR-150" Отправлено Pve1, 18-Июн-13 15:01
> Туннели зашифрованные с помощью ipsec profile работают без проблем. Но у > меня задача, подключить много розничных точек, так что кучу VTI создавать > нет желания. > Предполагается, что каждая розничная точка будет иметь подсеть с 28-битной маской. И > все они будут объединены в supernet 172.17.0.0 255.255.0.0, чтобы не писать > множественные маршруты и access листы. Абсолютно не правильная и тупиковая установка. Сделать компактнее и проще на Crypto-map - не получится никак! Т.к. вместо маршрутов ты будешь для каждого офиса прописывать отдельный ACL, отдельного пира и строку в криптомапе, ну и отдельный маршрут конечно же. Рассматриваемое тобой решение на базе Crypto-Map и обычного IPSec-а - колхоз в априори, и удобным оно не может быть никак. Самое лучшее что можно придумать - упомянутые и успешно протестированные тобой тунельные интерфейсы в каждый офис. Создание большого их числа легко автоматизируется с помощью notepad++, excel и т.д. Это максимально простая и понятная конфигурация в данном случае. И на всех интерфейсах можно повесить один крипто-профайл.   Транзитные сетки можно и нужно делать с /31 маской. Ну а лучше всего, понятно,  купить циски 8ХХ-е в магазины, и настроить на них DMVPN.

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> Туннели зашифрованные с помощью ipsec profile работают без проблем. Но у >> меня задача, подключить много розничных точек, так что кучу VTI создавать >> нет желания. >> Предполагается, что каждая розничная точка будет иметь подсеть с 28-битной маской. И >> все они будут объединены в supernet 172.17.0.0 255.255.0.0, чтобы не писать >> множественные маршруты и access листы. > Абсолютно не правильная и тупиковая установка. > Сделать компактнее и проще на Crypto-map - не получится никак! > Т.к. вместо маршрутов ты будешь для каждого офиса прописывать отдельный ACL, отдельного > пира и строку в криптомапе, ну и отдельный маршрут конечно же. > Рассматриваемое тобой решение на базе Crypto-Map и обычного IPSec-а - колхоз в > априори, и удобным оно не может быть никак. > Самое лучшее что можно придумать - упомянутые и успешно протестированные тобой тунельные > интерфейсы в каждый офис. > Создание большого их числа легко автоматизируется с помощью notepad++, excel и т.д. > Это максимально простая и понятная конфигурация в данном случае. И на всех > интерфейсах можно повесить один крипто-профайл. Транзитные сетки можно и > нужно делать с /31 маской. > Ну а лучше всего, понятно, купить циски 8ХХ-е в магазины, и > настроить на них DMVPN.
	Введите код, изображенный на картинке: