Настройка маршрутизации: свич+роутер+ADSL-модем <3750, 871, VLAN, PPPoE>

[Sidelong]

привет всем!
имееется:
1. два свича cisco catalyst 3750, их sh run
hostname SW_1
!
no aaa new-model
switch 1 provision ws-c3750-24p
ip subnet-zero
ip routing
!
!
!
!
no file verify auto
spanning-tree mode pvst
spanning-tree extend system-id
!
vlan internal allocation policy ascending
!
interface Loopback0
ip address 10.20.255.250 255.255.255.255
!
interface FastEthernet1/0/1
switchport access vlan 12
switchport mode access
!
interface FastEthernet1/0/2
switchport access vlan 12
switchport mode access
.
.
.
interface FastEthernet1/0/23
switchport access vlan 12
switchport mode access
!
interface FastEthernet1/0/24
switchport access vlan 12
switchport mode access
!
interface GigabitEthernet1/0/1
description ---=== to Server DC1 ===---
switchport trunk encapsulation dot1q
switchport trunk native vlan 12
switchport mode trunk
!
interface GigabitEthernet1/0/2
description ---=== to Switch SW_2 ===---
switchport trunk encapsulation dot1q
switchport trunk native vlan 12
switchport mode trunk
!
interface Vlan1
no ip address
shutdown
!
interface Vlan10
ip address 10.20.10.1 255.255.255.0
ip helper-address 10.20.12.12
no ip redirects
standby 1 preempt
standby 1 name Users
!
interface Vlan12
description ---=== to LAN Office OOO Kondaneft ===---
ip address 10.20.12.1 255.255.255.0
no ip redirects
standby 3 preempt
standby 3 name Server`s
!
ip default-gateway 10.20.12.10
ip classless
ip route 0.0.0.0 0.0.0.0 10.20.12.10
ip http server
ip radius source-interface Loopback0
!
!
control-plane
!
!
line con 0
line vty 0 4
password
login
line vty 5 15
login
!
end

hostname SW_2
!
enable password
!
no aaa new-model
switch 1 provision ws-c3750-24p
ip subnet-zero
ip routing
!
!
!
!
no file verify auto
spanning-tree mode pvst
spanning-tree extend system-id
!
vlan internal allocation policy ascending
!
interface Loopback0
ip address 10.20.255.251 255.255.255.255
!
interface FastEthernet1/0/1
switchport access vlan 12
switchport mode access
!
interface FastEthernet1/0/2
switchport access vlan 12
switchport mode access
!
interface FastEthernet1/0/3
switchport access vlan 12
switchport mode access
.
.
.
interface FastEthernet1/0/23
switchport access vlan 12
switchport mode access
!
interface FastEthernet1/0/24
switchport access vlan 12
switchport mode access
!
interface GigabitEthernet1/0/1
description ---=== to Switch SW_1 ===---
switchport trunk encapsulation dot1q
switchport trunk native vlan 12
switchport mode trunk
!
interface GigabitEthernet1/0/2
description ---=== to SERVER MAIL ===---
switchport trunk encapsulation dot1q
switchport trunk native vlan 12
switchport mode trunk
!
interface Vlan1
no ip address
shutdown
!
interface Vlan10
ip address 10.20.10.2 255.255.255.0
ip helper-address 10.20.12.12
no ip redirects
!
interface Vlan12
ip address 10.20.12.2 255.255.255.0
no ip redirects
!
ip default-gateway 10.20.12.10
ip classless
ip route 0.0.0.0 0.0.0.0 10.20.12.10
ip http server
ip radius source-interface Loopback0
!
!
control-plane
!
!
line con 0
line vty 0 4
password
login
line vty 5 15
no login
!
end

юзеры от DHCP на DC получают адреса 10.20.12.50 до 10.20.12.99

2. роутер cisco 871, его sh run
hostname cisco871
!
boot-start-marker
boot-end-marker
!
logging buffered 51200 warnings
!
no aaa new-model
!
resource policy
!
ip subnet-zero
ip cef
no ip dhcp use vrf connected
ip dhcp excluded-address 10.10.10.1
!
ip dhcp pool sdm-pool
import all
network 10.10.10.0 255.255.255.248
default-router 10.10.10.1
lease 0 2
!
!
no ip domain lookup
ip domain name Kondaneft
!
!
crypto pki trustpoint TP-self-signed-398983277
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-398983277
revocation-check none
rsakeypair TP-self-signed-398983277
!
crypto pki certificate chain TP-self-signed-398983277
certificate self-signed 01
30820248 308201B1 A0030201 02020101 300D0609 2A864886 F70D0101 04050030
30312E30 2C060355 04031325 494F532D 53656C66 2D536967 6E65642D 43657274
69666963 6174652D 33393839 38333237 37301E17 0D303230 33303130 30303535
375A170D 32303031 30313030 30303030 5A303031 2E302C06 03550403 1325494F
532D5365 6C662D53 69676E65 642D4365 72746966 69636174 652D3339 38393833
32373730 819F300D 06092A86 4886F70D 01010105 0003818D 00308189 02818100
D9E12AAA 5899B298 BC963A2F AB977B8C 124999C8 E2D29BE2 96CA6BAB B66E5E53
BBF40BA6 BAFD3401 EB140B52 8B873FA4 3D4B7477 8F4979B8 90E743D3 59FDF0FD
F56F93D3 49BB86F9 2D187AEF 5A8084CE 74CCE89C 7D50883A 4DFD4DBC B7540832
C0E4C643 E6C58073 DD925FD5 8EB49784 B424C0A6 F0BD060C 8631BF45 C13DE55F
02030100 01A37230 70300F06 03551D13 0101FF04 05300301 01FF301D 0603551D
11041630 14821263 6973636F 3837312E 4B6F6E64 616E6566 74301F06 03551D23
04183016 80145F05 B366D5CE 4543BF31 9CDE1A6F D1EEBC73 AAC5301D 0603551D
0E041604 145F05B3 66D5CE45 43BF319C DE1A6FD1 EEBC73AA C5300D06 092A8648
86F70D01 01040500 03818100 B2BBE53E 258069CD 83B61697 93159D7B 3EFA3488
50AEC55A 53E6AF1B 626F3A20 B9940612 70498E00 E3D846F9 7AE9524A 0F176C45
A37F1479 B438D4B6 BDE2B53B AD9E9F9E E36C851D A195225A 1187BA38 6DF13E1D
D870CEA7 6F13E491 4B23DE93 84E2F769 49301B48 4BF28902 4C5C8ECB 5F0B275F
71A529B7 4E57D75D 63FCAE64
quit
username cisco privilege 15 secret 5 $1$w5AP$K6TA51c/vphtLlBe6Ayib1
!
!
!
!
!
interface FastEthernet0
description ---=== to Proxy Server 10.20.12.50 ===---
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface FastEthernet4
description ---=== to ADSL Modem ZyXEL 660E ===---
ip address 192.168.1.33 255.255.255.0
ip route-cache flow
duplex auto
speed auto
!
interface Vlan1
description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$
ip address 10.10.10.1 255.255.255.248
ip tcp adjust-mss 1452
shutdown
!
interface Vlan12
description ---=== to Prozy Server 10.20.12.50 ===---
ip address 10.20.12.3 255.255.255.0
!
ip classless
!
ip http server
ip http access-class 23
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
!
access-list 23 permit 10.10.10.0 0.0.0.7
no cdp run
!
control-plane
!
banner login ^C
-----------------------------------------------------------------------
Cisco Router and Security Device Manager (SDM) is installed on this device.
This feature requires the one-time use of the username "cisco"
with the password "cisco". The default username and password have a privilege level of 15.

Please change these publicly known initial credentials using SDM or the IOS CLI.
Here are the Cisco IOS commands.

username <myuser> privilege 15 secret 0 <mypassword>
no username cisco

Replace <myuser> and <mypassword> with the username and password you want to use.

For more information about SDM please follow the instructions in the QUICK START
GUIDE for your router or go to http://www.cisco.com/go/sdm
-----------------------------------------------------------------------
^C
!
line con 0
login local
no modem enable
line aux 0
line vty 0 4
access-class 23 in
privilege level 15
login local
transport input telnet ssh
!
scheduler max-task-time 5000
end

3. модем, Zyxel 600 seria
он настроен роутером его ip=10.20.10.12 он в данный момент воткнут в свич

необходимо инет пустить через роутер, на одной машинке поднять isa2006 и раздавать инет
как настроить роутер?

[kim-aa]

Sidelong, а схему нарисовать?

[Sidelong]

вот текущая схема подключения

[kim-aa]

Sidelong,

А картинку чего ты собственно хочешь получить?

871 вставляется в разрыв между коммутаторами и Zyxel, это понятно.
Zyxel в каком режиме будет функционировать? Мост или маршрутизатор? От этого зависит где настраивать NAT

[Sidelong]

kim-aa, в данный момент модем в режиме "роут"
как лучше сделать? оставить в роутер режиме или нат? что мне даст смена режима?!?

[kim-aa]

Я, честно говоря, не понимаю зачем ставить два маршрутизатора последовательно.

то мне даст смена режима?!? »

Ну сначала нужно понять зачем вы ставите cisco 841

[Sidelong]

kim-aa,
всмысле 2 маршрутизатора последовательно??
суть то создать цепочку Inet -> ADSL Modem -> cisco 871 -> свич catlyst 3750

[kim-aa]

Sidelong,
Это понятно.

Вариант1: Zyxel может остаться в режиме маршрутизатора, тогда на нем придется прописывать маршруты сетей catalyst'ов, т.к он не будет с ними граничить и соответственно должен знать где их искать.

Вариант2: Zyxel переводится в режим тупого бриджа.
Все сетевые (IP) настройки которые существовали на нем, должны быть перенесены на cisco 871

[Sidelong]

kim-aa,
думаю, подойдет 2-й вариант.

что настраивать на 871?

[kim-aa]

Sidelong,
Настройки Zyxel плохо видно.

[Sidelong]

настройки приведены.

[kim-aa]

1) Поднять tftp (tftp32) для сохранения настроек cisco.

2) Сохранить настройки cisco и zyxel.

3) Настраивать можно тремя способами:
3.1) WEB - лучший для новичка
3.2) команду setup, тогда он инициирует все заново
3.3) непосредственно в IOS

---------------------------------------------------------------------------
Что видно из файла конфигурации.
- физических интерфейсов у вас 5: 0-4
- 4й интерфейс - WAN
- интерфейсы с 0-3 - внутренние интерфейсы коммутатора.
К сожалению я не знаю о возможности непосредственного присвоения IP - интерфейсам данной серии.
Однако т. к. внутренний свич работает с VLAN - проблем никаких.

Варианта 2:

1) Присвоить интерфейсу Vlan12, IP внутреннего интерфейса Zyxel.
2) Оставить как есть 10.20.12.3, использовать его как шлюз по умолчанию только для прокси сервера или инных хостов которым необходим прямой доступ в интернет.

Вариант 2 я считаю более правильным. Т. к. при его настройке меньше возможностей ошибиться, да и у zyxel'а при любом режиме работы не будет конфликта IP

--------------------------------------------------------------------------
Самое интересное.
Настройка PPPoE на FastEthernet4 + NAT

Не настраивал. Сейчас посмотрю вумные книжки.
Вот пример PPPoE самой cisco на чистом английском языке http://www.cisco.com/en/US/docs/routers/access/800/850/software/configuration/guide/pppoenat.html

[Sidelong]

kim-aa,
1. поднял tftp-сервер
2. слил конфиг с обоих свичей,
а вот с модема что-то не получается.
привожу скрины модема

Не совсем понял 2-й вариант, причем тут 10.20.12.3 ?

[kim-aa]

Не совсем понял 2-й вариант, причем тут 10.20.12.3 ? »


interface Vlan12
description ---=== to Prozy Server 10.20.12.50 ===---
ip address 10.20.12.3 255.255.255.0 »


У cisco 851 интерфейсу VLAN12 уже присвоен данный адрес.
И если воткнуть 851 в любой порт коммутатора, то по идее, данный интерфейс можно пропинговать.

Если теперь настроить WAN интерфейс 851 (FE4), поднять на нем PPPoE + NAT, то любой компутер у которого шлюзом по умолчанию, либо в таблице маршрутизации будет прописан 10.20.12.3, - попадет в интернет

а вот с модема что-то не получается. »
Тут читай доку. ХЗ как у ZYxel конфиги сохраняются
Можно просто все скриншоты распечатать, на всякий случай

[Sidelong]

kim-aa,
понял в каком направлении двигаться.
текущий конфиг на cisco871 оставлять????

да и еще один немаловажный момент.
у меня один из свичей vtp server
SW_1#sh vtp stat
VTP Version : 2
Configuration Revision : 7
Maximum VLANs supported locally : 1005
Number of existing VLANs : 7
VTP Operating Mode : Server
VTP Domain Name : Kondaneft
VTP Pruning Mode : Disabled
VTP V2 Mode : Enabled
VTP Traps Generation : Disabled
MD5 digest : 0x82 0xAC 0x82 0xA9 0x88 0x6E 0x2D 0xF2
Configuration last modified by 10.20.10.1 at 3-1-93 00:17:01
Local updater ID is 10.20.10.1 on interface Vl10 (lowest numbered VLAN interface found)

соответственно второй свич - Client

стоит ли менять на cisc871 с Sever на Client??

[kim-aa]

стоит ли менять на cisc871 с Sever на Client?? »
Думаю лучше не надо.

[Sidelong]

в текущем конфиге 871 присутствуют строки:
ip dhcp pool sdm-pool
import all
network 10.10.10.0 255.255.255.248
default-router 10.10.10.1
lease 0 2

нужно ли это убрать?

[kim-aa]

нужно ли это убрать? »

Да. Это поднятие DHCP-сервера, причем гейтом указывается зашутдауненный интерфейс VLAN1

[Sidelong]

kim-aa,
убрал dhcp
также убрал эту строчку
access-list 23 permit 10.10.10.0 0.0.0.7

на 871 пробил
interface FastEthernet0
description ---=== to Switch SW_1 ===---
switchport trunk native vlan 12

на свиче
interface FastEthernet1/0/4
description ---=== to Router cisco871 ===---
switchport trunk encapsulation dot1q
switchport mode access

однако пинга 10.20.12.3 нету

[kim-aa]

просто так на обоих интерфейсах. На свиче и на Cisco

switchport access vlan 12
switchport mode access