Траблшутинг IPSec туннеля на Cisco IOS

Хорошо, когда туннели поднимаются и VPN работает. Но так случается не всегда, мир жесток.

Давайте рассмотрим, какие средства у нас есть для диагностики состояния IPSec VPNa. Траблшутить будем на роутере Cisco 3745 с установленным IOS 12-й ветки.

Итак, для начала давайте просмотрим команды, которые помогут нам найти несоответствия в конфигурации. Это можно посмотреть и в running-config, но если заданный параметр совпадает с параметром по-умолчанию, то там он отображаться не будет.

IPSec VPN-туннель между Cisco ASA роутером на IOS

На Cisco IOS мы уже настраивали IPSec туннель, пришла пора настроить его на ASA. Построим туннель между нашим сконфигурированным роутером и данным файрволом.

Тут ситуация во многом похожа, настройка происходит в несколько этапов.

1. Включение ISAKMP

2. Создание ISAKMP политики

3. Настройка туннеля

4. Установка политик IPSec

5. Создание карты шифрования и привязка к интерфейсу (crypto map)

6. Дополнительные настройки

Есть еще ряд опциональных действий, таких как настройка фильтрации трафика, настройка NAT и т.д. Все действия будут производиться в командной строке, никаких графических утилит вроде ASDM! Ну и для большей наглядности существующая топология изображена на рисунке.

Настройка SSH на Cisco ASA

Для этой чудесной железки под названием Cisco ASA есть замечательный GUI под названием Adaptive Security Device Manager (ASDM) и рулить настройками можно не вникая в тонкости командной строки. Все бы ничего, но что делать, если необходимо настроить файрвол удаленно, а очень часто так и бывает. Тут как всегда не обойтись без старого доброго SSH. По умолчанию, конечно, он не активирован, и его надо настроить. Настройка во многом схожа с другими железками от Cisco, но, тем не менее, нюансы свои имеются. 

IPSec Site-to-site VPN на Cisco IOS. От теории к практике.

 

В наше время передавать через интернет личные или корпоративные данные в открытом виде может только псих. Если данные покидают просторы родной сети, то их неплохо бы зашифровать. Этим и займемся. У нас в распоряжении два роутера Cisco, за каждым из которых наши приватные сети. Что ж, объединим их используя технологию IPSec .
Конфигаруция VPN-a проходит в несколько этапов

1. Настройка ISAKMP
2. Настройка ipsec transformorm set
3. Настройка ACL для фильтрации целевого траффика
4. Настройка crypto map
5. Применение crypto map к интерфейсу
6. Настройка ACL для прохождения шифрованного трафика

Передайте пакетик. Начальная настройка коммутатора Cisco Catalyst

На столе стоит эта прекрасная железка модели 2950, кабель питания воткнут в розетку, а консольный кабель нежно подключен в соответствующий разъем. Начнем. Запускаем Putty, указываем там вид подключения Serial, жмем ОК и Enter в появившемся черном окошечке. Вуаля, вот оно, приглашение командной строки.
Первым делом даем коммутатору имя. как корабль назовешь, так он и поплывет. Фантазией я, правда, не богат так что...

Switch>enable
Switch#conf ter
Enter configuration commands, one per line.  End with CNTL/Z.
Switch(config)#host
Switch(config)#hostname Catalyst
Catalyst(config)#

CSS и Partitions. Немного теории.

  В CUCM есть довольно интересные понятия в вопросе маршрутизации звонков. Не то, чтоб совсем уж интересные, но ключевые в понимании того, как эта самая маршрутизация звонков происходит. Это Partitions и Calling Search Space. Не одно пояснение этих понятий я видел в сети, так что оригинальным не буду и добавлю свое.
Начнем с Partition. Это ни что иное, как группа объектов. этими объектами могут быть:
- DN или линия или номер, кому как нравится
- шаблон номера
- линия для голосовой почты
- конференция meet-me

Диспетчер задач от Cisco. Знакомимся с Real-time monitoring tool.

  С того момента, как я завел сервер CUCM на VMWare, мне было очень интересно, как же можно мониторить нагрузку системы. Казалось бы, Linux, значит и линуксовые утилиты должны быть, но нет, все обрезали и прикрутили свою оболочку, урезанную по самое не могу. Искал в веб-интерфейсе, но и там нет, только отчеты какие-то, да и то, с ними еще разобраться надо. И вот момент просветления настал когда я открыл для себя Real-time monitoring tool. Да будет счастье людям, создавшим ее.

Настройка CUCM. Часть 2. Регистрируем SCCP телефоны.

Она говорила немного по-французски и много по телефону.

  В настройку регистрации телефонов входит целый ряд действий. Тут не все так просто обстоит, как с СМЕ, и, уж тем более, тут нет кнопки «Сделать хорошо». Настраивать подключение телефонов к CUCM можно несколькими способами:
- ручная настройка
- автоматическая конфигурация
- Bulk Administration Tool (BAT) - можно экспортировать настройки телефонов из csv-файла
- Auto Register Phone Tool (TAPS) - включает в себя функциональность авто-регистрации и BAT. Если нужно подключить сотню телефонов, то это ваш выбор.
DHCP-сервер у нас уже настроен, так что можно регистрировать телефоны.

Настройка CUCM. Часть 1. DHCP-сервер

  CUCM сам по себе громадная махина с кучей разнообразных настроек. Но как ни крути, основой является настройка регистрации телефонов. Если настраивать все с нуля, то в рамках одной статьи/гайда/туториала уместиться явно не получится. Поэтому на каждый этап настройки будет отдельная запись. Я пропущу этап установки, ничего стоящего заметки я в нем не вижу. Итак, начнем.

Loading... Загрузка телефона Cisco с SCCP и SIP прошивками

  Небольшая заметка на память про порядок загрузки и регистрации телефонов Cisco с использованием разных протоколов. Ну не то, чтоб разных, корректнее будет - обоих. Принципиальных различий нет. А те, которые есть вызваны скорее отличиями в архитектуре протоколов.
  Первые шаги в обоих процедурах аналогичны, поэтому я сначала опишу их, а потом по отдельности как это происходит дальше в разных версиях прошивок.