The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Многострадальная 851 и VPN"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение [ Отслеживать ]

"Многострадальная 851 и VPN"  
Сообщение от Alting email(ok) on 08-Апр-08, 08:48 
Доброго времени суток всем!
Наткнулся в форуме на эту проблему: http://www.opennet.ru/openforum/vsluhforumID6/10633.html
Собственно, в жизни, наткнулся тоже :)
Есть центральный офис, в нем стоит 2811 + 4 Ethernet порта (дополнительный интерфейс), объединенные в VLAN (обратите внимание, это очень важно!).
Есть удаленный, на нем 2811 без дополнительных интерфейсов, как есть.
Так вот!
Связать эти две циски по VPN (а именно, две внутренние сетки, одна из которых подключена как раз к этому самому дополнительному интерфейсу, на котором поднят VLAN) мне также не удалось, вернее, удалось, но проблема та же - терминал сервер отваливается по таймауту, Radmin отвечает, но не выдает удаленный рабочий стол - также висит при попытке отрисовать его, Citrix клиенты видят сервер, но не могут на него зайти, также отваливаясь по таймауту и тому подобное.
Поставил 1821, связал ее с 2811 в удаленном офисе (с той, в которой нет дополнительных интерфейсов, объединенных в VLAN) - вуаля, все пашет.
Далее...
Поставил в другом офисе 851, у которой ТАК ЖЕ 4 порта в VLAN - ТА ЖЕ КАРТИНА.

Ну и совсем уж, чтобы, так сказать, добить - дома стоит Linksys с прошивкой dd-vrt и ТАМ ТАКЖЕ ПОРТЫ В VLAN внутренние - ТА ЖЕ ПРОБЛЕМА! Не могу зайти на домашний комп за NAT, радмин отвечает - висит при попытке отрисовать экран, удаленный рабочий стол отвечает - отваливается по таймауту.

Я, конечно, "крупнейший специалист" по кошкам, но у меня сложилось твердое мнение, что все дело в VLAN
Отсюда вопрос: можно ли как-то убрать VLAN из 851 кошки?

Высказать мнение | Ответить | Правка | Cообщить модератору

 Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Многострадальная 851 и VPN"  
Сообщение от stitch636 on 08-Апр-08, 10:46 
Всё работает с виланами.
Уменьшать ip mtu или ip tcp adjust mss
до достижения работоспособности.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "Многострадальная 851 и VPN"  
Сообщение от stitch636 on 08-Апр-08, 10:49 
С 851 Vlan1 убрать нельзя.
Покажи конфиг.


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "Многострадальная 851 и VPN"  
Сообщение от Alting email(ok) on 08-Апр-08, 11:26 
>С 851 Vlan1 убрать нельзя.
>Покажи конфиг.

Building configuration...

Current configuration : 5809 bytes
!
!
version 12.4
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname yourname
!
boot-start-marker
boot-end-marker
!
logging buffered 51200 warnings
!
no aaa new-model
!
resource policy
!
clock timezone PCTime 3
clock summer-time PCTime date Mar 30 2003 2:00 Oct 26 2003 3:00
ip subnet-zero
no ip dhcp use vrf connected
!
!
ip cef
ip flow-cache timeout active 1
ip domain name nn.mrg.com
ip name-server 195.122.226.2
ip name-server 195.122.226.1
!
!
crypto pki trustpoint tti
revocation-check crl
rsakeypair tti
!
crypto pki trustpoint TP-self-signed-4004780798
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-4004780798
revocation-check none
rsakeypair TP-self-signed-4004780798
!
!
crypto pki certificate chain tti
crypto pki certificate chain TP-self-signed-4004780798
certificate self-signed 01
  3082024B 308201B4 A0030201 02020101 300D0609 2A864886 F70D0101 04050030
  31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274
  69666963 6174652D 34303034 37383037 3938301E 170D3038 30343037 31313334
  32385A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649
  4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D34 30303437
  38303739 3830819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281
  8100F342 A5AFFFF9 3CD665FE B7CF94B7 5278B45F 801E52AC DE17B53C 81DAA94B
  C09CA099 A9D82697 AC4F6856 4C287A6E 6000C439 F7AE08A2 9402C25D D70082BB
  BC22B172 5E68B1C7 27D03001 C12FA0E3 96249A0C 6F965DAE 889BCA75 C9E644B2
  086A6634 4462A7E1 0A583DE5 FB7B7FF5 E36C9D14 2DF63C93 4D59966C 7F12ED62
  43330203 010001A3 73307130 0F060355 1D130101 FF040530 030101FF 301E0603
  551D1104 17301582 13796F75 726E616D 652E6E6E 2E6D7267 2E636F6D 301F0603
  551D2304 18301680 14960375 8377CC0F 0A8D9DA3 A13484FB 1E285554 21301D06
  03551D0E 04160414 96037583 77CC0F0A 8D9DA3A1 3484FB1E 28555421 300D0609
  2A864886 F70D0101 04050003 81810014 B6B4BB01 5291454E 19BD16E0 8864BD26
  E0F0FD8D B1E1735B C042AE56 AE7ED7C2 4288DBCA D91072EA 3FDBF45C EA5F6550
  BEE393C3 AC77CCA3 8E1E58D1 C66A8DA2 1958D1F6 17CC373D 05D62FA1 CDA4D53C
  137CBC78 9AC65EF2 1567B76A EDDB0628 E8E20399 3CEA8291 21138293 9BC116A2
  A05AB338 36E9C63D B2671000 9F118E
  quit
username root privilege 15 secret 5 $1$re3h$3rLOKwBTtXIXRI55ZqD3o.
!
!
!
crypto isakmp policy 1
encr 3des
authentication pre-share
group 2
crypto isakmp key XXXXXXXXXXXXXX address 77.247.188.94
!
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
!
crypto map SDM_CMAP_1 1 ipsec-isakmp
description Tunnel to 77.247.188.94
set peer 77.247.188.94
set transform-set ESP-3DES-SHA
match address 100
!
!
!
interface Tunnel0
ip address 192.168.253.2 255.255.255.0
ip mtu 1420
no ip route-cache cef
ip route-cache flow
no ip mroute-cache
tunnel source FastEthernet4
tunnel destination 77.247.188.94
tunnel path-mtu-discovery
crypto map SDM_CMAP_1
!
interface FastEthernet0
!
interface FastEthernet1
shutdown
!
interface FastEthernet2
shutdown
!
interface FastEthernet3
shutdown
!
interface FastEthernet4
ip address 195.122.227.37 255.255.255.240
ip nat outside
ip virtual-reassembly
ip route-cache flow
duplex auto
speed auto
crypto map SDM_CMAP_1
!
interface Vlan1
description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$
ip address 192.168.1.254 255.255.255.0
ip nat inside
ip virtual-reassembly
ip route-cache flow
ip tcp adjust-mss 1452
l2-filter bridge-group-acl
!
ip classless
ip route 0.0.0.0 0.0.0.0 195.122.227.33
ip route 10.10.0.0 255.255.0.0 Tunnel0
ip flow-export source FastEthernet4
ip flow-export version 5
ip flow-export destination 77.247.188.91 9996
ip flow-top-talkers
top 10
sort-by bytes
cache-timeout 10
!
ip http server
ip http access-class 23
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
ip nat inside source route-map SDM_RMAP_1 interface FastEthernet4 overload
ip dns server
!
access-list 1 remark SDM_ACL Category=2
access-list 1 permit 192.168.1.0 0.0.0.255
access-list 100 remark SDM_ACL Category=4
access-list 100 permit gre host 195.122.227.37 host 77.247.188.94
access-list 101 remark SDM_ACL Category=2
access-list 101 deny   gre host 195.122.227.37 host 77.247.188.94
access-list 101 permit ip 192.168.1.0 0.0.0.255 any
no cdp run
route-map SDM_RMAP_1 permit 1
match ip address 101
!
!
control-plane
!
banner login ^C
-----------------------------------------------------------------------
Cisco Router
-----------------------------------------------------------------------
^C
!
line con 0
login local
no modem enable
line aux 0
line vty 0 4
access-class 23 in
privilege level 15
login local
transport input telnet ssh
!
scheduler max-task-time 5000
ntp clock-period 17175065
ntp server 195.2.64.5 source FastEthernet4 prefer
end

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "Многострадальная 851 и VPN"  
Сообщение от Alting email(ok) on 08-Апр-08, 11:47 
>Всё работает с виланами.
>Уменьшать ip mtu или ip tcp adjust mss
>до достижения работоспособности.

И до какого предела можно уменьшать ip mtu ? И с каким шагом?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "Многострадальная 851 и VPN"  
Сообщение от Alting email(ok) on 08-Апр-08, 11:52 
>>Всё работает с виланами.
>>Уменьшать ip mtu или ip tcp adjust mss
>>до достижения работоспособности.
>
>И до какого предела можно уменьшать ip mtu ? И с каким
>шагом?

Yes! Точно! Спасибо, огромное!
Поставил в Vlan 1 значение ip tcp adjust mss, равное ip mtu в Tunnel 0, по крайней мере, radmin заработал :)
Буду пробовать остальное!
Спасибо за подсказку!


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "Многострадальная 851 и VPN"  
Сообщение от Alting email(ok) on 08-Апр-08, 12:47 
>[оверквотинг удален]
>>>до достижения работоспособности.
>>
>>И до какого предела можно уменьшать ip mtu ? И с каким
>>шагом?
>
>Yes! Точно! Спасибо, огромное!
>Поставил в Vlan 1 значение ip tcp adjust mss, равное ip mtu
>в Tunnel 0, по крайней мере, radmin заработал :)
>Буду пробовать остальное!
>Спасибо за подсказку!

Рано радовался... Как заработало, так и перестало... Шайтан...

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

7. "Многострадальная 851 и VPN"  
Сообщение от GolDi (??) on 08-Апр-08, 13:26 
>[оверквотинг удален]
>>>И до какого предела можно уменьшать ip mtu ? И с каким
>>>шагом?
>>
>>Yes! Точно! Спасибо, огромное!
>>Поставил в Vlan 1 значение ip tcp adjust mss, равное ip mtu
>>в Tunnel 0, по крайней мере, radmin заработал :)
>>Буду пробовать остальное!
>>Спасибо за подсказку!
>
>Рано радовался... Как заработало, так и перестало... Шайтан...

А почему у вас crypto-map висит и на тунеле и на интерфейсе?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

8. "Многострадальная 851 и VPN"  
Сообщение от Alting email(ok) on 08-Апр-08, 13:34 
>[оверквотинг удален]
>>>Yes! Точно! Спасибо, огромное!
>>>Поставил в Vlan 1 значение ip tcp adjust mss, равное ip mtu
>>>в Tunnel 0, по крайней мере, radmin заработал :)
>>>Буду пробовать остальное!
>>>Спасибо за подсказку!
>>
>>Рано радовался... Как заработало, так и перестало... Шайтан...
>
>А почему у вас crypto-map висит и на тунеле и на интерфейсе?
>

Потому что я вот такой "крупнейший специалист" по цискам :)
Как правильно нужно?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

9. "Многострадальная 851 и VPN"  
Сообщение от stitch636 on 08-Апр-08, 15:54 
ip tcp adjust-mss 1380
вниз с шагом в 20.
Всё можно посмотреть debug'ом.
deb ip tcp transact
term mon

crypto map достаточно по такой схеме
оставить на Fa4.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

10. "Многострадальная 851 и VPN"  
Сообщение от stitch636 on 08-Апр-08, 15:56 
IOS желательно обновить до:
c850-advsecurityk9-mz.124-15.T1.bin
или
c850-advsecurityk9-mz.124-9.T3.bin
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

11. "Многострадальная 851 и VPN"  
Сообщение от stitch636 on 08-Апр-08, 15:58 
Да, забыл :)
ip tcp adjust-mss нужно ставить на туннеле.
Точнее на туннелях с обеих сторон.
на Vlan1 можно оставить по умолчанию 1452.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

12. "Многострадальная 851 и VPN"  
Сообщение от Alting email(ok) on 08-Апр-08, 16:53 
>Да, забыл :)
>ip tcp adjust-mss нужно ставить на туннеле.
>Точнее на туннелях с обеих сторон.
>на Vlan1 можно оставить по умолчанию 1452.

Спасибо огромное, буду завтра с утра с новыми, так сказать, силами, пробовать!

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

13. "Многострадальная 851 и VPN"  
Сообщение от Alting email(ok) on 17-Апр-08, 08:12 
>>Да, забыл :)
>>ip tcp adjust-mss нужно ставить на туннеле.
>>Точнее на туннелях с обеих сторон.
>>на Vlan1 можно оставить по умолчанию 1452.
>
>Спасибо огромное, буду завтра с утра с новыми, так сказать, силами, пробовать!
>

Огромное, огромное, ОГРОМНОЕ спасибо!!!
Все работает как часы, тьфу, тьфу!


Действительно, с этой прошивкой и настройками mtu и ip tcp adjust-mss все враз заработало!
Наверное, это надо как-то в FAQ или прикрепить в начале форума? Довольно много таких же вот как я "крупнейших специалистов" сталкиваются с подобными проблемами на недорогих кошках.

Сразу, кстати, вопрос: а какую прошивку тогда ставить на 871-е кошки? 851-х сейчас уже не найдешь, заказали 871-е. Не хотелось бы напороться на подобную проблему.

Еще раз искренне благодарю за помощь!


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

14. "Многострадальная 851 и VPN"  
Сообщение от stitch636 on 24-Апр-08, 14:17 
Это проблема не только для недорогих цисок,
а для всех. 871 не использовал в продакшене.
IOS нужен c870-advipservicesk9-mz.124-15.T1.bin
или новее. В бандловых IOS'ах куча глюков.
Некоторые вещи просто не работают.
К сожалению, как под 851, так и под 871 пока
нет стабильных (не T) IOS'ов.
871 в основном нужны, если хочешь нарезать локалку
на VLAN'ы.
P.S.: Есть еще способ построения крипто-туннелей.
Читать про tunnel mode ipsec ipv4. Он погибче.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

15. "Многострадальная 851 и VPN"  
Сообщение от Axis (ok) on 24-Апр-08, 14:24 
Народ подскажите пожалуйста что означают маршруты 0.0.0.0/128.0.0.0 192.168.1.1, 128.0.0.0/128.0.0.0 192.168.1.1 в статической таблицы маршрутизации маршрутизатора.


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

16. "Многострадальная 851 и VPN"  
Сообщение от stitch636 on 24-Апр-08, 15:02 
http://book.itep.ru/4/41/inc_4113.htm
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2023 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру