[Cisco] Bridge VPN

[JKB]

Bonjour à tous,

Mon problème doit être assez simple, mais je patauge depuis quelques
jours. Je ne suis pas débutant en routage, mais je suis totalement
néophyte en matériel Cisco (2911) et j'ai un peu de mal à voir d'où
vient mon problème.

Considérons un modem SDSL (liaison louée) qui attaque la patte
GigabitEthernet0/1. Sur ce lien transite un VLAN 600 que je dois
router au travers d'un VPN (en bridge) vers un autre routeur à
l'autre bout du monde, le monde étant connecté à GigabitEthernet0/2.

Avec un routeur BSD ou Linux, je sais faire sans aucun problème.
Avec le 2911 de Cisco, je n'arrive à rien d'autant que le truc est
livré dans documentation et que la documentation sur le site Cisco
ne m'est d'aucun secours. Soit je me perds dedans, soit je ne
cherche pas au bon endroit.

J'ai bien créé un VPN (enfin, il me semble) grâce à :

crypto isakmp policy 9
hash md5
authentication pre-share
crypto isakmp key VPNKEY_1 address 212.217.8.34
!
crypto ipsec security-association lifetime seconds 86400
!
crypto ipsec transform-set VPN_1 esp-3des esp-md5-hmac
!
crypto map VPN_MAP_1 100 ipsec-isakmp
set peer 212.217.8.34
set transform-set VPN_1
match address 100

principal#sh crypto map
Crypto Map "VPN_MAP_1" 100 ipsec-isakmp
Peer = 212.217.8.34
Extended IP access list 100
access-list 100 permit ip 10.0.0.0 0.255.255.255 10.0.0.0
0.255.255.255
Current peer: 212.217.8.34
Security association lifetime: 4608000 kilobytes/86400 seconds
Responder-Only (Y/N): N
PFS (Y/N): N
Transform sets={
VPN_1: { esp-3des esp-md5-hmac } ,
}
Interfaces using crypto map VPN_MAP_1:
GigabitEthernet0/2

1/ Comment voir si ce truc est bien monté ?
2/ Est-ce bien un bridge ?
3/ Une fois qu'il est monté, comment s'assurer d'un routage du VLAN
dans ce VPN ?

Ces questions sont sans doute triviales pour quelqu'un habitué au
monde Cisco et j'en suis parfaitement conscient... Mais je serai
éternellement reconnaissant à quiconque pouvant m'apporter un coup
de main...

Cordialement,

JKB

[Erwann Thoraval]

Bonjour,

Post by JKB
1/ Comment voir si ce truc est bien monté ?

show interfaces status
pour voir si les interfaces sont up ou down.

Post by JKB
2/ Est-ce bien un bridge ?
3/ Une fois qu'il est monté, comment s'assurer d'un routage du VLAN
dans ce VPN ?

show ip route
pour voir la table de routage

Tu as aussi les commandes ping et traceroute qui peuvent t'aider à
debugger et des show bridge tunnel (dont je ne me sers pas).

hth,

[Eric Belhomme]

1/ Comment voir si ce truc est bien monté ? 2/ Est-ce bien un

bridge ?

3/ Une fois qu'il est monté, comment s'assurer d'un routage du VLAN
dans ce VPN ?

Je n'ai jamais fait ce genre de choses sous IOS non plus, mais voici
quelques pistes issues du IOS cookbook :

Selon ta config, tu utilises des clés pré-partagés, mais tu ne fais pas
référence à leur création :

crypto key generate rsa

pour voir la clé publique du routeur :
show crypto key mypubkey rsa

pour copier cette clé sur le routeur distant :
crypto key pubkey-chain rsa


sinon, pour voir l'état du tunnel :
show crypto isakmp sa
show crypto ipsec sa
show crypto engine connections active
show crypto engine connections dropped-packet
show crypto map

En espérant que cela t'aide...

[JKB]

Le 26 Oct 2011 08:21:23 GMT,

Post by JKB

1/ Comment voir si ce truc est bien monté ? 2/ Est-ce bien un

bridge ?

3/ Une fois qu'il est monté, comment s'assurer d'un routage du

VLAN

dans ce VPN ?

Je n'ai jamais fait ce genre de choses sous IOS non plus, mais voici
Selon ta config, tu utilises des clés pré-partagés, mais tu ne fais pas
crypto key generate rsa
show crypto key mypubkey rsa
crypto key pubkey-chain rsa
show crypto isakmp sa
show crypto ipsec sa
show crypto engine connections active
show crypto engine connections dropped-packet
show crypto map
En espérant que cela t'aide...

Merci pour toutes ces informations. Je dois dire que je suis en
train de disjoncter sérieusement. Le gros problème est que le
donneur d'ordre ne maîtrise pas sa configuration (et je ne suis même
pas sûr qu'au final, ce soit routable).

Lorsque j'applique ses specs, je me retrouve avec un tunnel de
niveau 3 reliant deux réseaux de mêmes adresses (!). J'aurais bien
vu à la place un bridge de niveau 2 mais avec le matériel qu'il
impose c'est juste impossible. Et les specs m'interdisent aussi la
translation d'adresses... Bref, sale nuit en perspective !...

JKB

[Bruno Tréguier]

Bonsoir,

Post by JKB
Lorsque j'applique ses specs, je me retrouve avec un tunnel de
niveau 3 reliant deux réseaux de mêmes adresses (!). J'aurais bien
vu à la place un bridge de niveau 2 mais avec le matériel qu'il
impose c'est juste impossible. Et les specs m'interdisent aussi la
translation d'adresses... Bref, sale nuit en perspective !...

Hum... A ce niveau-là, à part un cierge à Saint Isidore de Séville, je
ne vois pas. ;-)

Essayer de relier 2 réseaux de mêmes adresses par un tunnel niveau 3, ça
ne me paraît pas faisable, à part si vous subnettez (mais du coup ça
vous impose des contraintes au niveau adressage).

Cordialement,

[JKB]

Le Wed, 26 Oct 2011 23:22:02 +0200,

Post by Bruno Tréguier
Bonsoir,

Post by JKB
Lorsque j'applique ses specs, je me retrouve avec un tunnel de
niveau 3 reliant deux réseaux de mêmes adresses (!). J'aurais bien
vu à la place un bridge de niveau 2 mais avec le matériel qu'il
impose c'est juste impossible. Et les specs m'interdisent aussi la
translation d'adresses... Bref, sale nuit en perspective !...

Hum... A ce niveau-là, à part un cierge à Saint Isidore de Séville, je
ne vois pas. ;-)
Essayer de relier 2 réseaux de mêmes adresses par un tunnel niveau 3, ça
ne me paraît pas faisable, à part si vous subnettez (mais du coup ça
vous impose des contraintes au niveau adressage).

C'est exactement ce que j'essaie de faire comprendre au donneur
d'ordre... Et la prochaine fois, ce sera deux routeurs Linux ou BSD
avec un soupçon de HA au milieu plutôt que des Cisco !

JKB