GRE внутри IPSec между Mikrotik и Cisco

Медленно, но верно корпоративный сектор отказывается от маршрутизаторов Cisco в пользу устройств Mikrotik. В данном случае было решено ставить микроты в качестве шлюзов для филиалов.
Изначально вся сеть была построена на Cisco. Центральный маршрутизатор - Cisco 2800 серии, который собирается на себе кучу IPSec туннелей, по какой-то причине сделанных без VTI.
Так вот, лет через 10-15 филиальные цыски начали дохнуть. Ставить вместо них аналогичную железку дорого. Было принято решения закупать микроты RB951G-2HdD. После первой интеграции микрота в эту сеть мне хотелось сделать заметку о том, как подружить по GRE over IPsec (рассуждения на тему что же все таки over что можно почитать тут - http://linkmeup.ru/blog/50.html) микрот и sysko, но как-то не было времени. И вот подвернулась задачка, о которой хочу написать.
Был один узел в сети, у которого белый адрес остался жить на ADSL модеме в силу того, что там использовалось PPPoA, а не PPPoE. Был сделан NAT таким образом, что UDP 500 пролетал на внешний серый адрес роутера филиала. На хабе включен режим NAT-T. Работало это на карте шифрования, пакующей только юникаст трафик с одной сети в другую. В качестве пиров указаны внешние адреса. Упоминания о том, что внешним адресом филиального роутера является серый адрес нигде в конфиге не было.

PBR in Extreme summit switch

* Int.X460-Core.4 # edit policy police_vlan8_pbr
entry permit_local_00 {
if {
   source-address 192.168.0.0/16;
   destination-address 192.168.0.0/16;
   } then {
     permit;
}
}

entry permit_local_01 {
if {
   source-address 192.168.0.0/16;
   destination-address 10.0.0.0/8;
   } then {
     permit;
}
}

entry permit_local_02 {
if {
   source-address 192.168.0.0/16;
   destination-address 172.168.0.0/12;
   } then {
     permit;
}
}

entry redirect_local_00 {
if {
   source-address 192.168.253.0/24;
   } then {
   redirect 10.255.255.41;
}
}


configure access-list police_vlan8_pbr vlan "VLAN8_USERS-NEW" ingress 
unconfigure access-list police_vlan8_pbr ingress

===

Policy-Based Redirection Redundancy

Multiple Next-hop Support

As discussed above, Layer 3 and Layer 2 policy-based redirect support only one next-hop for one

policy-based entry. Multiple next-hops with different priorities can be configured. A higher priority is

denoted with a higher number; for example, “priority 5” has a higher precedence than “priority 1.” When

a high priority next-hop becomes unreachable, another preconfigured next-hop, based on priority,

replaces the first. This is done by first creating a flow-redirect name that is used to hold next-hop

information. User-created flow-redirect names are not case-sensitive.

Use the following command:

create flow-redirect flow_redirect_name

To delete the flow-redirect name, use:

delete flow-redirect flow_redirect_name

Then information for each next-hop, including a defined priority, is added one by one to the new flowredirect

name. Use the following command:

configure flow-redirect flow_redirect_name add nexthop ipaddress priority number

===

An example.
We want to redirect all traffic from 10.91.0.48/28 to address 10.91.0.234

create flow-redirect redir1
configure flow-redirect redir1 add nexthop 10.91.0.234 priority 100
configure flow-redirect redir1 nexthop 10.91.0.234 ping health-check interval 60 miss 3

Create an ACL:
entry subnet1 {
if match all {
source-address 10.91.0.48/28 ;
} then {
permit;
redirect-name redir1;
}
}

configure access-list redir1 vlan "vlan_name" ingress


That will redirect traffic in this vlan only from subnet 10.91.0.48/28 to 10.91.0.234.

https://community.extremenetworks.com/extreme/topics/help_required_for_l3_policy_based_redirect_summit_x460_24t_exos_12_5-mb5hr

Windows 7 as wireless router

Если в гостинице есть интернет только проводной, а хочется получить его на все мобильные девайсы, превращаем лаптоп в точку доступа c маршрутизацией и NAT  в две команды.

netsh wlan set hostednetwork mode=allow ssid=My_virtual_WiFi key=12345678 keyUsage=persistent
netsh wlan start hostednetwork
netsh wlan stop hostednetwork
netsh wlan show hostednetwork

Работает, но с глюками.

Dual ISP enterprise (branch) cisco router, firewall (ASA)

Классическая задача для предприятий и малого бизнеса - настройка маршрутизатора с двумя каналами в интернет без использования динамических протоколов маршрутизации. Очень много информации на эту тему есть в сети. Решил и я сделать заметку.

Нужно дать пользователям интернет и опубликовать какой-либо сервис (например, RDP) наружу.

Основные затыки происходят тут:
- динамическая смена маршрута 0.0.0.0 0.0.0.0;
- настройка NAT для двух внешних интерфейсов;
- доступность опубликованного сервиса сразу через оба ISP.

Есть хороший пост на хабре - По просьбам трудящихся: Dual ISP на маршрутизаторах cisco без BGP и на сайте этого же автора более полная дока, с рассмотренным вариантом использования сразу двух ISP - Сергей Фёдоров "Подключение к 2 ISP с настройкой трекинговой маршрутизации и NAT.

Вот дока 2008 года с сайта cisco - http://www.cisco.com/c/en/us/support/docs/ip/network-address-translation-nat/100658-ios-nat-load-balancing-2isp.html.

Итак, нам нужно использовать IP SLA для решения первого пункта, ROUTE-MAP для решения второго и третьего.

Использую эти документы, я собрал схему в GNS3. В моем случае опубликован был сервис telnet. На внешних адресах (172.16.X.X) он светился в порту 10023, внутри шел на 192.168.1.2:23.

IP_VFR-4-FRAG_TABLE_OVERFLOW и ip virtual-reassembly

Оригинал тут - http://sergeyn.blogspot.ru/2009/03/ipvfr-4-fragtableoverflow.html

Mar 20 11:48:14 192.168.20.10 832: Mar 20 08:48:13.629: %IP_VFR-4-FRAG_TABLE_OVERFLOW: GigabitEthernet0/1: the fragment table has reached its maximum threshold 64
Mar 20 11:48:32 192.168.20.10 833: Mar 20 08:48:31.437: %IP_VFR-4-TOO_MANY_FRAGMENTS: GigabitEthernet0/1: Too many fragments per datagram (more than 32) - sent by *.*.*.*, destined to *.*.*.*

%IP_VFR-4-FRAG_TABLE_OVERFLOW : [chars]: the fragment table has reached its maximum threshold [dec]

Explanation: The number of datagrams being reassembled at any one time has reached it maximum limit.

Recommended Action: Increase the maximum number of datagrams that can be reassembled by entering the ip virtual-reassembly max-reassemblies number command, with number being the maximum number of datagrams that can be reassembled at any one time.

Cisco Catalyst 2960 Series Enables Routing

Оригинал тут http://blog.router-switch.com/2012/09/cisco-catalyst-2960-series-enables-routing/

the switch is running:

1 48    WS-C2960G-48TC-L 12.2(55)SE1           C2960-LANBASEK9-M

I know it’s not the IOS version, because it is the same one as before the reload and it worked then.”

Talking more about this:

In the global configuration mode, enter the command

sdm prefer lanbase-routing

А вы хорошо знаете статическую маршрутизацию? habrahabr.ru

Репост статьи из http://habrahabr.ru/post/174167/

Очень интересная статья о статической маршрутизации. Речь идет о вещах, которых не часто приходится задумывать, в результате чего возникает мнение, что они работают сами собой.

Автор http://habrahabr.ru/users/JDima/

Статический маршрут — первое, с чем сталкивается любой человек при изучении понятия маршрутизации IP пакетов. Считается, что это — наиболее простая тема из всех, в ней всё просто и очевидно. Я же постараюсь показать, что даже настолько примитивная технология может содержать в себе множество нюансов.

Оговорка. При написании топика я исхожу из того, что читатель знаком с концепцией маршрутизации, умеет делать статические маршруты и не считает слово «ARP» ругательным. Впрочем, даже бывалые связисты наверняка найдут тут что-то новое.
Все примеры были проверены на IOS линейки 15.2M. Поведение других ОС может различаться.
И никакого динамического роутинга тут не будет.

Мы работаем со следующей топологией:

Static route Cisco to Juniper

Есть два статических маршрута в конфиге IOS:


ip route 10.44.254.254 255.255.255.255 10.200.34.29 
ip route 10.44.254.254 255.255.255.255 10.200.34.201 250

Нужно отразить эти маршруты в конфигурации JunOS. Первое, что пришло на ум:


set route 10.44.254.254/32 next-hop 10.200.34.29 metric 1
set route 10.44.254.254/32 next-hop 10.200.34.201 metric 250

Получилось:


route 10.44.254.254/32 { 
    next-hop [ 10.200.34.29 10.200.34.201 ]; 
    metric 250; 
}

Что-то не так :)

Есть у Juniper инструмент " I2J translator". Заливаем ему часть конфига IOS, он выдает ей в синтаксисе JunOS. Результат:


* I2J Version:       10.1R2 / 7/19/2011 
 * Parse Date:        Tue Dec 18 05:19:13 PST 2012 
 * Error Lines:       0 
 * Warning Lines:     0 
 * Information Lines: 0 
 * 
 * NOTE: This config is NOT PERFECT.  It must be carefully 
 *       examined to ensure correctness. 
 * 
 * Jump to JUNOS section: 
 *  routing-options 
 * 
 * Jump to IOS configuration file with conversion messages 
  
routing-options { 
    static { 
        route 10.44.254.254/32 { 
            next-hop 10.200.34.29; 
            qualified-next-hop 10.200.34.201 { 
                preference 250; 
            } 
            resolve; 
        } 
    } 
}

Спасибо, Espen, за хороший вопрос :)

Маршрутизация в Solaris 10 без reboot.

Enable/Disable IP Forwarding in Solaris 10 without reboot
April 24, 2008 · Filed Under Networking, Solaris 10


IP packet forwarding is the process of routing packets between network interfaces on one system. A packet arriving on one network interface and addressed to a host on a different network is forwarded to the appropriate interface.

In Solaris 10, IP Forwarding can be enabled or disabled using the routeadm & ifconfig commands as against the ndd commands in Solaris 9 and earlier. The advantage is the change dynamic and real-time and the change persist across reboot unlike the ndd command.

Enable/Disable IP Forwarding globally

To globally enable IP Forwarding in Solaris 10 use the routeadm command as follows:

In IPv4

solaris10# routeadm -e ipv4-forwarding

In IPv6

solaris10# routeadm -e ipv6-forwarding

The switches “-e” enables IP Forwarding.

To disable IP Forwarding

In IPv4

solaris10# routeadm -d ipv4-forwarding

In IPv6

solaris10# routeadm -d ipv6-forwarding

The switches “-d” enables IP Forwarding.

After the change run the following command for the changes to take effect.

solaris10# routeadm -u

Enable/Disable IP Forwarding per interface

To enable IP Forwarding on a specific interface (say ce0) using the ifconfig command

In IPv4

solaris10# ifconfig ce0 router

In IPv6

solaris10# ifconfig ce0 inet6 router

To disable IP Forwarding for an interface (say ce0)

In IPv4

solaris10# ifconfig ce0 -router

In IPv6

solaris10# ifconfig ce0 inet6 -router

Взял тут
http://www.sunsolarisadmin.com/solaris-10/enabledisable-ip-forwarding-in-solaris-10-without-reboot/

Windows XP в роли router

На корпоративном буке стоит XP, есть инет. Часто приходится раздавать инет в локалку, когда прихожу в гости к офлайновым друзьям. Вот собственно последовательность действий, после которых XP начинает натить :)

Внимание! Некорректное использование редактора системного реестра может привести систему в неработоспособное состояние и потребовать проведения полной переустановки операционной системы. Microsoft не несет ответственности за некорректное использование редактора реестра.

Для включения маршрутизации пакетов TCP/IP выполните следующие действия:

1. Запустите редактор системного реестра (Regedt32.exe).
2. Откройте следующий раздел:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
3. Внесите следующие изменения:
Параметр: IPEnableRouter
Тип данных: REG_DWORD
Значение: 1
Значение "1" включает маршрутизацию пакетов TCP/IP для всех сетевых подключений, установленных на данном компьютере.
4. Значение "1" включает маршрутизацию пакетов TCP/IP для всех сетевых подключений, установленных на данном компьютере. Закройте редактор реестра.

Информация в данной статье применима к:

* Microsoft Windows XP Home Edition
* Microsoft Windows XP Professional Edition



Цитата:
слышал ещё про Routing and Remote Access это тоже подходит?
только почему я не могу найти его у себя в папке с администрацией..



1. Остановить и отключить службу WinFirewall/ICS
2.

Код:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
"IPEnableRouter"=dword:00000001

3.

Код:
netsh routing ip nat uninstall
netsh routing ip nat install
netsh routing ip nat add interface name=LAN Private
netsh routing ip nat add interface name=3g Full

4. Запустить службу RRAS.


Включить службы
- локатор удаленного вызова процедур RPC
- Маршрутизация и удаленный доступ

соотв выключить...