+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Cisco <-> IPIP+IPSec <-> MT

Cisco <-> IPIP+IPSec <-> MT, RouterOS

bjohns

Guest

18.04.2007 20:13:00

Сейчас у меня пара Cisco 857 работает с IPSec 'туннелем' между собой. Хочу заменить один из Cisco на MT роутер. Какой RouterOS конфиг должен соответствовать следующему Cisco конфигу?

crypto isakmp policy 10
authentication pre-share
crypto isakmp key ######### address 1.1.1.1
!
crypto ipsec transform-set strong esp-3des esp-sha-hmac
mode transport
!
crypto map vpn 10 ipsec-isakmp
set peer 1.1.1.1
set transform-set strong
match address 101
!
interface Tunnel0
ip address 192.168.254.1 255.255.255.252
tunnel source Dialer0
tunnel destination 1.1.1.1
tunnel path-mtu-discovery
crypto map vpn

fatonk Guest	#2 0 19.04.2007 06:11:00 У тебя есть пример в руководстве по RouterOS, единственное отличие в том, что в политике IPSec RouterOS не используется режим TUNNEL, только транспортный. С уважением, Faton.

fatonk

Guest

19.04.2007 10:05:00

Привет ещё раз, я только что опубликовал свою конфигурацию IPSec, включая туннель IPIP и шифрование 3DES. Эта конфигурация между RouterOS и Cisco IOS также использует динамическую маршрутизацию RIP.
/ ip ipsec policy add src-address=192.168.28.31/32:any dst-address=172.16.0.1/32:any protocol=ip-encap action=encrypt level=require ipsec-protocols=esp tunnel=no sa-src-address=192.168.28.31 sa-dst-address=172.16.0.1 proposal=IPSec manual-sa=none dont-fragment=clear disabled=no
/ ip ipsec peer add address=172.16.0.1/32:500 secret=“KEY” generate-policy=no exchange-mode=main send-initial-contact=yes proposal-check=obey hash-algorithm=md5 enc-algorithm=3des dh-group=modp1024 lifetime=52w1d lifebytes=0 disabled=no
/ ip ipsec proposal add name=“IPSec” auth-algorithms=md5 enc-algorithms=3des lifetime=30m lifebytes=0 pfs-group=modp1024 disabled=no
/ interface ipip add name=“Tunnel” mtu=1480 local-address=192.168.28.31 remote-address=172.16.0.1 comment=“” disabled=no
/ ip address add address=192.168.0.5/30 network=192.168.0.4 broadcast=192.168.0.7 interface=Tunnel comment=“” disabled=no
/ routing rip set redistribute-static=no redistribute-connected=no redistribute-ospf=no redistribute-bgp=no metric-static=1 metric-connected=1 metric-ospf=1 metric-bgp=1 update-timer=30s timeout-timer=3m garbage-timer=2m
/ routing rip interface add interface=Tunnel receive=v2 send=v2 authentication=none authentication-key=“” prefix-list-in=“” prefix-list-out=“”
/ routing rip neighbor add address=192.168.0.6
/ routing rip network add address=192.178.77.0/24 add address=192.168.0.5/32 add address=192.168.0.0/24

В Cisco IOS вам следует применить следующее правило на интерфейсе Tunnel:
`tunnel protection ipsec profile encrypt_to_peer`

С уважением,
Faton

bjohns Guest	#4 0 19.04.2007 21:18:00 Спасибо за это. Очень полезно иметь туннель для динамической маршрутизации, да и QoS и всё подобное становится проще.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры