最近在做一个北京与深圳两地互联的项目,通过DDN互联×××作 备份,在整个项目实施中也遇到不少问题,最终借助于网络的力量,问题终于一一得到解决,完成整个项目的 验收。在此特别感谢在此项目中一直指导我的烦尘子等几位版主。
拓扑图:
具体网络拓扑如上,客户要求两地通过DDN专线互联并且深圳端上网在DDN正常的情况下,深圳所有出Internet流量必须通过北京端SV2000认 证,在DDN断掉的时候通过两条ADSL实现×××备份接替DDN的业务, 而当DDN线路恢复正常时×××需要处于备份状态,完全由DDN来传输数据。(其 中,北京端ADSL为固定IP,使用×××时深圳端直接从ADSL出口,无需从北京认证出口。)
一、以下是DDN配置
北京端DDN配置:
interface Serial0/2/0(串口配置)
description lianjie shengzheng wan
ip address 192.168.100.1 255.255.255.0
interface FastEthernet0/0
description lianjie beijin lan
ip address 192.168.8.253 255.255.255.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto
ip route 192.168.10.0 255.255.255.0 192.168.100.2 60 track 1
ip route 0.0.0.0 0.0.0.0 192.168.8.254 60 track 1
深圳只有一个网段为:192.168.10.0所有到达此网段的路由走 192.168.100.2其它所有流量均来自深圳端网络,那么要经过认证以及深圳端与北京端网络的路由(192.168.8.0、 192.168.9.0均在SV2000上划分并路由),所有流量均转发到SV2000上面(SV2000上面已经做好路由,所有到达 192.168.10.0网段全部转发到192.168.8.253)。
深圳端DDN配置:
interface Serial0/2/0
description shengzheng wan
ip address 192.168.100.2 255.255.255.0
interface FastEthernet0/0
description shengzheng lan
ip address 192.168.10.253 255.255.255.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto
ip route 0.0.0.0 0.0.0.0 192.168.100.1 60 track 1
以上就是整个DDN互联的配置,在调试过程中遇到一个小小的问题,开始把IP以及路由配置上去之后,测试发现两端不通,查看接口已经UP了,但是协议一直 是DOWN的,查看两端的协议封装 都为HDLC,改为PPP封装后还是不行,通过打环两端路由均看不到对端的环,开始怀疑问题出在电信端,于是与客户沟通让其联系电信,电信回复说经过测试没有问题,再次查看接口协议以 及 端口全部UP,但还是PING不通,再次与电信联系电信,电信同意两端同时派人上门,在等待电信的人同时我也查看路由接口以及HDSL发现上面闪的是黄 灯,感觉问题应该出于此但当时也不感肯定(因为平时很少留心到电信所提供的设备,只是关心我们自己的产品,所以说有多大把握,但还是凭自己的感觉怀疑是不 是光纤插反了而出现此类情况呢?反正死马当活马医了,两端调换一下,好家伙竟然变绿了,到路由上PING北京端路由惊喜的!出现了),通过一些路由的设定 完全实现了用户要求的走DDN线路由深圳端出Internet要经过北京端SV2000认证,DDN到此基本完全结束。
北京端×××配置:
ISAKMP的配置:
crypto isakmp policy 10
hash md5
authentication pre-share
crypto isakmp key cisco address 0.0.0.0 0.0.0.0
crypto isakmp keepalive 10 periodic
转换集的配置:
crypto ipsec transform-set cisco esp-3des esp-md5-hmac
动态加密图的配置:
crypto dynamic-map cisco 10
set transform-set cisco
match address 100
把动态加密图加入到MAP上:
crypto map cisco 10 ipsec-isakmp dynamic cisco
把加密图应用到接口上:
interface FastEthernet0/1
no ip address
ip nat outside
ip virtual-reassembly
duplex auto
speed auto
pppoe enable
pppoe-client dial-pool-number 1
crypto map cisco
interface Dialer1
mtu 1492
ip address negotiated
ip nat outside
ip virtual-reassembly
encapsulation ppp
no ip route-cache cef
no ip route-cache
no ip mroute-cache
dialer pool 1
dialer-group 1
ppp authentication pap callin
ppp chap hostname *
ppp chap password 0 *
ppp pap sent-username * password 0 *
crypto map cisco
定义需要加密的流量:
access-list 100 permit ip 192.168.7.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 100 permit ip 192.168.8.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 100 permit ip 192.168.9.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 100 permit ip 192.168.11.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 100 deny
ip 192.168.7.0 0.0.0.255 any
access-list 100 deny
ip 192.168.8.0 0.0.0.255 any
access-list 100 deny
ip 192.168.9.0 0.0.0.255 any
access-list 100 deny
ip 192.168.11.0 0.0.0.255 any
定义不需要NAT转换的地址:
access-list 101 deny
ip 192.168.7.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 101 deny
ip 192.168.8.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 101 deny
ip 192.168.9.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 101 deny
ip 192.168.11.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 101 permit ip 192.168.8.0 0.0.0.255 any
深圳端×××配置:
ISAKMP的配置:
crypto isakmp policy 10
hash md5
authentication pre-share
crypto isakmp key cisco address 222.128.50.112
crypto isakmp keepalive 30 10 periodic
转换集的配置:
crypto ipsec transform-set cisco esp-3des esp-md5-hmac
加密码图的配置:
crypto map cisco 10 ipsec-isakmp
set peer 222.128.50.112
set transform-set cisco
match address 100
把加密图应用到接口:
interface FastEthernet0/1
no ip address
ip nat outside
ip virtual-reassembly
duplex auto
speed auto
pppoe enable
pppoe-client dial-pool-number 1
crypto map cisco
interface Dialer1
mtu 1492
ip address negotiated
ip nat outside
ip virtual-reassembly
encapsulation ppp
no ip route-cache cef
no ip route-cache
no ip mroute-cache
dialer pool 1
dialer-group 1
ppp authentication pap callin
ppp chap hostname *
ppp chap password 0 *
ppp pap sent-username * password 0 *
crypto map cisco
定义需要加密码的流量:
access-list 100 permit ip 192.168.10.0 0.0.0.255 192.168.7.0 0.0.0.255
access-list 100 permit ip 192.168.10.0 0.0.0.255 192.168.8.0 0.0.0.255
access-list 100 permit ip 192.168.10.0 0.0.0.255 192.168.9.0 0.0.0.255
access-list 100 permit ip 192.168.10.0 0.0.0.255 192.168.11.0 0.0.0.255
access-list 100 deny
ip 192.168.10.0 0.0.0.255 any
定义不需要NAT转换的地址:
access-list 101 deny
ip 192.168.10.0 0.0.0.255 192.168.7.0 0.0.0.255
access-list 101 deny
ip 192.168.10.0 0.0.0.255 192.168.8.0 0.0.0.255
access-list 101 deny
ip 192.168.10.0 0.0.0.255 192.168.9.0 0.0.0.255
access-list 101 deny
ip 192.168.10.0 0.0.0.255 192.168.11.0 0.0.0.255
access-list 101 permit ip 192.168.10.0 0.0.0.255 any
dialer-list 1 protocol ip permit
在整个×××配置中遇到很多问题,主要原因是开始建立×××之时,用户不同意使用两条独立的线路来建立×××,想使用北京端现有的Internet线路通 过NAT的方式来做×××,那么这样做就势必受到很多影响,因为要从3640上NAT到现有的2801上面要经过三次NAT,这样做就涉及到安全以及转换的问题,由于客户时间、安全的 问题,我没能拿以上三 台设备的管理权限,一切只能由他们来做,最终我也不能确定他们在PIX以及SV2000是否正确,最终导致整个×××的构建失败,由于DDN前期投入到正 常使用,这样的测试没有太多时间来完成测试及实验,只能建议客户在北京端申请一条固定IP的ADSL,当两边都为独立的外部线路来建立×××,比较顺利一 次成功,但在测试中SHUTDOWN掉S0/2/0后×××能马上起来接替DDN而NO SHUTDOWN后DDN线路能起来,但是当再次SHUTDOWN掉S0/2/0接口后,而×××一直不能建立连接,DEBUG看到一直提示:*Mar 25 15:47:45.423: ISAKMP: ignoring request to send delete notify (no ISAKMP sa) src 61.144.56.100 dst 61.144.56.101 for SPI 0x3A7B69BF,基本确定问题出现在ISAKMP,只能从此着手,经过查看CISCO官方网站得出结论大概是ISAKMP有一个存活时间,在此次存 活时间内,有一端ISAKMP未失效而另一端又采用新的ISAKMP建立连接,出现匹配造成×××建立不成功,通过在两端加上ISAKMP的 KEEPALIVE存活时间设置,最终问题得到解决,从而实现了正常的切换。
三、DDN与×××切换的配置
北京切换配置:
ip sla monitor 1 /建立监视组1探测深圳端的IP
type echo protocol ipIcmpEcho 192.168.100.2 /发送ICMP探测深圳端IP
timeout 999 /超时时间999MS
frequency 1 /发送一个包
ip sla monitor schedule 1 life forever start-time now /定义监视组的SCHEDULE、LIFE、FOREVER的开始时间
track 1 rtr 1 reachability /定义TRACK组
ip route 192.168.10.0 255.255.255.0 192.168.100.2 60 track 1
ip route 0.0.0.0 0.0.0.0 192.168.8.254 60 track 1
ip route 0.0.0.0 0.0.0.0 Dialer1 70
ip route 192.168.7.0 255.255.255.0 192.168.8.254 70
ip route 192.168.9.0 255.255.255.0 192.168.8.254 70
ip route 192.168.11.0 255.255.255.0 192.168.8.254 70
此处几条路由也就是整个线路切换与恢复的关健所在,依次描述。
①
当DDN正常时默认所有到达深圳端的流量都走S0/2/0端口,并由TRACK1检测是否把此条路由放入路由表中。
②
当DDN正常时,所有深圳端过来的流量全部转发到SV2000的LAN口,实现深圳出公网的认证以及深圳端与北京端路由,并由TRACK1检测是否把此条 路由放入路由表中。
③
当DDN当掉后,通过TRACK1检测路由会默认关闭S0/2/0,此路由会被放到路由表中,而建立两端的×××而实现DDN业务的接替,当TRACK1 检测到DDN恢复后,此表路由会被删除。
④
其余几条基本同上一条功能一样,只是更详细的匹配了×××建立后流量的转发,而实现深圳端与北京端内网的路由。
实现的效果:
走专线时:
pekru020#show ip route
Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route
Gateway of last resort is 192.168.8.254 to network 0.0.0.0
222.128.50.0/32 is subnetted, 2 subnets
C
222.128.50.112 is directly connected, Dialer1
C
222.128.50.65 is directly connected, Dialer1
C
192.168.8.0/24 is directly connected, FastEthernet0/0
S
192.168.9.0/24 [70/0] via 192.168.8.254
S
192.168.10.0/24 [60/0] via 192.168.100.2
S
192.168.11.0/24 [70/0] via 192.168.8.254
S
192.168.7.0/24 [70/0] via 192.168.8.254
C
192.168.100.0/24 is directly connected, Serial0/2/0
S*
0.0.0.0/0 [60/0] via 192.168.8.254
走×××时:
pekru020#show ip route
Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route
Gateway of last resort is 0.0.0.0 to network 0.0.0.0
222.128.50.0/32 is subnetted, 2 subnets
C
222.128.50.112 is directly connected, Dialer1
C
222.128.50.65 is directly connected, Dialer1
C
192.168.8.0/24 is directly connected, FastEthernet0/0
S
192.168.9.0/24 [70/0] via 192.168.8.254
S
192.168.11.0/24 [70/0] via 192.168.8.254
S
192.168.7.0/24 [70/0] via 192.168.8.254
S*
0.0.0.0/0 is directly connected, Dialer1
完全实现了线路的自动切换与恢复。
深圳端切换配置:
ip sla monitor 1
type echo protocol ipIcmpEcho 192.168.100.1
timeout 999
frequency 1
ip sla monitor schedule 1 life forever start-time now
track 1 rtr 1 reachability
ip route 0.0.0.0 0.0.0.0 192.168.100.1 60 track 1
ip route 0.0.0.0 0.0.0.0 Dialer1 70
深圳端相对简单,配置原理与北京端相同,在此也不再阐述相关配置了。
在此需要特别注意的地方是,像电信所提供的数字线路,一定需要配合使用监视组来查看业务是否中断,因为当一端DOWN后,而另一端的链路由于连接的是运营 商端,只要客户端与运营商端线路正常,那么另一端协议以及端口都会处于UP状态,那么也不能使管理距离为60的路由在路由表里及时删除也会造成管理距离为 70的路由被放到路由表。