По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие наши статьи:
img
Эта серия статей подробно объясняет основные понятия, принципы и операции протокола маршрутизации RIP с примерами. Узнайте, как работает RIP (Routing Information Protocol) и как обновляет таблицу маршрутизации из широковещательного сообщения шаг за шагом. Маршрутизаторы используют таблицу маршрутизации для принятия решения о переадресации. Таблица маршрутизации содержит информацию о сетевых путях. Сетевой путь - это простой фрагмент информации, который говорит, какая сеть подключена к какому интерфейсу маршрутизатора. Всякий раз, когда маршрутизатор получает пакет данных, он ищет в таблице маршрутизации адрес назначения. Если маршрутизатор найдет запись сетевого пути для адреса назначения, он переадресует пакет из связанного интерфейса. Если маршрутизатор не найдет никакой записи для адреса назначения, он отбросит пакет. Существует два способа обновления таблицы маршрутизации: статический и динамический. В статическом методе мы должны обновить его вручную. В динамическом методе мы можем использовать протокол маршрутизации, который будет обновлять его автоматически. RIP - это самый простой протокол маршрутизации. В этой статье мы узнаем, как RIP обновляет таблицу маршрутизации. В протоколе RIP маршрутизаторы узнают о сетях назначения от соседних маршрутизаторов через процесс совместного использования. Маршрутизаторы, работающие по протоколу RIP, периодически транслируют настроенные сети со всех портов. Список маршрутизаторов обновит их таблицу маршрутизации на основе этой информации. Давайте посмотрим, как работает процесс RIP шаг за шагом. Следующий рисунок иллюстрирует простую сеть, работающую по протоколу маршрутизации RIP. Когда мы запускаем эту сеть, маршрутизаторы знают только о непосредственно подключенной сети. OFF1 знает, что сеть 10.0.0.0/8 подключена к порту F0/1, а сеть 192.168.1.252/30 подключена к порту S0/0. OFF2 знает, что сеть 192.168.1.252/30 подключена к порту S0/0, а сеть 192.168.1.248/30 подключена к порту S0/1. OFF3 знает, что сеть 20.0.0.0/8 подключена к порту F0/1, а сеть 192.168.1.248/30 подключена к порту S0/0. В отличие от статической маршрутизации, где мы должны настроить все маршруты вручную, в динамической маршрутизации все, что нам нужно сделать, это просто сообщить протоколу маршрутизации, какой маршрут мы хотим объявить. А остальное будет сделано автоматически, запустив динамический протокол. В нашей сети мы используем протокол маршрутизации RIP, поэтому он будет обрабатываться RIP. Иногда RIP также известен как маршрутизация прослушки. Потому что в этом протоколе маршрутизации маршрутизаторы изучают информацию о маршрутизации от непосредственно подключенных соседей, а эти соседи учатся от других соседних маршрутизаторов. Протокол RIP будет совместно использовать настроенные маршруты в сети через широковещательные передачи. Эти широковещательные передачи называются обновлениями маршрутизации. Прослушивающие маршрутизаторы обновят свою таблицу маршрутизации на основе этих обновлений. OFF1 будет слушать трансляцию из OFF2. От OFF2, он узнает об одной новой сети 192.168.1.248/30 OFF2 будет слушать две передачи с OFF1 и OFF3. Из OFF1 он узнает о 10.0.0.0/8 и от OFF3 он узнает о сети 20.0.0.0/8. OFF3 будет слушать трансляцию из OFF2. От OFF2 он узнает о сети 192.168.1.252. Маршрутизатор выполняет несколько измерений, обрабатывая и помещая новую информацию о маршруте в таблицу маршрутизации. Мы объясним их позже в этой статье. Если маршрутизатор обнаружит новый маршрут в обновлении, он поместит его в таблицу маршрутизации. Через 30 секунд (интервал времени по умолчанию между двумя обновлениями маршрутизации) все маршрутизаторы снова будут транслировать свои таблицы маршрутизации с обновленной информацией. В данный момент времени: OFF1 будет транслироваться для 10.0.0.0/8, 192.168.1.248/30 и 192.168.1.252/30. OFF2 будет транслировать для 10.0.0.0/8, 20.0.0.0/8, 192.168.1.248/30 и 192.168.1.252/30. OFF3 будет транслироваться для 20.0.0.0/8, 192.168.1.248/30 и 192.168.1.252/30. OFF1 узнает о сети 20.0.0.0/8 из трансляции OFF2. У OFF2 нет ничего, чтобы обновить из трансляции OFF1 и OFF2. OFF3 узнает о сети 10.0.0.0/8 из трансляции OFF2. Через 30 секунд маршрутизатор снова будет транслировать новую информацию о маршрутизации. На этот раз маршрутизаторам нечего обновлять. Эта стадия называется конвергенцией. Конвергенция Конвергенция - это термин, который относится к времени, затраченному всеми маршрутизаторами на понимание текущей топологии сети. Метрика протокола маршрутизации RIP У нас может быть два или более путей для целевой сети. В этой ситуации RIP использует измерение, называемое метрикой, чтобы определить наилучший путь для целевой сети. RIP использует подсчет прыжков как метрику. Прыжки - это количество маршрутизаторов, необходимое для достижения целевой сети. Например, в приведенной выше сети OFF1 есть два маршрута для достижения сети 20.0.0.0/8. Маршрут 1: - через OFF3 [на интерфейсе S0/1]. С прыжком - один. Маршрут 2: - через OFF2-OFF3 [на интерфейсе S0/0]. С прыжком - два. Итак, по какому маршруту OFF1 доберется до места назначения? Маршрут 1 имеет один прыжок, в то время как маршрут 2 имеет два прыжка. Маршрут 1 имеет меньшее количество переходов, поэтому он будет помещен в таблицу маршрутизации. Резюме Протокол маршрутизации RIP использует локальную широковещательную передачу для обмена информацией о маршрутизации. RIP транслирует обновления маршрутизации каждые 30 секунд, независимо от того, изменилось что-то в сети или нет. По истечении 30 секунд маршрутизаторы, работающие по протоколу RIP, будут транслировать информацию о своей маршрутизации на любые устройства, подключенные к их интерфейсам. Перед отправкой обновлений маршрутизации маршрутизатор добавляет метрику инициализации ко всем маршрутам, которые он имеет, и увеличивает метрику входящих маршрутов в объявлениях, чтобы маршрутизатор листинга мог узнать, как далеко находится сеть назначения. При отправке широковещательных передач RIP не заботится о том, кто слушает эти широковещательные обновления или нет. После отправки широковещательного сообщения RIP не заботится о том, получили ли соседи эти широковещательные обновления или нет. Когда маршрутизатор получает обновления маршрутизации, он сравнивает их с маршрутами, которые уже есть в его таблице маршрутизации. Если обновление содержит информацию о маршруте, которая недоступна в его таблице маршрутизации, маршрутизатор будет рассматривать этот маршрут как новый маршрут. Маршрутизатор добавит все новые маршруты в таблицу маршрутизации перед обновлением существующего. Если обновление содержит лучшую информацию для любого существующего маршрута, маршрутизатор заменит старую запись новым маршрутом. Если обновление содержит худшую информацию для любого существующего маршрута, маршрутизатор проигнорирует ее. Если обновление содержит точно такую же информацию о любом существующем маршруте, маршрутизатор сбросит таймер для этой записи в таблице маршрутизации Далее, почитайте нашу статью о функциях и терминологии RIP.
img
В сегодняшней статье покажем пример настройки DMVPN – Dynamic Multipoint VPN, что является VPN решением компании Cisco. Данное решение используется, когда требуется высокая масштабируемость и легкость настройки при подключении филиалов к головному офису. DMPVN одно из самых масштабируемых и эффективных решений VPN поддерживаемых компанией Cisco. В основном оно используется при топологии Hub-and-Spoke, где вы хотели бы видеть прямые VPN туннели Spoke-to-Spoke в дополнение к обычным Spoke-to-Hub туннелям. Это означает, что филиалы смогут общаться с друг другом напрямую, без необходимости прохождение трафика через HQ. Как уже упоминали, эта технология является проприетарной технологией Cisco. Если вам необходимо подключить более десяти сайтов к головному офису, то DMPVN будет идеальным выбором. Кроме того, DMPVN поддерживает не только Hub-and-Spoke, но и Full-Mesh топологию, так как все сайты имеют между собой связность без необходимости настройки статических VPN туннелей между сайтами. Некоторые характеристики DMVPN Для начала перечислим важные характеристики данного способа организации Site-to-Site VPN для лучшего понимания: Центральный маршрутизатор (HUB) - данный роутер работает как DMVPN сервер, и Spoke маршрутизаторы работают как DMVPN клиенты; У данного маршрутизатора есть публичный статический IP-адрес на WAN интерфейсе; У Spoke маршрутизаторов на WAN интерфейсах может как статический, так и динамический публичный IP-адрес; У каждого филиала (Spoke) есть IPSEC туннель к головному офису (Hub); Spoke-to-Spoke - туннели устанавливаются при возникновении необходимости, когда есть движение трафика между филиалами. Таким образом, трафик может не ходить через головной офис, а использовать прямые туннели между филиалами; Все туннели используют Multipoint GRE c IPSEC; NHRP (Next Hop Resolution Protocol) - данный протокол используется для установления соответствий между приватными IP туннельных интерфейсов с публичными WAN адресами Описанные выше NHRP соответствия будут храниться на NHRP сервере, чем в нашем случае является HUB роутер. Каждый филиал устанавливает соединение с головным офисом и регистрирует свой публичный IP-адрес и его приватный IP-адрес тунеля; Когда филиалу необходимо отправить пакеты в подсеть другого филиала, он запрашивает NHRP сервер для получения информации о внешнем публичном адресе целевого филиала; Для лучшей масштабируемости советуем использовать один из протоколов динамический маршрутизации между всеми роутерами – например, EIGRP; Еще раз кратко о технологиях, которые использует DMVPN: Multipoint GRE; IPSEC; NHRP – Next Hop Resolution Protocol; Статическая или динамическая маршрутизация; Настройка маршрутизатора Конкретно в нашем примере у нас будет HUB маршрутизатор и два филиала. И, как было описано ранее, HUB – это DMVPN cервер, а филиалы – DMPVN клиенты. В нашем примере в качестве маршрутизатора используется CISCO1921/K9 Сначала настраиваем HUB маршрутизатор – ему необходимо присвоить статический IP – адрес на внешнем WAN-интерфейсе: ! Настраиваем интерфейсы interface GigabitEthernet0/0 description to Internet-WAN ip address 10.10.10.1 255.255.255.252 ! interface GigabitEthernet0/1 description to LAN ip address 192.168.160.1 255.255.255.0 duplex auto ! Настраиваем туннельный интерфейс, который является улучшенным GRE (Multipoint GRE) interface Tunnel1 description DMVPN Tunnel ip address 172.16.1.1 255.255.255.0 // выбираем приватную подсеть для туннелей no ip redirects ip nhrp authentication nhrp1234 // аутентификация между маршрутизаторами ip nhrp network-id 1 // сетевой идентификатор, который должен быть одинаковым на всех маршрутизаторах load-interval 30 keepalive 5 10 tunnel source GigabitEthernet0/0 // назначаем источником туннеля WAN интерфейс tunnel mode gre multipoint // определяем туннель как mGRE tunnel protection ipsec profile protect-gre // шифруем трафик в туннеле с помощью IPSEC ip mtu 1440 // уменьшаем MTU для того, чтобы разрешить оверхед на mGRE и IPSEC ip nhrp map multicast dynamic // разрешаем форвардить мультикаст трафик между туннелями. ! Настраиваем IPSEC на главном роутере crypto isakmp policy 1 encr 3des hash md5 authentication pre-share group 2 crypto isakmp key isakmp1234 address 0.0.0.0 0.0.0.0 // принимать соединения от любого источника при наличии динамических филиалов ! crypto ipsec transform-set TS esp-3des esp-md5-hmac mode tunnel ! ! crypto ipsec profile protect-gre // профиль добавленный к mGRE туннелю для шифрования set security-association lifetime seconds 86400 set transform-set TS ! Настраиваем статическую маршрутизацию на HUB маршрутизаторе ip route 192.168.164.0 255.255.255.0 172.16.1.2 // удаленные подсети доступны через IP удаленного туннеля ip route 192.168.161.0 255.255.255.0 172.16.1.3 // удаленные подсети доступны через IP удаленного туннеля Затем настраиваем маршрутизаторы в филиалах (Spoke роутеры) - у одного маршрутизатора статический айпишник на WAN интерфейсе, и у другого динамический, получаемый по DHCP. Первый маршрутизатор в филиале, с динамическим IP: interface GigabitEthernet0/0 description WAN to Internet ip address dhcp duplex auto speed auto interface GigabitEthernet0/1 description To LAN ip address 192.168.164.1 255.255.255.0 duplex auto speed auto interface Tunnel1 ip address 172.16.1.2 255.255.255.0 // помещаем в ту же подсеть что и другие туннели no ip redirects ip nhrp map multicast dynamic // разрешаем форвардить мультикаст трафик между туннелями tunnel source GigabitEthernet0/0 // “source”- WAN интерфейс tunnel mode gre multipoint tunnel protection ipsec profile protect-gre ip nhrp authentication nhrp1234 ip nhrp map 172.16.1.1 10.10.10.1 // соответствие HUB адреса туннеля с HUB адресом WAN ip nhrp network-id 1 ip nhrp nhs 172.16.1.1 // настройка NHRP ip nhrp registration no-unique // если NHRP процесс завершился (поиск соответствия) для определенного IP, то больше данный процесс не запустится ip nhrp map multicast 10.10.10.1 // Отправка milticast трафика только в Hub. Головной маршрутизатор будет получать весь мультикаст трафик (например, обновления протокола маршрутизации) и отправлять его всем Spoke маршрутизаторам ip mtu 1440 load-interval 30 keepalive 5 10 crypto isakmp policy 1 encr 3des hash md5 authentication pre-share group 2 crypto isakmp key isakmp1234 address 0.0.0.0 0.0.0.0 // Филиалы должны разрешать подклюения с любого адреса для формирования IPSEC VPN туннелей с другими филиалами ! ! crypto ipsec transform-set TS esp-3des esp-md5-hmac mode tunnel ! crypto ipsec profile protect-gre set security-association lifetime seconds 86400 set transform-set TS ip route 192.168.160.0 255.255.255.0 172.16.1.1 // Маршрут для HUB ip route 192.168.161.0 255.255.255.0 172.16.1.3 // Маршрут для другого филиала Spoke site Второй филиальный маршрутизатор, со статическим IP: interface GigabitEthernet0/0 description TO Internet ip address 10.10.10.9 255.255.255.252 duplex auto speed auto interface GigabitEthernet0/1 description To: LAN ip address 192.168.161.1 255.255.255.0 duplex auto speed auto interface Tunnel1 ip address 172.16.1.3 255.255.255.0 // должен быть в той же подсети что и другие туннели no ip redirects ip nhrp map multicast dynamic // разрешаем форвард мульткастов между туннелями. tunnel source GigabitEthernet0/0 tunnel mode gre multipoint tunnel protection ipsec profile protect-gre ip nhrp authentication nhrp1234 ip nhrp map 172.16.1.1 10.10.10.1 // мапируем адрес HUB тунеля к WAN адресу ip nhrp network-id 1 ip nhrp nhs 172.16.1.1 // настраиваем NHRP клиент с указанием адреса сервера ip nhrp registration no-unique ip nhrp map multicast 10.10.10.1 ip mtu 1440 load-interval 30 keepalive 5 10 crypto isakmp policy 1 encr 3des hash md5 authentication pre-share group 2 crypto isakmp key isakmp1234 address 0.0.0.0 0.0.0.0 ! crypto ipsec transform-set TS esp-3des esp-md5-hmac mode tunnel ! !crypto ipsec profile protect-gre set security-association lifetime seconds 86400 set transform-set TS ip route 192.168.160.0 255.255.255.0 172.16.1.1 // маршрут до головного маршрутизатор ip route 192.168.164.0 255.255.255.0 172.16.1.2 // маршрут до другого филиала Переходим к тестированию: show dmvpn // проверяем статус DMVPN и NHRP show crypto isakmp sa // проверяем IPSEC cвязность между маршрутизаторами ping 192.168.164.1 // пингуем для проверки ping 192.168.1.1 В нашем примере использовалась статическая маршрутизация, но при большом количестве филиалов необходимо использовать протоколы динамический маршрутизации для уменьшения ручного труда и риска ошибки.
img
NTP (Network Time Protocol) - протокол, определяющий синхронизацию времени на вашем устройстве с публичным или частным сервером, который предоставляет данную информацию. На первый взгляд, установленное время на маршрутизаторе не играет большой роли, но, такие протоколы как IPSec или Kerberos постоянно обмениваются ключами и токенами, которые обладают тайм-стампами - т.е, если на одном роутере время не синхронизировано с другим с небольшой погрешностью, то ключи будут экспайрится быстрее и туннели будут постоянно менять свое состояние. Если же время кардинально отличается на двух устройствах, то IPSec туннели могут вообще не подняться - поэтому настройка NTP очень важна. Кроме того, необходимо настраивать NTP и для того, чтобы в случае взлома или проникновения злоумышленника в вашу сеть вы всегда могли определить точное время события, то есть в логах всегда должна быть точная информация. Настройка NTP Для настройки NTP серверов есть несколько вариантов - хостить NTP сервер в вашей сети, использовать публичный или приватный внешний NTP сервер или использовать сразу оба. В данной статье будет использован только один внешний NTP сервер, который хостится проектом NTP.org - данным сервером пользуются миллионы пользователей. С помощью простой команды ниже вы сможете синхронизировать время на ваших маршрутизаторах с сервисом pool.ntp.org, который балансируется по нагрузке и крайне надежен: /system ntp client set enabled=yes server-dns-names=time.google.com,0.pool.ntp.org,1.pool.ntp.org,2.pool.ntp.org,3.pool.ntp.org Ваш маршрутизатор синхронизирует время с ближайшим NTP сервером, который находится в вышеуказанных пулах, и продолжит делать регулярные небольшие корректировки, если появится данная необходимость. Учтите, что если в момент настройки NTP у вас активны IPSeс сессии, то, они, вероятно, могут быть ненадолго прерваны. Временные зоны Необходимо упомянуть важность настройки различных временных поясов - в зависимости от вашей конфигурации, мы бы советовали установить везде одинаковый часовой пояс - в нашем случае Europe/Moscow. В этом случае вы можете быть уверены, что проблем с различным временем на ваших девайсах не возникнет. Итого, команда, которой устанавливается временной пояс: /system clock set time-zone-name=UTC Скорее всего, в момент установки часового пояса, ваши VPN туннели претерпят кратковременные падения.
ВЕСЕННИЕ СКИДКИ
40%
50%
60%
До конца акции: 30 дней 24 : 59 : 59