Quartz 5

VPN

2 min read

# Основа
interface Tunnel0
	ip address 100.100.100.1 255.255.255.0 # ip адрес для vpn 
	no ip redirects # что-то
	no ip split-horizon eigrp 2023 # что-то важное
	tunnel source GigabitEthernet0/1 # откуда выходить
	tunnel mode gre multipoint # во все стороны
	tunnel key 999 # ключ vpn
	ip nhrp authentication Passw0rd # пароль
	ip nhrp network-id 1 # id сети
	ip nhrp map multicast dynamic # получать адреса автоматически
 
	# необязательно
	ip mtu 1200 
	ip tcp adjust-mss 1160
# Лучи
 
interface Tunnel0
	ip address 100.100.100.2 255.255.255.0 
	ip nhrp authentication Passw0rd
	ip nhrp map multicast 132.87.2.1 # получать ip от сервера
	ip nhrp map 100.100.100.1 132.87.2.1 # сопоставление адреса
	ip nhrp network-id 1
	ip nhrp nhs 100.100.100.1 # nhs сервер
	tunnel source GigabitEthernet0/1
	tunnel mode gre multiport 
	tunnel key 999
 
	# необязательно
	ip mtu 1200
	ip tcp adjust-mss 1160
# Раздача сетей
router eigrp 2023
 network 10.0.0.0        # сеть общая
 network 192.168.1.0     # сеть
 eigrp router-id 1.1.1.1 # id 
 passive-intergace g0/1  # куда не раздавать

Проверка

sh dmvpn detail
 
sh ip route eigrp
 
sh ip eigrp topology

IPSEC

0Not implemented
1IKEv1+PSK
2IKEv1+RSA or IKEv2+PSK
3IKEv2+RSA+ESP

Пока настроим IKEv2+PSK

Настройка одинакова для всех маршрутизаторах. Выполнить сначала на WARSAW и KRAKOV, проверить, затем тоже самое настроить на остальных.

crypto isakmp policy 99
	encr 3des
	authentication pre-share
	group 2
 
crypto isakmp key Passw0rd address 0.0.0.0 # 0.0.0.0 значит со всех
 
crypto ipsec transform-set DMVPN_TRANS esp-3des esp-sha-hmac 
	mode transport
 
crypto ipsec profile DMVPN_PROFILE
	set transform-set DMVPN_TRANS 
 
interface Tunnel0
	tunnel protection ipsec profile DMVPN_PROFILE

Метрика

Нужно изменить параметры, влияющие на расчет метрики, чтобы у маршрута через туннель метрика стала меньше, чем у резервного канала. Для этого проверим следующие

sh int tun 0 | i BW
  MTU 17912 bytes, BW 100 Kbit/sec, DLY 50000 usec,
 
sh int g0/3 | i BW 
  MTU 1500 bytes, BW 1000000 Kbit/sec, DLY 10 usec,

Видим, что у туннеля показатели значительно хуже, чем у g0/3.

Установим новые значения для туннельного интерфейса и понизим значения на интерфейсах резервного канала

# На всех
interface Tunnel0
 bandwidth 1000000
 delay 10
 
# WARSAW (основа)
interface GigabitEthernet0/3
 bandwidth 10000
interface GigabitEthernet0/4
 bandwidth 10000
 
# KRAKOW (луч)
interface GigabitEthernet0/3
 bandwidth 10000
 
# GDANSK (луч)
interface GigabitEthernet0/4
 bandwidth 10000

Graph View