Задача: две точки подключенные к ADSL, на одной установлена Cisco 26xx, на другой Zyxel ZyWALL, надо было их связать в одну сеть.
Решил я это сделать по средствам VPN IPSec, но столкнулся с проблемами. Дело в том, что Cisco смотрит в сторону провайдера через спутниковый канал, а ADSL нужен только для того чтобы связать две точки. Вот в этом то и заключалась проблема, решение и описание проблемы я раскрою чуть ниже в конфигурации.
Конфигурация:
Конфигурация IPSEC типовая
crypto isakmp policy 10 authentication pre-share lifetime 28800 crypto isakmp key protectmeplease address 10.10.10.10 crypto isakmp keepalive 10 periodic crypto isakmp aggressive-mode disable ! crypto isakmp peer address 10.10.10.10 ! ! crypto ipsec transform-set optimus esp-des esp-sha-hmac no crypto ipsec nat-transparency udp-encaps ! crypto map letmein local-address BVI1 crypto map letmein 10 ipsec-isakmp set peer 10.10.10.10 set transform-set optimus match address 102
Интерфейс в сторону локальной сети
interface FastEthernet0/0.999 description LAN encapsulation dot1Q 999 ip address 172.10.10.1 255.255.255.0 ip nat inside ip virtual-reassembly
Интерфейс в сторону спутникового модема
interface FastEthernet0/1 description Satellite ip address 192.168.1.2 255.255.255.252 duplex auto speed auto no cdp enable
Интерфейс DSL
interface ATM0/3/0 no ip address no ip redirects no atm ilmi-keepalive dsl operating-mode auto bridge-group 1 pvc 8/35 encapsulation aal5snap
Бриджовый интерфейс для ATM0/3/0, IPSEC туннель вешается именно на него
interface BVI1 description ADSL ip address 10.20.20.20 255.255.255.0 no cdp enable ip nat outside ip virtual-reassembly crypto map letmein
По идее ACL располагаются в конфигурации чуть ниже маршрутов, но так будет удобней
ACL 102 задает политику обмена пакетами, в нем надо указать из какой сети в какую пакеты будут ходить в IPSEC туннеле, короче указываем обе LAN сетки обоих точек, source должна быть та которая терминируется на Cisco, а destination LAN сетка которая терминируется на ZyWall.
access-list 102 permit ip 172.10.10.0 0.0.0.255 172.20.20.0 0.0.0.255
А сейчас начнется самое интересное :)
У нас есть default маршрут в сторону спутникового канала
ip route 0.0.0.0 0.0.0.0 192.168.1.1
А так же маршрут, который говорит что наш IPSEC peer находится за сетью СТК
ip route 10.10.10.10 255.255.255.255 10.20.20.1
Вроде все настроено, но пакеты не ходят, туннель не инициируется даже по первой фазе IKE.
Оказывается, чтоб туннель заработал надо создать фэйковый маршрут который говорит что сетка второго офиса находится за шлюзом ADSL
Добавляем:
ip route 172.20.20.0 255.255.255.0 10.20.20.1
Оказывается, чтобы туннель поднялся надо пустить трафик который соответствует политике прохождения трафика, короче пустить пинг из локалки первого офиса в локалку второго (ACL 102).