forum.opennet.ru - "Cisco 881 +VPN" (32)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"Cisco 881 +VPN"

Форум Маршрутизаторы CISCO и др. оборудование. (VPN, VLAN, туннель)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Cisco 881 +VPN"	+/–
Сообщение от Michail_M (ok) on 11-Окт-10, 15:38
Есть два маршрутизатора Cisco 881. Можно ли через них связать два офиса через VPN/ В каком направлении копать? С VPN не сталкивался.
Ответить \| Правка \| Cообщить модератору

Оглавление

Cisco 881 +VPN, Николай, 15:45 , 11-Окт-10, (1)

Cisco 881 +VPN, Michail_M, 08:40 , 26-Окт-10, (2)

Cisco 881 +VPN, kolyaniust, 11:00 , 26-Окт-10, (3)
Cisco 881 +VPN, svel, 11:19 , 26-Окт-10, (4)

Cisco 881 +VPN, Michail_M, 12:43 , 26-Окт-10, (5)

Cisco 881 +VPN, svel, 16:33 , 26-Окт-10, (6)

Cisco 881 +VPN, Michail_M, 17:13 , 26-Окт-10, (7)

Cisco 881 +VPN, svel, 18:28 , 26-Окт-10, (8)

Cisco 881 +VPN, Michail_M, 20:55 , 26-Окт-10, (9)
Cisco 881 +VPN, Michail_M, 08:52 , 27-Окт-10, (10)

Cisco 881 +VPN, GolDi, 10:11 , 27-Окт-10, (11)
Cisco 881 +VPN, svel, 10:12 , 27-Окт-10, (12)

Cisco 881 +VPN, Michail_M, 10:49 , 27-Окт-10, (13)

Cisco 881 +VPN, svel, 12:19 , 27-Окт-10, (14)
Cisco 881 +VPN, svel, 12:29 , 27-Окт-10, (15)

Cisco 881 +VPN, Michail_M, 15:06 , 27-Окт-10, (16)
Cisco 881 +VPN, Michail_M, 10:53 , 01-Ноя-10, (17)
Cisco 881 +VPN, svel, 12:45 , 03-Ноя-10, (18)
Cisco 881 +VPN, Michail_M, 13:28 , 03-Ноя-10, (19)
Cisco 881 +VPN, Michail_M, 16:26 , 08-Ноя-10, (20)
Cisco 881 +VPN, j_vw, 17:13 , 08-Ноя-10, (21)
Cisco 881 +VPN, Michail_M, 20:10 , 08-Ноя-10, (22)
Cisco 881 +VPN, j_vw, 22:51 , 08-Ноя-10, (23)
Cisco 881 +VPN, Michail_M, 08:45 , 09-Ноя-10, (24)
Cisco 881 +VPN, svel, 12:15 , 09-Ноя-10, (25)
Cisco 881 +VPN, Александр, 20:25 , 01-Фев-11, (28)
Cisco 881 +VPN, svel, 10:44 , 27-Сен-11, (32)
Cisco 881 +VPN, DarK, 08:37 , 02-Июн-11, (30)
Cisco 881 +VPN, kondratik, 07:50 , 02-Сен-11, (31)

Cisco 881 +VPN, Michail_M, 11:13 , 11-Ноя-10, (26)

Cisco 881 +VPN, Michail_M, 10:31 , 18-Ноя-10, (27)

Cisco 881 +VPN, Sf, 20:00 , 03-Фев-11, (29)

Сообщения по теме [Сортировка по времени | RSS]

1. "Cisco 881 +VPN" +/–

Сообщение от Николай (??) on 11-Окт-10, 15:45

> Есть два маршрутизатора Cisco 881. Можно ли через них связать два офиса
> через VPN/ В каком направлении копать? С VPN не сталкивался.
Копать в направлении ВПН :))
В зависимости от подключения - хотя бы на одном из них должен быть фиксированный ИНЕТ ИП. Далее смотри в сторону
Site ti Site VPN - другими словами IPSEC (crypto map)
Dynamic VPN
GRE+IPSEC
Easy VPN

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 26-Окт-10, 08:40

Так и не смог определиться, что выбрать.
Easy VPN отпадает сразу. Я так понимаю это для PIXов.
Dynamic VPN не смог поднять, как впрочем и IPSEC.
GW(config)#crypto ?
    ca Certification authority
    key Long term key operations
    pki Public Key components
    provisioning Secure Device Provisioning
    wui Crypto HTTP configuration interfaces
Начинаю сомневаться что можно как-то создать VPN между 881.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Cisco 881 +VPN" +/–

Сообщение от kolyaniust (ok) on 26-Окт-10, 11:00

> Так и не смог определиться, что выбрать.
> Easy VPN отпадает сразу. Я так понимаю это для PIXов.
> Dynamic VPN не смог поднять, как впрочем и IPSEC.
> GW(config)#crypto ?
>     ca Certification authority
>     key Long term key operations
>     pki Public Key components
>     provisioning Secure Device Provisioning
>     wui Crypto HTTP configuration interfaces
> Начинаю сомневаться что можно как-то создать VPN между 881.
Версию IOSа проверьте.
У меня старая c880data-universalk9-mz.124-20.T1.bin
ХХХ(config)#crypto ?
  ca            Certification authority
  call          Configure Crypto Call Admission Control
  ctcp          Configure cTCP encapsulation
  dynamic-map   Specify a dynamic crypto map template
  engine        Enter a crypto engine configurable menu
  gdoi          Configure GDOI policy
  identity      Enter a crypto identity list
  ipsec         Configure IPSEC policy
  isakmp        Configure ISAKMP policy
  key           Long term key operations
  keyring       Key ring commands
  logging       logging messages
  map           Enter a crypto map
  mib           Configure Crypto-related MIB Parameters
  pki           Public Key components
  provisioning  Secure Device Provisioning
  wui           Crypto HTTP configuration interfaces
  xauth         X-Auth parameters

И все гут работает.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Cisco 881 +VPN" +/–

Сообщение от svel on 26-Окт-10, 11:19

> Так и не смог определиться, что выбрать.
> Easy VPN отпадает сразу. Я так понимаю это для PIXов.
> Dynamic VPN не смог поднять, как впрочем и IPSEC.
> GW(config)#crypto ?
>     ca Certification authority
>     key Long term key operations
>     pki Public Key components
>     provisioning Secure Device Provisioning
>     wui Crypto HTTP configuration interfaces
> Начинаю сомневаться что можно как-то создать VPN между 881.
Покажите народу листинг #show version
станет понятно что и как у вас, и к тому же если просто задача соединить две подсети разных офисов то мне кажется лучше выбрать gre ip туннель.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

5. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 26-Окт-10, 12:43

Задача подключить небольшую сеть к существующей.
Cisco IOS Software, C880 Software (C880DATA-UNIVERSALK9_NPE-M), Version 15.1(1)T
1, RELEASE SOFTWARE (fc2)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2010 by Cisco Systems, Inc.
Compiled Mon 19-Jul-10 07:17 by prod_rel_team
ROM: System Bootstrap, Version 12.4(22r)YB5, RELEASE SOFTWARE (fc1)
GW uptime is 1 day, 4 hours, 17 minutes
System returned to ROM by power-on
System image file is "flash:c880data-universalk9_npe-mz.151-1.T1.bin"
Last reload type: Normal Reload

This product contains cryptographic features and is subject to United
States and local country laws governing import, export, transfer and
use. Delivery of Cisco cryptographic products does not imply
third-party authority to import, export, distribute or use encryption.
Importers, exporters, distributors and users are responsible for
compliance with U.S. and local country laws. By using this product you
agree to comply with applicable laws and regulations. If you are unable
to comply with U.S. and local laws, return this product immediately.
A summary of U.S. laws governing Cisco cryptographic products may be found at:
http://www.cisco.com/wwl/export/crypto/tool/stqrg.html
If you require further assistance please contact us by sending email to
export@cisco.com.
Cisco 881 (MPC8300) processor (revision 1.0) with 236544K/25600K bytes of memory
.
Processor board ID FCZ14339371
5 FastEthernet interfaces
256K bytes of non-volatile configuration memory.
125440K bytes of ATA CompactFlash (Read/Write)

License Info:
License UDI:
-------------------------------------------------
Device#   PID                   SN
-------------------------------------------------
*0        CISCO881-K9           FCZ14339371

License Information for 'c880-data'
    License Level: advsecurity_npe   Type: Permanent
    Next reboot license Level: advsecurity_npe

Configuration register is 0x2102

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "Cisco 881 +VPN" +/–

Сообщение от svel on 26-Окт-10, 16:33

>[оверквотинг удален]
> -------------------------------------------------
> Device#   PID
>           SN
> -------------------------------------------------
> *0        CISCO881-K9
>        FCZ14339371
> License Information for 'c880-data'
>     License Level: advsecurity_npe   Type: Permanent
>     Next reboot license Level: advsecurity_npe
> Configuration register is 0x2102
Мне очень жаль npe означает No Payload Encryption или по русски будет вырезанная функция шифрования. Так что IPSec вам не доступен. Ваш шанс просто поднять gre/ip туннель. Не совсем безопасно но задачу поставленную перед вами решит.
создаете туннель интерфейсы:
пример
<Cisco 881-a> ------ <Cisco 881-b>
192.168.0.0/24       192.168.1.0/24
  Vlan1                Vlan1
На роутере Cisco 881-a пишем следующие команды
#enable
#configure terminal
#interface tunnel 100
#description Tunnel to main office
#ip address unnumbered Vlan1
#tunnel source fastethernet 4 <указываете интерфейс смотрящий в интернет>
#tunnel destination 123.123.123.123 <указываете ИП адрес роутера Cisco 881-b,>
#exit
#ip route 192.168.1.0 255.255.255.0 tunnel 100
#exit
#write
На роутере Cisco 881-b пишем тоже самое но обратно
#enable
#configure terminal
#interface tunnel 100
#description Tunnel to remote office
#ip address unnumbered Vlan1
#tunnel source fastethernet 4 <указываете интерфейс смотрящий в интернет>
#tunnel destination 456.456.456.456 <указываете ИП адрес роутера Cisco 881-a,>
#exit
#ip route 192.168.0.0 255.255.255.0 tunnel 100
#exit
#write
Пробуем пинговать роутера друг друга
#ping 192.168.0.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.0.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
В принципе все, теперь если эти маршрутизаторы стоят как Основной шлюз у всех машин в сети то компьютеры из одной сети будут спокойно видеть компьютеры из другой.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 26-Окт-10, 17:13

Огромное спасибо! Хотя бы так.
Тогда еще вопрос - предложенный вариант предполагает работу через "белые" адреса. А если один "белый" (тот что в основной сети), а другой "серый" -  такой вариант можно реализовать? У меня давно реализована схема с VPN на ISA - там клиент может находиться где угодно. Можно ли так же реализовать?
И еще -  в самой цмске ведь какое-то шифрование предусмотрено? Не обязательно IPSEC.
Может с использованием сертификатов?
Вотна всякий случай рабочий конфиг.
#sh run
Building configuration...
Current configuration : 4834 bytes
!
! Last configuration change at 14:23:38 UTC Mon Oct 25 2010 by michail
!
version 15.1
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname GW
!
boot-start-marker
boot-end-marker
!
logging buffered 51200 warnings
!
no aaa new-model
memory-size iomem 10
ip source-route
!
!
!
ip cef
no ip domain lookup
no ipv6 cef
!
!
!
crypto pki trustpoint TP-self-signed-3234641122
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-3234641122
revocation-check none
rsakeypair TP-self-signed-3234641122
!
!
crypto pki certificate chain TP-self-signed-3234641122
certificate self-signed 01
  30820243 308201AC A0030201 02020101 300D0609 2A864886 F70D0101 04050030
  31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274
  69666963 6174652D 33323334 36343131 3232301E 170D3130 31303235 30353234
  34335A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649
  4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D33 32333436
  34313132 3230819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281
  8100B7CF 8095E349 4AE3527F DA1CFC93 CCBE062F C69CF8E7 DDD6CF3F 5041716B
  895E1263 DEA5BC41 4DCFC4EA C7CC21FA A0BC8FF6 8959A298 C85A7F8C 8087161D
  17F2DF58 DA3B930E D2D70829 7B824E23 E477344E 8BFBE4D4 BFDF081F 23FC208F
  58AAFBD2 A1207413 AE8CF4DD 77C67FE9 4A942B12 A78E7ABC 5DC2A79A 106E4E81
  5F090203 010001A3 6B306930 0F060355 1D130101 FF040530 030101FF 30160603
  551D1104 0F300D82 0B47575F 56535F50 656E7A61 301F0603 551D2304 18301680
  14718F63 C18F966F F2F53CBD 97484924 85496BEC 51301D06 03551D0E 04160414
  718F63C1 8F966FF2 F53CBD97 48492485 496BEC51 300D0609 2A864886 F70D0101
  04050003 81810042 5E05B19C 25FD6791 3294279C 50C277CD EEC89420 75A4C988
  3C895F4F 095D999C 181ED6B2 3F86A823 3EC8A265 7CF1FA4B D031EBDD B16D7F8A
  2D6869AE CCEFD436 2861925F FA84B395 279CCC9A B134BA7B A2CF377C A6D389F4
  461F75DA 32C4B4B3 2D8D2C00 AD42CCA3 C4782187 F4F04B88 4C2AFF6A 5B7297B7
  F98A0798 A04AF6
        quit
license udi pid CISCO881-K9 sn FCZ14339371
!
!
!
!
!
class-map type inspect match-all ccp-invalid-src
match access-group 100
!
!
!
!
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface FastEthernet4
description $FW_OUTSIDE$$ES_WAN$
ip address xxxxxxxxxxxxxxxxxx
duplex auto
speed auto
!
interface Vlan1
description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$$FW_INSIDE$
ip address 192.168.10.171 255.255.255.0
ip tcp adjust-mss 1452
!
ip forward-protocol nd
ip http server
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
!
!
no cdp run
!
!
!
!
!
control-plane
!
!
line con 0
login local
no modem enable
line aux 0
line vty 0 4
privilege level 15
login local
transport input telnet ssh
!
end

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

8. "Cisco 881 +VPN" +/–

Сообщение от svel on 26-Окт-10, 18:28

>[оверквотинг удален]
> line con 0
>  login local
>  no modem enable
> line aux 0
> line vty 0 4
>  privilege level 15
>  login local
>  transport input telnet ssh
> !
> end
Ну cisco шифрует трафик от "ip http secure-server" используя "certificate self-signed 01", но трафик проходящий через туннель вам так не загнать, только на ASA можно использовать ssl vpn. Вам бы я порекомендовал следующее:
<Cisco 881-a> ------ <Cisco 881-b>
192.168.0.0/24       192.168.1.0/24
  Vlan1                Vlan1
На роутере Cisco 881-a пишем следующие команды
#enable
#configure terminal
#interface tunnel 100
#description Tunnel to remote office
#ip address unnumbered Vlan1
#ip nhrp authentication test
#ip nhrp map multicast dynamic
#ip nhrp network-id 100000
#tunnel source fastethernet 4 <указываете интерфейс смотрящий в интернет>
#tunnel mode gre multipoint
#tunnel key 100000
#exit
#ip route 192.168.1.0 255.255.255.0 tunnel 100
#exit
#write
На роутере Cisco 881-b пишем тоже самое но обратно
#enable
#configure terminal
#interface tunnel 100
#description Tunnel to main office
#ip address unnumbered Vlan1
#ip nhrp authentication test
#ip nhrp map 192.168.0.1 456.456.456.456
#ip nhrp network-id 100000
#ip nhrp nhs 192.168.0.1
#tunnel source fastethernet4
#tunnel destination 456.456.456.456 <указываете ИП адрес роутера Cisco 881-a,>
#exit
#ip route 192.168.0.0 255.255.255.0 tunnel 100
#exit
#write
Я признаюсь честно сам не пробовал "Dynamic Tunnels Between Spokes Behind a NAT Device", так что вот вам ссылка для более подробной информации - http://www.cisco.com/en/US/docs/ios/sec_secure_connectivity/...

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

9. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 26-Окт-10, 20:55

Еще раз огромное вам спасибо!!!
Буду пробовать
Особенно в направлении DMVPN.
Именно это мне и нужно.
Спасибо!

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

10. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 27-Окт-10, 08:52

Добрый день!
Вопрос к  svel.
Сегодня решил сделать как вы предлагали. И опять проблемы.
#ip address unnumbered Vlan1
                                  ^
% Invalid input detected at '^' marker.
(config-if)#ip address ?
  A.B.C.D  IP address
  pool     IP Address autoconfigured from a local DHCP pool

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

11. "Cisco 881 +VPN" +/–

Сообщение от GolDi (??) on 27-Окт-10, 10:11

>[оверквотинг удален]
> #ip address unnumbered Vlan1
>
>
>
> ^
> % Invalid input detected at '^' marker.
> (config-if)#ip address ?
>   A.B.C.D  IP address
>   pool     IP Address autoconfigured from a
> local DHCP pool
Ну присвойте какой-нибудь серый адрес,это будет сеть в туннеле

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

12. "Cisco 881 +VPN" +/–

Сообщение от svel on 27-Окт-10, 10:12

>[оверквотинг удален]
> #ip address unnumbered Vlan1
>
>
>
> ^
> % Invalid input detected at '^' marker.
> (config-if)#ip address ?
>   A.B.C.D  IP address
>   pool     IP Address autoconfigured from a
> local DHCP pool
Прошу прощения, я просто на память писал и ошибся, пример моего конфига для туннеля на аналогичной модели
interface Tunnel100
description tunnel to main router in Yekaterinburg city
ip unnumbered Vlan1
tunnel source FastEthernet4
tunnel destination 222.222.222.000
понятно что в вашем случае надо еще добавить настройки для динамических туннелей за НАТ устройствами.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

13. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 27-Окт-10, 10:49

> понятно что в вашем случае надо еще добавить настройки для динамических туннелей
> за НАТ устройствами.
А какие настройки?
И какой выход?
Ситуация такая - есть некая сеть класса А (10.0.0.0/24). Сеть выхода в инет не имела (да и не нужен). Необходимо к этой сети подключиться. Причем иногда в разных местах. Т.е. адрес может быть любым. Со стороны основной сети адрес "белый".
Я так понимаю мне надо на туннель ставить какой-то адрес и потом прописать маршрут между внешним интерфейсом и туннелем и между туннелем и vlan?

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

14. "Cisco 881 +VPN" +/–

Сообщение от svel on 27-Окт-10, 12:19

>[оверквотинг удален]
>> за НАТ устройствами.
> А какие настройки?
> И какой выход?
> Ситуация такая - есть некая сеть класса А (10.0.0.0/24). Сеть выхода в
> инет не имела (да и не нужен). Необходимо к этой сети
> подключиться. Причем иногда в разных местах. Т.е. адрес может быть любым.
> Со стороны основной сети адрес "белый".
> Я так понимаю мне надо на туннель ставить какой-то адрес и потом
> прописать маршрут между внешним интерфейсом и туннелем и между туннелем и
> vlan?
да надо указать какой либо ИП адрес
настройки я указал вам в предыдущем посте, только вместо
#ip address unnumbered Vlan1
указываете
#ip unnumbered Vlan1

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

15. "Cisco 881 +VPN" +/–

Сообщение от svel on 27-Окт-10, 12:29

> Ситуация такая - есть некая сеть класса А (10.0.0.0/24). Сеть выхода в
> инет не имела (да и не нужен). Необходимо к этой сети
> подключиться. Причем иногда в разных местах. Т.е. адрес может быть любым.
> Со стороны основной сети адрес "белый".
это интересно, я думал ваша задача такого плана:
Офис №1                --- Интернет --- Офис №2
сеть 10.0.0.0/24                        сеть 10.0.1.0/24
внешний ИП <серый>                      внешний ИП <белый>
Надо чтобы компьютера из сети Офиса №1 и 2 спокойно видели друг друга.

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

16. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 27-Окт-10, 15:06

Вот такая задача:
     Офис №1      ---    Интернет   ---    Офис №2
сеть 10.X.Y.0/24                      сеть 10.X.Y.0/24
внешний ИП <белый>                    внешний ИП <серый>

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

17. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 01-Ноя-10, 10:53

Туннель сделал. Работает. Но в сеть не пускает - дальше маршрутизатора со стороны основной сети не идет. (Адреса внешней сети взял с потолка - маршрутизаторы тупо соединил друг с другом внешними портами для облегчения настройки)
GW#sh run
Building configuration...
Current configuration : 4850 bytes
!
! Last configuration change at 08:09:42 UTC Mon Nov 1 2010 by michail
!
version 15.1
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname GW
!
boot-start-marker
boot-end-marker
!
logging buffered 51200 warnings
!
no aaa new-model
memory-size iomem 10
ip source-route
!
!
!
!
ip cef
no ip domain lookup
no ipv6 cef
!
!
!
crypto pki trustpoint TP-self-signed-3234641122
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-3234641122
revocation-check none
rsakeypair TP-self-signed-3234641122
!
!
crypto pki certificate chain TP-self-signed-3234641122
certificate self-signed 01
  30820243 308201AC A0030201 02020101 300D0609 2A864886 F70D0101 04050030
  31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274
  69666963 6174652D 33323334 36343131 3232301E 170D3130 31303237 31323431
  31335A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649
  4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D33 32333436
  34313132 3230819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281
  8100B7CF 8095E349 4AE3527F DA1CFC93 CCBE062F C69CF8E7 DDD6CF3F 5041716B
  895E1263 DEA5BC41 4DCFC4EA C7CC21FA A0BC8FF6 8959A298 C85A7F8C 8087161D
  17F2DF58 DA3B930E D2D70829 7B824E23 E477344E 8BFBE4D4 BFDF081F 23FC208F
  58AAFBD2 A1207413 AE8CF4DD 77C67FE9 4A942B12 A78E7ABC 5DC2A79A 106E4E81
  5F090203 010001A3 6B306930 0F060355 1D130101 FF040530 030101FF 30160603
  551D1104 0F300D82 0B47575F 56535F50 656E7A61 301F0603 551D2304 18301680
  14718F63 C18F966F F2F53CBD 97484924 85496BEC 51301D06 03551D0E 04160414
  718F63C1 8F966FF2 F53CBD97 48492485 496BEC51 300D0609 2A864886 F70D0101
  04050003 8181001F 92B36B56 5FF16F1C DE26E6BD BCD5162D 2BAE0344 B54E3B32
  005A3C01 CB1FC2F2 DB0ABB1A 95CD1A85 FF3DFE29 FC0B0B28 C698817C D1B3B378
  1BF1587B 1325021C 55226D83 8916525A 5104D583 C1947438 DA4E5C70 CE40E4B4
  25C1276E 77576857 46153EEC E0789DDA 6F0F9D98 0746E2E8 95FAB488 0BA5D703
  61DDC8B3 F77671
        quit
license udi pid CISCO881-K9 sn FCZ14339371
!
!
!
!
!
!
!
!
interface Tunnel100
description Tunnel to main office
ip unnumbered Vlan1
tunnel source FastEthernet4
tunnel destination 71.10.19.35
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface FastEthernet4
description $ES_WAN$
ip address 71.10.19.34 255.255.255.0
duplex auto
speed auto
!
interface Vlan1
description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$
ip address 10.1.1.171 255.255.255.0
ip tcp adjust-mss 1452
!
ip forward-protocol nd
ip http server
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
!
ip route 192.168.1.0 255.255.255.0 Tunnel100
!
no cdp run
!
!
!
!
!
control-plane
!
!
line con 0
login local
no modem enable
line aux 0
line vty 0 4
privilege level 15
login local
transport input telnet ssh
!
end
Ext#sh run
Building configuration...
Current configuration : 4894 bytes
!
! Last configuration change at 07:09:42 UTC Mon Nov 1 2010 by michail
!
version 15.1
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Ext
!
boot-start-marker
boot-end-marker
!
logging buffered 51200 warnings
!
no aaa new-model
memory-size iomem 10
ip source-route
!
!
!
!
ip cef
no ip domain lookup
no ipv6 cef
!
!
!
crypto pki trustpoint TP-self-signed-3354675918
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-3354675918
revocation-check none
rsakeypair TP-self-signed-3354675918
!
!
crypto pki certificate chain TP-self-signed-3354675918
certificate self-signed 01
  30820244 308201AD A0030201 02020101 300D0609 2A864886 F70D0101 04050030
  31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274
  69666963 6174652D 33333534 36373539 3138301E 170D3130 31303235 30343235
  35335A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649
  4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D33 33353436
  37353931 3830819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281
  8100A37B 9AB40038 19E3C560 A16D8FA2 1E896F33 6427FAE4 498C6A71 03675A5C
  4DFF0207 5BE311AE 5A007FD9 350AAD99 34F217EE CF8F96D9 82D64B1F 5D6C24E2
  3B941EB5 BBF86F33 083AFF6E F7A96D4A 3DF4A3C8 AC3D3E81 B9141307 C22BDB30
  C01C405D EBDB2222 01E90F01 CD1F22F3 78726161 54593D35 EA0977C0 97FC01EA
  52EF0203 010001A3 6C306A30 0F060355 1D130101 FF040530 030101FF 30170603
  551D1104 10300E82 0C457874 5F56535F 50656E7A 61301F06 03551D23 04183016
  80142168 974A059F 7012CA8D 064E16CB 12E3ECD8 A26A301D 0603551D 0E041604
  14216897 4A059F70 12CA8D06 4E16CB12 E3ECD8A2 6A300D06 092A8648 86F70D01
  01040500 03818100 4AFE29A3 AA24FA01 0C83A012 B8285231 CCA6BDB0 B591994E
  DE4C5272 FBA2E920 1EDC5B20 5F4705A1 35DAAC51 FF6AA765 C10ED5AE EF099831
  990A0A8A 26C56324 BBC51C65 23B9C661 D105A391 6CEFB407 0A3054E3 92CB3830
  F0DB95CD A3F964A3 378B0FE3 D9095360 B3214467 799F8FB4 AFB7100B AA812A10
  54C1C00C 640E011C
        quit
license udi pid CISCO881-K9 sn FCZ1433937F
!
!
!
!
!
!
!
!
interface Tunnel100
description Tunnel to remote office
ip unnumbered Vlan1
tunnel source FastEthernet4
tunnel destination 71.10.19.34
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface FastEthernet4
ip address 71.10.19.35 255.255.255.0
duplex auto
speed auto
!
interface Vlan1
description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$
ip address 192.168.1.1 255.255.255.0
ip tcp adjust-mss 1452
!
ip forward-protocol nd
ip http server
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
!
ip route 10.0.0.0 255.0.0.0 Tunnel100
!
no cdp run
!
!
!
!
!
control-plane
!
!
line con 0
login local
no modem enable
line aux 0
line vty 0 4
privilege level 15
login local
transport input telnet ssh
!
end

из сети 192.168.1.0 пинги доходят до маршрутизатора GW - 10.1.1.171, а вот другие адреса в этой сети не пингуются (10.1.1.11 например). С самого маршрутизатора все в порядке. Что-то с маршрутами наверняка, но не вижу что.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

18. "Cisco 881 +VPN" +/–

Сообщение от svel on 03-Ноя-10, 12:45

>[оверквотинг удален]
> line vty 0 4
>  privilege level 15
>  login local
>  transport input telnet ssh
> !
> end
> из сети 192.168.1.0 пинги доходят до маршрутизатора GW - 10.1.1.171, а вот
> другие адреса в этой сети не пингуются (10.1.1.11 например). С самого
> маршрутизатора все в порядке. Что-то с маршрутами наверняка, но не вижу
> что.
Листинг sh ip ro с обоих роутеров в студию.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

19. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 03-Ноя-10, 13:28

GW#sh ip ro
Gateway of last resort is not set
      10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C        10.1.1.0/24 is directly connected, Vlan1
L        10.1.1.171/32 is directly connected, Vlan1
      71.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C        71.10.19.0/24 is directly connected, FastEthernet4
L        71.10.19.34/32 is directly connected, FastEthernet4
S     192.168.1.0/24 is directly connected, Tunnel100
Ext#sh ip ro
Gateway of last resort is not set
      10.0.0.0/24 is subnetted, 1 subnets
S        10.1.1.0 is directly connected, Tunnel100
      71.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C        71.10.19.0/24 is directly connected, FastEthernet4
L        71.10.19.35/32 is directly connected, FastEthernet4

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

20. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 08-Ноя-10, 16:26

Разобрался.
Теперь напрашивается вопрос - а можно ли как-то обезопасить такое подключение?
И интересует как реализовать подключение "белый"-"серый" адрес.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

21. "Cisco 881 +VPN" +/–

Сообщение от j_vw on 08-Ноя-10, 17:13

Кодовые слова ;)
> Теперь напрашивается вопрос - а можно ли как-то обезопасить такое подключение?
tunnel protection ipsec profile
> И интересует как реализовать подключение "белый"-"серый" адрес.
DMVPN

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

22. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 08-Ноя-10, 20:10

> tunnel protection ipsec profile
Уже разбирали:
> Мне очень жаль npe означает No Payload Encryption или по русски будет вырезанная функция шифрования. Так что IPSec вам не доступен.
> DMVPN
Dynamic Multipoint Virtual Private Network - насколько я понял, там опять IPSec.

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

23. "Cisco 881 +VPN" +/–

Сообщение от j_vw on 08-Ноя-10, 22:51

> Dynamic Multipoint Virtual Private Network - насколько я понял, там опять IPSec.
Изначально -  без него...
Но прикручивается так же, как и на туннели точка-точка.......

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

24. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 09-Ноя-10, 08:45

> Изначально -  без него...
> Но прикручивается так же, как и на туннели точка-точка.......
Если так, то спасибо.
А что можете посоветовать по поводу шифрования? Что можно использовать?
И надо ли включать файрвол? Nat не используется.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

25. "Cisco 881 +VPN" +/–

Сообщение от svel on 09-Ноя-10, 12:15

>> Изначально -  без него...
>> Но прикручивается так же, как и на туннели точка-точка.......
> Если так, то спасибо.
> А что можете посоветовать по поводу шифрования? Что можно использовать?
> И надо ли включать файрвол? Nat не используется.
Докупить лицензию. Она разблокирует шифрование.

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

28. "Cisco 881 +VPN" +/–

Сообщение от Александр (??) on 01-Фев-11, 20:25

>>> Изначально -  без него...
>>> Но прикручивается так же, как и на туннели точка-точка.......
>> Если так, то спасибо.
>> А что можете посоветовать по поводу шифрования? Что можно использовать?
>> И надо ли включать файрвол? Nat не используется.
> Докупить лицензию. Она разблокирует шифрование.
Скажите пожалуйста, как докупить лицензию?
В смысле как точно она называется (партномер),
и может знаете способ как их покупать?
На территории России их никто не сможет продать, запрещен ввоз в страну,
нужно как-то умудриться купить через заграницу.
Есть какой-то способ их купить, с оплатой кредиткой, к примеру?
на сайте нашли такие позиции
L-880-AIS=    eDelivery Cisco 880 Advanced IP Services License PAK
SL-880-AIS=    Cisco 880 Advanced IP Services License
Что-то из этого и есть нужная лицензия? Чем они отличаются?

Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

32. "Cisco 881 +VPN" +/–

Сообщение от svel on 27-Сен-11, 10:44

>[оверквотинг удален]
> Скажите пожалуйста, как докупить лицензию?
> В смысле как точно она называется (партномер),
> и может знаете способ как их покупать?
> На территории России их никто не сможет продать, запрещен ввоз в страну,
> нужно как-то умудриться купить через заграницу.
> Есть какой-то способ их купить, с оплатой кредиткой, к примеру?
> на сайте нашли такие позиции
> L-880-AIS= eDelivery Cisco 880 Advanced IP Services License PAK
> SL-880-AIS= Cisco 880 Advanced IP Services License
> Что-то из этого и есть нужная лицензия? Чем они отличаются?
Отвечу вам все таки, лучше поздно чем никогда, может кому нибудь тоже поможет.
Покупать только у официальных представителей, ищите их сами, как неверно заметили в нижней ветке я так же ИТ специалист а не продажник.
То что вы нашли это лицензия на расширенные команды работы с IP протоколом.
Вам нужно искать Security E-Delivery PAK for Cisco 880
Вам прийдет просто код "Product Authorization Key", далее вы регистрируетесь на сайте www.cisco.com, заходите в Раздел Support, далее идите в раздел Tools, и выберайте пункт Software registration заполняете форму, и вам на указанные e-mail адрес приходит файлик лицензии, предупреждаю что он одноразовый. Его надо будет разместить на tftp сервере и командой "license install tftp://<... >/xxxx.lic" залить на маршрутизатор, и в конце команда reload для перезагрузки и применения изменений.

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

30. "Cisco 881 +VPN" +/–

Сообщение от DarK (ok) on 02-Июн-11, 08:37

>[оверквотинг удален]
> Gateway of last resort is not set
>       10.0.0.0/24 is subnetted, 1 subnets
> S        10.1.1.0 is directly connected,
> Tunnel100
>       71.0.0.0/8 is variably subnetted, 2 subnets,
> 2 masks
> C        71.10.19.0/24 is directly connected,
> FastEthernet4
> L        71.10.19.35/32 is directly connected,
> FastEthernet4
В чем была причина? Можешь написать.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

31. "Cisco 881 +VPN" +/–

Сообщение от kondratik on 02-Сен-11, 07:50

> hostname GW
> !
> ip route 192.168.1.0 255.255.255.0 Tunnel100
> !
> !
> ip route 10.0.0.0 255.0.0.0 Tunnel100
> !
роутить надо не в тунель, а на IP тунеля

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

26. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 11-Ноя-10, 11:13

Вам бы я порекомендовал следующее:
> <Cisco 881-a> ------ <Cisco 881-b>
> 192.168.0.0/24       192.168.1.0/24
> На роутере Cisco 881-a пишем следующие команды
> #tunnel mode gre multipoint
После ввода команды выдает "Mode change not accepted"

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

27. "Cisco 881 +VPN" +/–

Сообщение от Michail_M (ok) on 18-Ноя-10, 10:31

А возможно построить туннель без маршрутизации, в режиме моста?

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

29. "Cisco 881 +VPN" +/–

Сообщение от Sf on 03-Фев-11, 20:00

вас так долго добрый человек подводил к покупке лицензии...) будет странно, если он окажется не менеджер )) в таком случае пусть подскажет вам подробнее по импортным ограничениям на оборудование со стойким крипто и необходимыми манипуляциями.
туннель можно будет поднять в любом режиме, вопрос в том как вы его будете защищать.

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Cisco 881 +VPN"	+/–
Сообщение от Николай (??) on 11-Окт-10, 15:45
> Есть два маршрутизатора Cisco 881. Можно ли через них связать два офиса > через VPN/ В каком направлении копать? С VPN не сталкивался. Копать в направлении ВПН :)) В зависимости от подключения - хотя бы на одном из них должен быть фиксированный ИНЕТ ИП. Далее смотри в сторону Site ti Site VPN - другими словами IPSEC (crypto map) Dynamic VPN GRE+IPSEC Easy VPN
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	2. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 26-Окт-10, 08:40
	Так и не смог определиться, что выбрать. Easy VPN отпадает сразу. Я так понимаю это для PIXов. Dynamic VPN не смог поднять, как впрочем и IPSEC. GW(config)#crypto ? ca Certification authority key Long term key operations pki Public Key components provisioning Secure Device Provisioning wui Crypto HTTP configuration interfaces Начинаю сомневаться что можно как-то создать VPN между 881.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	3. "Cisco 881 +VPN"	+/–
	Сообщение от kolyaniust (ok) on 26-Окт-10, 11:00
	> Так и не смог определиться, что выбрать. > Easy VPN отпадает сразу. Я так понимаю это для PIXов. > Dynamic VPN не смог поднять, как впрочем и IPSEC. > GW(config)#crypto ? > ca Certification authority > key Long term key operations > pki Public Key components > provisioning Secure Device Provisioning > wui Crypto HTTP configuration interfaces > Начинаю сомневаться что можно как-то создать VPN между 881. Версию IOSа проверьте. У меня старая c880data-universalk9-mz.124-20.T1.bin ХХХ(config)#crypto ? ca Certification authority call Configure Crypto Call Admission Control ctcp Configure cTCP encapsulation dynamic-map Specify a dynamic crypto map template engine Enter a crypto engine configurable menu gdoi Configure GDOI policy identity Enter a crypto identity list ipsec Configure IPSEC policy isakmp Configure ISAKMP policy key Long term key operations keyring Key ring commands logging logging messages map Enter a crypto map mib Configure Crypto-related MIB Parameters pki Public Key components provisioning Secure Device Provisioning wui Crypto HTTP configuration interfaces xauth X-Auth parameters И все гут работает.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	4. "Cisco 881 +VPN"	+/–
	Сообщение от svel on 26-Окт-10, 11:19
	> Так и не смог определиться, что выбрать. > Easy VPN отпадает сразу. Я так понимаю это для PIXов. > Dynamic VPN не смог поднять, как впрочем и IPSEC. > GW(config)#crypto ? > ca Certification authority > key Long term key operations > pki Public Key components > provisioning Secure Device Provisioning > wui Crypto HTTP configuration interfaces > Начинаю сомневаться что можно как-то создать VPN между 881. Покажите народу листинг #show version станет понятно что и как у вас, и к тому же если просто задача соединить две подсети разных офисов то мне кажется лучше выбрать gre ip туннель.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	5. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 26-Окт-10, 12:43
	Задача подключить небольшую сеть к существующей. Cisco IOS Software, C880 Software (C880DATA-UNIVERSALK9_NPE-M), Version 15.1(1)T 1, RELEASE SOFTWARE (fc2) Technical Support: http://www.cisco.com/techsupport Copyright (c) 1986-2010 by Cisco Systems, Inc. Compiled Mon 19-Jul-10 07:17 by prod_rel_team ROM: System Bootstrap, Version 12.4(22r)YB5, RELEASE SOFTWARE (fc1) GW uptime is 1 day, 4 hours, 17 minutes System returned to ROM by power-on System image file is "flash:c880data-universalk9_npe-mz.151-1.T1.bin" Last reload type: Normal Reload This product contains cryptographic features and is subject to United States and local country laws governing import, export, transfer and use. Delivery of Cisco cryptographic products does not imply third-party authority to import, export, distribute or use encryption. Importers, exporters, distributors and users are responsible for compliance with U.S. and local country laws. By using this product you agree to comply with applicable laws and regulations. If you are unable to comply with U.S. and local laws, return this product immediately. A summary of U.S. laws governing Cisco cryptographic products may be found at: http://www.cisco.com/wwl/export/crypto/tool/stqrg.html If you require further assistance please contact us by sending email to export@cisco.com. Cisco 881 (MPC8300) processor (revision 1.0) with 236544K/25600K bytes of memory . Processor board ID FCZ14339371 5 FastEthernet interfaces 256K bytes of non-volatile configuration memory. 125440K bytes of ATA CompactFlash (Read/Write) License Info: License UDI: ------------------------------------------------- Device# PID SN ------------------------------------------------- *0 CISCO881-K9 FCZ14339371 License Information for 'c880-data' License Level: advsecurity_npe Type: Permanent Next reboot license Level: advsecurity_npe Configuration register is 0x2102
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	6. "Cisco 881 +VPN"	+/–
	Сообщение от svel on 26-Окт-10, 16:33
	>[оверквотинг удален] > ------------------------------------------------- > Device# PID > SN > ------------------------------------------------- > *0 CISCO881-K9 > FCZ14339371 > License Information for 'c880-data' > License Level: advsecurity_npe Type: Permanent > Next reboot license Level: advsecurity_npe > Configuration register is 0x2102 Мне очень жаль npe означает No Payload Encryption или по русски будет вырезанная функция шифрования. Так что IPSec вам не доступен. Ваш шанс просто поднять gre/ip туннель. Не совсем безопасно но задачу поставленную перед вами решит. создаете туннель интерфейсы: пример <Cisco 881-a> ------ <Cisco 881-b> 192.168.0.0/24 192.168.1.0/24 Vlan1 Vlan1 На роутере Cisco 881-a пишем следующие команды #enable #configure terminal #interface tunnel 100 #description Tunnel to main office #ip address unnumbered Vlan1 #tunnel source fastethernet 4 <указываете интерфейс смотрящий в интернет> #tunnel destination 123.123.123.123 <указываете ИП адрес роутера Cisco 881-b,> #exit #ip route 192.168.1.0 255.255.255.0 tunnel 100 #exit #write На роутере Cisco 881-b пишем тоже самое но обратно #enable #configure terminal #interface tunnel 100 #description Tunnel to remote office #ip address unnumbered Vlan1 #tunnel source fastethernet 4 <указываете интерфейс смотрящий в интернет> #tunnel destination 456.456.456.456 <указываете ИП адрес роутера Cisco 881-a,> #exit #ip route 192.168.0.0 255.255.255.0 tunnel 100 #exit #write Пробуем пинговать роутера друг друга #ping 192.168.0.1 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.0.1, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms В принципе все, теперь если эти маршрутизаторы стоят как Основной шлюз у всех машин в сети то компьютеры из одной сети будут спокойно видеть компьютеры из другой.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	7. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 26-Окт-10, 17:13
	Огромное спасибо! Хотя бы так. Тогда еще вопрос - предложенный вариант предполагает работу через "белые" адреса. А если один "белый" (тот что в основной сети), а другой "серый" - такой вариант можно реализовать? У меня давно реализована схема с VPN на ISA - там клиент может находиться где угодно. Можно ли так же реализовать? И еще - в самой цмске ведь какое-то шифрование предусмотрено? Не обязательно IPSEC. Может с использованием сертификатов? Вотна всякий случай рабочий конфиг. #sh run Building configuration... Current configuration : 4834 bytes ! ! Last configuration change at 14:23:38 UTC Mon Oct 25 2010 by michail ! version 15.1 no service pad service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname GW ! boot-start-marker boot-end-marker ! logging buffered 51200 warnings ! no aaa new-model memory-size iomem 10 ip source-route ! ! ! ip cef no ip domain lookup no ipv6 cef ! ! ! crypto pki trustpoint TP-self-signed-3234641122 enrollment selfsigned subject-name cn=IOS-Self-Signed-Certificate-3234641122 revocation-check none rsakeypair TP-self-signed-3234641122 ! ! crypto pki certificate chain TP-self-signed-3234641122 certificate self-signed 01 30820243 308201AC A0030201 02020101 300D0609 2A864886 F70D0101 04050030 31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274 69666963 6174652D 33323334 36343131 3232301E 170D3130 31303235 30353234 34335A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649 4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D33 32333436 34313132 3230819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281 8100B7CF 8095E349 4AE3527F DA1CFC93 CCBE062F C69CF8E7 DDD6CF3F 5041716B 895E1263 DEA5BC41 4DCFC4EA C7CC21FA A0BC8FF6 8959A298 C85A7F8C 8087161D 17F2DF58 DA3B930E D2D70829 7B824E23 E477344E 8BFBE4D4 BFDF081F 23FC208F 58AAFBD2 A1207413 AE8CF4DD 77C67FE9 4A942B12 A78E7ABC 5DC2A79A 106E4E81 5F090203 010001A3 6B306930 0F060355 1D130101 FF040530 030101FF 30160603 551D1104 0F300D82 0B47575F 56535F50 656E7A61 301F0603 551D2304 18301680 14718F63 C18F966F F2F53CBD 97484924 85496BEC 51301D06 03551D0E 04160414 718F63C1 8F966FF2 F53CBD97 48492485 496BEC51 300D0609 2A864886 F70D0101 04050003 81810042 5E05B19C 25FD6791 3294279C 50C277CD EEC89420 75A4C988 3C895F4F 095D999C 181ED6B2 3F86A823 3EC8A265 7CF1FA4B D031EBDD B16D7F8A 2D6869AE CCEFD436 2861925F FA84B395 279CCC9A B134BA7B A2CF377C A6D389F4 461F75DA 32C4B4B3 2D8D2C00 AD42CCA3 C4782187 F4F04B88 4C2AFF6A 5B7297B7 F98A0798 A04AF6 quit license udi pid CISCO881-K9 sn FCZ14339371 ! ! ! ! ! class-map type inspect match-all ccp-invalid-src match access-group 100 ! ! ! ! ! interface FastEthernet0 ! interface FastEthernet1 ! interface FastEthernet2 ! interface FastEthernet3 ! interface FastEthernet4 description $FW_OUTSIDE$$ES_WAN$ ip address xxxxxxxxxxxxxxxxxx duplex auto speed auto ! interface Vlan1 description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$$FW_INSIDE$ ip address 192.168.10.171 255.255.255.0 ip tcp adjust-mss 1452 ! ip forward-protocol nd ip http server ip http authentication local ip http secure-server ip http timeout-policy idle 60 life 86400 requests 10000 ! ! no cdp run ! ! ! ! ! control-plane ! ! line con 0 login local no modem enable line aux 0 line vty 0 4 privilege level 15 login local transport input telnet ssh ! end
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	8. "Cisco 881 +VPN"	+/–
	Сообщение от svel on 26-Окт-10, 18:28
	>[оверквотинг удален] > line con 0 > login local > no modem enable > line aux 0 > line vty 0 4 > privilege level 15 > login local > transport input telnet ssh > ! > end Ну cisco шифрует трафик от "ip http secure-server" используя "certificate self-signed 01", но трафик проходящий через туннель вам так не загнать, только на ASA можно использовать ssl vpn. Вам бы я порекомендовал следующее: <Cisco 881-a> ------ <Cisco 881-b> 192.168.0.0/24 192.168.1.0/24 Vlan1 Vlan1 На роутере Cisco 881-a пишем следующие команды #enable #configure terminal #interface tunnel 100 #description Tunnel to remote office #ip address unnumbered Vlan1 #ip nhrp authentication test #ip nhrp map multicast dynamic #ip nhrp network-id 100000 #tunnel source fastethernet 4 <указываете интерфейс смотрящий в интернет> #tunnel mode gre multipoint #tunnel key 100000 #exit #ip route 192.168.1.0 255.255.255.0 tunnel 100 #exit #write На роутере Cisco 881-b пишем тоже самое но обратно #enable #configure terminal #interface tunnel 100 #description Tunnel to main office #ip address unnumbered Vlan1 #ip nhrp authentication test #ip nhrp map 192.168.0.1 456.456.456.456 #ip nhrp network-id 100000 #ip nhrp nhs 192.168.0.1 #tunnel source fastethernet4 #tunnel destination 456.456.456.456 <указываете ИП адрес роутера Cisco 881-a,> #exit #ip route 192.168.0.0 255.255.255.0 tunnel 100 #exit #write Я признаюсь честно сам не пробовал "Dynamic Tunnels Between Spokes Behind a NAT Device", так что вот вам ссылка для более подробной информации - http://www.cisco.com/en/US/docs/ios/sec_secure_connectivity/...
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	9. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 26-Окт-10, 20:55
	Еще раз огромное вам спасибо!!! Буду пробовать Особенно в направлении DMVPN. Именно это мне и нужно. Спасибо!
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	10. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 27-Окт-10, 08:52
	Добрый день! Вопрос к svel. Сегодня решил сделать как вы предлагали. И опять проблемы. #ip address unnumbered Vlan1 ^ % Invalid input detected at '^' marker. (config-if)#ip address ? A.B.C.D IP address pool IP Address autoconfigured from a local DHCP pool
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	11. "Cisco 881 +VPN"	+/–
	Сообщение от GolDi (??) on 27-Окт-10, 10:11
	>[оверквотинг удален] > #ip address unnumbered Vlan1 > > > > ^ > % Invalid input detected at '^' marker. > (config-if)#ip address ? > A.B.C.D IP address > pool IP Address autoconfigured from a > local DHCP pool Ну присвойте какой-нибудь серый адрес,это будет сеть в туннеле
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	12. "Cisco 881 +VPN"	+/–
	Сообщение от svel on 27-Окт-10, 10:12
	>[оверквотинг удален] > #ip address unnumbered Vlan1 > > > > ^ > % Invalid input detected at '^' marker. > (config-if)#ip address ? > A.B.C.D IP address > pool IP Address autoconfigured from a > local DHCP pool Прошу прощения, я просто на память писал и ошибся, пример моего конфига для туннеля на аналогичной модели interface Tunnel100 description tunnel to main router in Yekaterinburg city ip unnumbered Vlan1 tunnel source FastEthernet4 tunnel destination 222.222.222.000 понятно что в вашем случае надо еще добавить настройки для динамических туннелей за НАТ устройствами.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	13. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 27-Окт-10, 10:49
	> понятно что в вашем случае надо еще добавить настройки для динамических туннелей > за НАТ устройствами. А какие настройки? И какой выход? Ситуация такая - есть некая сеть класса А (10.0.0.0/24). Сеть выхода в инет не имела (да и не нужен). Необходимо к этой сети подключиться. Причем иногда в разных местах. Т.е. адрес может быть любым. Со стороны основной сети адрес "белый". Я так понимаю мне надо на туннель ставить какой-то адрес и потом прописать маршрут между внешним интерфейсом и туннелем и между туннелем и vlan?
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	14. "Cisco 881 +VPN"	+/–
	Сообщение от svel on 27-Окт-10, 12:19
	>[оверквотинг удален] >> за НАТ устройствами. > А какие настройки? > И какой выход? > Ситуация такая - есть некая сеть класса А (10.0.0.0/24). Сеть выхода в > инет не имела (да и не нужен). Необходимо к этой сети > подключиться. Причем иногда в разных местах. Т.е. адрес может быть любым. > Со стороны основной сети адрес "белый". > Я так понимаю мне надо на туннель ставить какой-то адрес и потом > прописать маршрут между внешним интерфейсом и туннелем и между туннелем и > vlan? да надо указать какой либо ИП адрес настройки я указал вам в предыдущем посте, только вместо #ip address unnumbered Vlan1 указываете #ip unnumbered Vlan1
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	15. "Cisco 881 +VPN"	+/–
	Сообщение от svel on 27-Окт-10, 12:29
	> Ситуация такая - есть некая сеть класса А (10.0.0.0/24). Сеть выхода в > инет не имела (да и не нужен). Необходимо к этой сети > подключиться. Причем иногда в разных местах. Т.е. адрес может быть любым. > Со стороны основной сети адрес "белый". это интересно, я думал ваша задача такого плана: Офис №1 --- Интернет --- Офис №2 сеть 10.0.0.0/24 сеть 10.0.1.0/24 внешний ИП <серый> внешний ИП <белый> Надо чтобы компьютера из сети Офиса №1 и 2 спокойно видели друг друга.
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	16. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 27-Окт-10, 15:06
	Вот такая задача: Офис №1 --- Интернет --- Офис №2 сеть 10.X.Y.0/24 сеть 10.X.Y.0/24 внешний ИП <белый> внешний ИП <серый>
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору


	17. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 01-Ноя-10, 10:53
	Туннель сделал. Работает. Но в сеть не пускает - дальше маршрутизатора со стороны основной сети не идет. (Адреса внешней сети взял с потолка - маршрутизаторы тупо соединил друг с другом внешними портами для облегчения настройки) GW#sh run Building configuration... Current configuration : 4850 bytes ! ! Last configuration change at 08:09:42 UTC Mon Nov 1 2010 by michail ! version 15.1 no service pad service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname GW ! boot-start-marker boot-end-marker ! logging buffered 51200 warnings ! no aaa new-model memory-size iomem 10 ip source-route ! ! ! ! ip cef no ip domain lookup no ipv6 cef ! ! ! crypto pki trustpoint TP-self-signed-3234641122 enrollment selfsigned subject-name cn=IOS-Self-Signed-Certificate-3234641122 revocation-check none rsakeypair TP-self-signed-3234641122 ! ! crypto pki certificate chain TP-self-signed-3234641122 certificate self-signed 01 30820243 308201AC A0030201 02020101 300D0609 2A864886 F70D0101 04050030 31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274 69666963 6174652D 33323334 36343131 3232301E 170D3130 31303237 31323431 31335A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649 4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D33 32333436 34313132 3230819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281 8100B7CF 8095E349 4AE3527F DA1CFC93 CCBE062F C69CF8E7 DDD6CF3F 5041716B 895E1263 DEA5BC41 4DCFC4EA C7CC21FA A0BC8FF6 8959A298 C85A7F8C 8087161D 17F2DF58 DA3B930E D2D70829 7B824E23 E477344E 8BFBE4D4 BFDF081F 23FC208F 58AAFBD2 A1207413 AE8CF4DD 77C67FE9 4A942B12 A78E7ABC 5DC2A79A 106E4E81 5F090203 010001A3 6B306930 0F060355 1D130101 FF040530 030101FF 30160603 551D1104 0F300D82 0B47575F 56535F50 656E7A61 301F0603 551D2304 18301680 14718F63 C18F966F F2F53CBD 97484924 85496BEC 51301D06 03551D0E 04160414 718F63C1 8F966FF2 F53CBD97 48492485 496BEC51 300D0609 2A864886 F70D0101 04050003 8181001F 92B36B56 5FF16F1C DE26E6BD BCD5162D 2BAE0344 B54E3B32 005A3C01 CB1FC2F2 DB0ABB1A 95CD1A85 FF3DFE29 FC0B0B28 C698817C D1B3B378 1BF1587B 1325021C 55226D83 8916525A 5104D583 C1947438 DA4E5C70 CE40E4B4 25C1276E 77576857 46153EEC E0789DDA 6F0F9D98 0746E2E8 95FAB488 0BA5D703 61DDC8B3 F77671 quit license udi pid CISCO881-K9 sn FCZ14339371 ! ! ! ! ! ! ! ! interface Tunnel100 description Tunnel to main office ip unnumbered Vlan1 tunnel source FastEthernet4 tunnel destination 71.10.19.35 ! interface FastEthernet0 ! interface FastEthernet1 ! interface FastEthernet2 ! interface FastEthernet3 ! interface FastEthernet4 description $ES_WAN$ ip address 71.10.19.34 255.255.255.0 duplex auto speed auto ! interface Vlan1 description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$ ip address 10.1.1.171 255.255.255.0 ip tcp adjust-mss 1452 ! ip forward-protocol nd ip http server ip http authentication local ip http secure-server ip http timeout-policy idle 60 life 86400 requests 10000 ! ip route 192.168.1.0 255.255.255.0 Tunnel100 ! no cdp run ! ! ! ! ! control-plane ! ! line con 0 login local no modem enable line aux 0 line vty 0 4 privilege level 15 login local transport input telnet ssh ! end Ext#sh run Building configuration... Current configuration : 4894 bytes ! ! Last configuration change at 07:09:42 UTC Mon Nov 1 2010 by michail ! version 15.1 no service pad service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname Ext ! boot-start-marker boot-end-marker ! logging buffered 51200 warnings ! no aaa new-model memory-size iomem 10 ip source-route ! ! ! ! ip cef no ip domain lookup no ipv6 cef ! ! ! crypto pki trustpoint TP-self-signed-3354675918 enrollment selfsigned subject-name cn=IOS-Self-Signed-Certificate-3354675918 revocation-check none rsakeypair TP-self-signed-3354675918 ! ! crypto pki certificate chain TP-self-signed-3354675918 certificate self-signed 01 30820244 308201AD A0030201 02020101 300D0609 2A864886 F70D0101 04050030 31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274 69666963 6174652D 33333534 36373539 3138301E 170D3130 31303235 30343235 35335A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649 4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D33 33353436 37353931 3830819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281 8100A37B 9AB40038 19E3C560 A16D8FA2 1E896F33 6427FAE4 498C6A71 03675A5C 4DFF0207 5BE311AE 5A007FD9 350AAD99 34F217EE CF8F96D9 82D64B1F 5D6C24E2 3B941EB5 BBF86F33 083AFF6E F7A96D4A 3DF4A3C8 AC3D3E81 B9141307 C22BDB30 C01C405D EBDB2222 01E90F01 CD1F22F3 78726161 54593D35 EA0977C0 97FC01EA 52EF0203 010001A3 6C306A30 0F060355 1D130101 FF040530 030101FF 30170603 551D1104 10300E82 0C457874 5F56535F 50656E7A 61301F06 03551D23 04183016 80142168 974A059F 7012CA8D 064E16CB 12E3ECD8 A26A301D 0603551D 0E041604 14216897 4A059F70 12CA8D06 4E16CB12 E3ECD8A2 6A300D06 092A8648 86F70D01 01040500 03818100 4AFE29A3 AA24FA01 0C83A012 B8285231 CCA6BDB0 B591994E DE4C5272 FBA2E920 1EDC5B20 5F4705A1 35DAAC51 FF6AA765 C10ED5AE EF099831 990A0A8A 26C56324 BBC51C65 23B9C661 D105A391 6CEFB407 0A3054E3 92CB3830 F0DB95CD A3F964A3 378B0FE3 D9095360 B3214467 799F8FB4 AFB7100B AA812A10 54C1C00C 640E011C quit license udi pid CISCO881-K9 sn FCZ1433937F ! ! ! ! ! ! ! ! interface Tunnel100 description Tunnel to remote office ip unnumbered Vlan1 tunnel source FastEthernet4 tunnel destination 71.10.19.34 ! interface FastEthernet0 ! interface FastEthernet1 ! interface FastEthernet2 ! interface FastEthernet3 ! interface FastEthernet4 ip address 71.10.19.35 255.255.255.0 duplex auto speed auto ! interface Vlan1 description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$ ip address 192.168.1.1 255.255.255.0 ip tcp adjust-mss 1452 ! ip forward-protocol nd ip http server ip http authentication local ip http secure-server ip http timeout-policy idle 60 life 86400 requests 10000 ! ip route 10.0.0.0 255.0.0.0 Tunnel100 ! no cdp run ! ! ! ! ! control-plane ! ! line con 0 login local no modem enable line aux 0 line vty 0 4 privilege level 15 login local transport input telnet ssh ! end из сети 192.168.1.0 пинги доходят до маршрутизатора GW - 10.1.1.171, а вот другие адреса в этой сети не пингуются (10.1.1.11 например). С самого маршрутизатора все в порядке. Что-то с маршрутами наверняка, но не вижу что.
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	18. "Cisco 881 +VPN"	+/–
	Сообщение от svel on 03-Ноя-10, 12:45
	>[оверквотинг удален] > line vty 0 4 > privilege level 15 > login local > transport input telnet ssh > ! > end > из сети 192.168.1.0 пинги доходят до маршрутизатора GW - 10.1.1.171, а вот > другие адреса в этой сети не пингуются (10.1.1.11 например). С самого > маршрутизатора все в порядке. Что-то с маршрутами наверняка, но не вижу > что. Листинг sh ip ro с обоих роутеров в студию.
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	19. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 03-Ноя-10, 13:28
	GW#sh ip ro Gateway of last resort is not set 10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks C 10.1.1.0/24 is directly connected, Vlan1 L 10.1.1.171/32 is directly connected, Vlan1 71.0.0.0/8 is variably subnetted, 2 subnets, 2 masks C 71.10.19.0/24 is directly connected, FastEthernet4 L 71.10.19.34/32 is directly connected, FastEthernet4 S 192.168.1.0/24 is directly connected, Tunnel100 Ext#sh ip ro Gateway of last resort is not set 10.0.0.0/24 is subnetted, 1 subnets S 10.1.1.0 is directly connected, Tunnel100 71.0.0.0/8 is variably subnetted, 2 subnets, 2 masks C 71.10.19.0/24 is directly connected, FastEthernet4 L 71.10.19.35/32 is directly connected, FastEthernet4
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	20. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 08-Ноя-10, 16:26
	Разобрался. Теперь напрашивается вопрос - а можно ли как-то обезопасить такое подключение? И интересует как реализовать подключение "белый"-"серый" адрес.
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	21. "Cisco 881 +VPN"	+/–
	Сообщение от j_vw on 08-Ноя-10, 17:13
	Кодовые слова ;) > Теперь напрашивается вопрос - а можно ли как-то обезопасить такое подключение? tunnel protection ipsec profile > И интересует как реализовать подключение "белый"-"серый" адрес. DMVPN
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору


	22. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 08-Ноя-10, 20:10
	> tunnel protection ipsec profile Уже разбирали: > Мне очень жаль npe означает No Payload Encryption или по русски будет вырезанная функция шифрования. Так что IPSec вам не доступен. > DMVPN Dynamic Multipoint Virtual Private Network - насколько я понял, там опять IPSec.
	Ответить \| Правка \| ^ к родителю #21 \| Наверх \| Cообщить модератору


	23. "Cisco 881 +VPN"	+/–
	Сообщение от j_vw on 08-Ноя-10, 22:51
	> Dynamic Multipoint Virtual Private Network - насколько я понял, там опять IPSec. Изначально - без него... Но прикручивается так же, как и на туннели точка-точка.......
	Ответить \| Правка \| ^ к родителю #22 \| Наверх \| Cообщить модератору


	24. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 09-Ноя-10, 08:45
	> Изначально - без него... > Но прикручивается так же, как и на туннели точка-точка....... Если так, то спасибо. А что можете посоветовать по поводу шифрования? Что можно использовать? И надо ли включать файрвол? Nat не используется.
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору


	25. "Cisco 881 +VPN"	+/–
	Сообщение от svel on 09-Ноя-10, 12:15
	>> Изначально - без него... >> Но прикручивается так же, как и на туннели точка-точка....... > Если так, то спасибо. > А что можете посоветовать по поводу шифрования? Что можно использовать? > И надо ли включать файрвол? Nat не используется. Докупить лицензию. Она разблокирует шифрование.
	Ответить \| Правка \| ^ к родителю #24 \| Наверх \| Cообщить модератору


	28. "Cisco 881 +VPN"	+/–
	Сообщение от Александр (??) on 01-Фев-11, 20:25
	>>> Изначально - без него... >>> Но прикручивается так же, как и на туннели точка-точка....... >> Если так, то спасибо. >> А что можете посоветовать по поводу шифрования? Что можно использовать? >> И надо ли включать файрвол? Nat не используется. > Докупить лицензию. Она разблокирует шифрование. Скажите пожалуйста, как докупить лицензию? В смысле как точно она называется (партномер), и может знаете способ как их покупать? На территории России их никто не сможет продать, запрещен ввоз в страну, нужно как-то умудриться купить через заграницу. Есть какой-то способ их купить, с оплатой кредиткой, к примеру? на сайте нашли такие позиции L-880-AIS= eDelivery Cisco 880 Advanced IP Services License PAK SL-880-AIS= Cisco 880 Advanced IP Services License Что-то из этого и есть нужная лицензия? Чем они отличаются?
	Ответить \| Правка \| ^ к родителю #25 \| Наверх \| Cообщить модератору


	32. "Cisco 881 +VPN"	+/–
	Сообщение от svel on 27-Сен-11, 10:44
	>[оверквотинг удален] > Скажите пожалуйста, как докупить лицензию? > В смысле как точно она называется (партномер), > и может знаете способ как их покупать? > На территории России их никто не сможет продать, запрещен ввоз в страну, > нужно как-то умудриться купить через заграницу. > Есть какой-то способ их купить, с оплатой кредиткой, к примеру? > на сайте нашли такие позиции > L-880-AIS= eDelivery Cisco 880 Advanced IP Services License PAK > SL-880-AIS= Cisco 880 Advanced IP Services License > Что-то из этого и есть нужная лицензия? Чем они отличаются? Отвечу вам все таки, лучше поздно чем никогда, может кому нибудь тоже поможет. Покупать только у официальных представителей, ищите их сами, как неверно заметили в нижней ветке я так же ИТ специалист а не продажник. То что вы нашли это лицензия на расширенные команды работы с IP протоколом. Вам нужно искать Security E-Delivery PAK for Cisco 880 Вам прийдет просто код "Product Authorization Key", далее вы регистрируетесь на сайте www.cisco.com, заходите в Раздел Support, далее идите в раздел Tools, и выберайте пункт Software registration заполняете форму, и вам на указанные e-mail адрес приходит файлик лицензии, предупреждаю что он одноразовый. Его надо будет разместить на tftp сервере и командой "license install tftp://<... >/xxxx.lic" залить на маршрутизатор, и в конце команда reload для перезагрузки и применения изменений.
	Ответить \| Правка \| ^ к родителю #28 \| Наверх \| Cообщить модератору


	30. "Cisco 881 +VPN"	+/–
	Сообщение от DarK (ok) on 02-Июн-11, 08:37
	>[оверквотинг удален] > Gateway of last resort is not set > 10.0.0.0/24 is subnetted, 1 subnets > S 10.1.1.0 is directly connected, > Tunnel100 > 71.0.0.0/8 is variably subnetted, 2 subnets, > 2 masks > C 71.10.19.0/24 is directly connected, > FastEthernet4 > L 71.10.19.35/32 is directly connected, > FastEthernet4 В чем была причина? Можешь написать.
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	31. "Cisco 881 +VPN"	+/–
	Сообщение от kondratik on 02-Сен-11, 07:50
	> hostname GW > ! > ip route 192.168.1.0 255.255.255.0 Tunnel100 > ! > ! > ip route 10.0.0.0 255.0.0.0 Tunnel100 > ! роутить надо не в тунель, а на IP тунеля
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	26. "Cisco 881 +VPN"	+/–
	Сообщение от Michail_M (ok) on 11-Ноя-10, 11:13
	Вам бы я порекомендовал следующее: > <Cisco 881-a> ------ <Cisco 881-b> > 192.168.0.0/24 192.168.1.0/24 > На роутере Cisco 881-a пишем следующие команды > #tunnel mode gre multipoint После ввода команды выдает "Mode change not accepted"
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору