Доброго времени суток. Как я писал выше,  данная статья написана как вариант использования функционала Cisco. Она может быть полезной в сетях где внедрить DMVPN по каким-либо причинам не возможно.  Лично сам сталкивался с non cisco устройствами на одной из сторон и где оператор GSM разрешает  только хост-хост, данная схема безупречно работает. И именно GRE over IPsec а не наоборот. Т.к. между разрешенными хос-хост поднимается IPsec туннель. Далее уже поверх него работает динамическая  маршрутизация с использованием среды GRE.  При правильно настроенным динамическом протоколе маршрутизации, все изменения  сетях их добавление "наслоение" автоматически добавляют с таблицы маршрутизации без каких либо манипуляций с IPSec и листами доступа.  При написании статьи использовалась следующая литература: CCNP ROUTE 642-902 Official Certification Guide - Wendell Odom (стр 664) Point-to-Point GRE over IPsec Design Guide   Еще раз повторюсь, как я писал выше, в динамических сетях или как вы выразились с частыми "наслоениями подсетей" использую и предлагаю использовать DMVPN, опять таки если это возможно. ... View more

Добрый день. Внутренние сети в моем примере знают друг об друге посредством OSPF. Вы же можете использовать так же OSPF, EIGRP или  статическую маршрутизацию. Я на каждом маршрутизаторе поднял процесс OSPF. В конфигурации это указанно   Пошлите мне в личку конфигурацию HUB и SPOKE   я вам скажу  какие маршруты нужно добавить и если используете динамические протоколы где ошиблись. Все должно работать на основе маршрутизации будто маршрутизаторы находятся в одной сети. Прибегать к нату не потребуется нам.  ... View more

Добрый день. Тут есть отдельный раздел посвященный безопасности. Создайте тему там. https://supportforums.cisco.com/community/russian/security ----------------------------------------------------------- Прошу вас оценивать и отмечать полезные для вас сообщения. Please rate helpful answers. ... View more

Посредством Access List Сперва на интерфейсах указать в сторону провайдера или другой иной сеты в которю будет происходить нат  ip nat outside в сторону сети 192.168.0.0  ip nat inside создать лист доступа(если маска 255.255.255.0) если иная то напишите какая ip access-list extended nat permit ip 192.168.0.0 0.0.0.255 any создать правило нат ip nat inside source list nat interface интерфейс_в_сторону_провайдера overload и все Так же полезной будет статья http://www.cisco.com/en/US/tech/tk648/tk361/technologies_tech_note09186a0080094e77.shtml ----------------------------------------------------------- Прошу вас оценивать и отмечать полезные для вас сообщения. Please rate helpful answers. ... View more

Что насчет ответа на  " На свитче пробовали менять ИП на любой другой из этой же подсети?" Что касается арп таблицы, е сли не получится посмотреть на сервере то можете на любом другом хосте внутри сети 192.168.0 посмотреть арп таблицу. Сделайте пинг на 192.168.0.33 потом посмотрите таблицу если при отключеном свитче выйдет мак адрес отличный от свитча то конфликт имеет место быть ----------------------------------------------------------- Прошу вас оценивать и отмечать полезные для вас сообщения. Please rate helpful answers. ... View more

На сервере никаких статических арп записей  для Ип 33-го не присутствуют? На свитче пробовали менять ИП на друго любой? Без свитча на сервере посмотрите  таблицу arp  присутствует ли в списе 33-ый адрес На самом свитче никаких лог сообщений не выходит в этот момент? ----------------------------------------------------------- Прошу вас оценивать и отмечать полезные для вас сообщения. Please rate helpful answers. ... View more

Раньше все работало? Просто перестало само по себе работать? PHY информация раньше отображалась? Если аппаратная проблема то думаю тут ничем не поможешь. Устройства подключенные к коммутатору на этих портах да и сам коммутатор заземлен? Второе устройство 10G или 1G? не была ли введена команда которая меняет скорость с 10 на 1 или наоборот?  hwhhw-module switch switch-number port-group group-number select gigabitethernet Он ----------------------------------------------------------- Прошу вас оценивать и отмечать полезные для вас сообщения. Please rate helpful answers. ... View more

Перформанс 7301 значительно отличается от ASR 1001 с ESP5 http://www.cisco.com/web/partners/downloads/765/tools/quickreference/routerperformance.pdf А вот цена не совсем. Почитайте про ASR 1001 он правда с интегрированными платами. Но Аплинков должно хватить вам. Очень хорошее решение цена качество. ----------------------------------------------------------- Прошу вас оценивать и отмечать полезные для вас сообщения. Please rate helpful answers. ... View more

Я как SP не сразу пришел тоже к ASR. Были изучены все варианты от софтверных до железных, опробованны даже на деле, и 72-ые и 76-ые, 12 тысячник уже не стали проверять, Мы обратились в Cisco предоставив всю информацию по нашим нагрузкам и ростом нагрузки за 5 лет примерно и она предложила нам ASR 1006 . И в общем то  пока не жалуемся, огромный запас мощности и скоростей. Стабильно и надежно держит и выполняет поставленные перед ним задачи. Посредством радиуса и веб морды к нему, были введены клиенты в базу. Все автоматизированно, можно залдавать шейп группам клиентам и индивидуально.  Более детально могу ответить в личку о конкретных продуктах которых я использовал для этого. Интернет канал 10G  уже.  Но на старте было 1G Нужно посчитать ваши текущие загрузки и планируемый рост, и можно подобрать для вас ESP и RP и SPA ----------------------------------------------------------- Прошу вас оценивать и отмечать полезные для вас сообщения. Please rate helpful answers. ... View more

Не соглашусь с  " задолбаетесь сопровождать озвученную конфигурацию на тысячу пользователей" Настроил Cisco ISG на ASR связал с Free Radius  никаких вообще проблем не выходит с ASR на протяжении года.  В час пик 11000 активных юзеров каждый шейпится, натится  проц 10% Нат ссессий в час пик около полтора миллиона. Еще BGP весь там тоже крутится. Конфиг маленький. А вообще рекомендую дать запрос в местное представительство Cisco для получение грамотного предложения. ----------------------------------------------------------- Прошу вас оценивать и отмечать полезные для вас сообщения. Please rate helpful answers. ... View more

Если брать в среднем 1 юзер примерно 100 сессий ната, у меня лично выходит показатель не в часы пик 1 юзер = 86-120 сессий. То вам нужен маршрутизатор который бы смог спокойно обработать 1000 * 100 = 100 000 сессий       Я бы посоветовал ASR1000 Или конкретно ASR 1001 с встроенным ESP на 5Gbps Если же планируете развиваться и расширать  обьемы, то  смотрите в сторону модульных ASR уже. Идеально справляется с натом, масштабируемый. Правильные инвестиции. Отличие моделей http://www.cisco.com/en/US/products/ps9343/prod_models_comparison.html Характеристики ESP модулей http://www.cisco.com/en/US/prod/collateral/routers/ps9343/data_sheet_c78-450070.html Table 1. Cisco ASR 1001 with Integrated 5-Gbps ESP Module and 8-GB Memory Feature Specification Performance Up to 7.5 Mpps Variable forwarding performance, depending on features configured 4 Mpps For the combination of the following commonly used features: IPv4 forwarding, IP Multicast, ACL, QoS, Reverse Path Forwarding (RPF), load balancing, and Sampled NetFlow Bandwidth 5 Gbps For the combination of commonly used features later than Firewall or NAT 1.8 Gbps For plain IPsec encryption Scaling Access control 4,000 unique ACLs and 25,000 application control engines (ACEs) per system Broadband 8,000 sessions and 4,000 Layer 2 Tunneling Protocol (L2TP) tunnels IP 500,000 IPv4 or 500,000 IPv6 routes with 4-GB memory 1,000,000 IPv4 or 1,000,000 IPv6 routes with 8- or 16-GB memory Multicast: 64,000 routes and 1,000 groups QoS Flexible number of queues per interface: • Up to 16,000 queues • Three levels of hierarchy <100-microsecond latency for high-priority applications Real-time traffic 2,000 Compressed Real-Time Transport Protocol (CRTP) sessions Security IPsec: 4,000 tunnels Firewall: 256,000 sessions NAT: 256,000 sessions Carrier-Grade NAT: 500,000 sessions Firewall and NAT: 125,000 sessions Layer 3 VPN (L3VPN) 4,000 Virtual Route Forwarding (VRF) instances Generic routing encapsulation (GRE) 4,000 tunnels Cisco Unified Border Element (Enterprise Edition) (formerly called session border controller, or SBC) 10,000 sessions (each session represents a complete voice call with 14 Session Initiation Protocol [SIP] messages per call; that is, two call legs on the SBC consisting of two media legs for a bidirectional media flow and seven SIP messages per call leg) ... View more

Вы просто состыковали два нейтив вилана, 13-ый в первый по сути вы получили, тоже самое, что если бы вы просто прописали 1-ый вилан на 1-2 порт. Изоляция в вашем случае просто отсутствует. Рад был быть полезен. Удачи вам. ----------------------------------------------------------- Прошу вас оценивать и отмечать полезные для вас сообщения. Please rate helpful answers. ... View more