Перейти к содержанию
Как правильно добавить self-test и прочую отладку в тему
Официальное хранилище ПО в виде файлов

Все о туннелях IPIP, GRE и EoIP

Le ecureuil
 Поделиться

Рекомендуемые сообщения

arbayten Продвинутый пользователь

arbayten

Опубликовано
Опубликовано
3 минуты назад, utya сказал:

ну а если они вообщем из разных подсетей?
192.168.234.1/24 один 
192.168.235.1/24 второй

как бы смысл eoip в том числе, чтобы использовать в полной мере широковещательный трафик, Вы же, грубо говоря, предлагаете два разных широковещательных домена со всеми вытекающими.

  • Ответов 929
  • Создана
  • Последний ответ

Топ авторов темы

Популярные дни

Топ авторов темы

Популярные дни

Популярные посты

Le ecureuil
Le ecureuil

Начиная с прошивки 2.08.A.10.0-0 появилась возможность создавать туннели EoIP, GRE, IPIP как в простом виде, так и в сочетании с IPsec. GRE и IPIP-туннели - это туннели уровня L3, на которых видн

Le ecureuil
Le ecureuil

Прямо сейчас это не сделано, но если дойдут руки - сделаю. Не забывайте подпинывать это сообщение, чтобы они дошли

Le ecureuil
Le ecureuil

Правильно сделать так - выставить вручную MTU 1500 на eoip, и забриджевать его. Тогда все будет работать нормально, в том числе и фрагментация. Проверять стоит на версии > 3.3.3, которая еще т

Изображения в теме

KorDen Старожил

KorDen

Опубликовано
Опубликовано
41 минуту назад, utya сказал:

ну а если они вообщем из разных подсетей?
192.168.234.1/24 один 
192.168.235.1/24 второй

Тогда смысл от EoIP? Ведь он обычно поднимается ради хождения бродкаста и создания единой подсети, во всех остальных случаях хватит GRE (если нужен мультикаст), IPIP (если нужна только маршрутизация удаленного сегмента, без мультикаста), а то и Site-to-site (если нужен просто доступ между сегментами без маршрутизации и мультикаста)

utya Продвинутый пользователь

utya

Опубликовано
Опубликовано

А сколько giga 3 может одновременно ipsec каналов держать (ipip eoip gre)? И сколько не ipsec? Нужна 3 квартиры соединить, получится?

r13 Старожил

r13

Опубликовано
Опубликовано
11 минуту назад, utya сказал:

А сколько giga 3 может одновременно ipsec каналов держать (ipip eoip gre)? И сколько не ipsec? Нужна 3 квартиры соединить, получится?

Вполне получится.

MDP Старожил

MDP

Опубликовано
Опубликовано
19 часов назад, arbayten сказал:

для сохранения текущей адресации можно попробовать расширить маску на объединяемых сегментах до /23

И какой адрес будет тогда броадкастовым?

r13 Старожил

r13

Опубликовано
Опубликовано (изменено)
17 минут назад, MDP сказал:

И какой адрес будет тогда броадкастовым?

Калькулятор ip адресов подскажет :wink:

Скрытый текст
192.168.235.255

 

Изменено пользователем r13
utya Продвинутый пользователь

utya

Опубликовано
Опубликовано

А насчёт eiop я решил сделать так: один из портов роутера выделить в vlan и его забредживать с eoip, а всё остальные устройства живут в своей сети и не тужат. Тем более мне броудкаст нужен только для одного устройства (homkit камера). Если прям очень нужен будет доступ для управдления устройством в этой сети настрою маршруты.

 

MDP Старожил

MDP

Опубликовано
Опубликовано
2 часа назад, r13 сказал:

Калькулятор ip адресов подскажет :wink:

  Показать содержимое
192.168.235.255

 

Не я без калькулятора могу догадаться...просто на 1 сегмент есть 1 броадкастовый адрес...если тупо маской сети объединить 2 сети разные сети...то что же получится? 

r13 Старожил

r13

Опубликовано
Опубликовано
26 минут назад, MDP сказал:

Не я без калькулятора могу догадаться...просто на 1 сегмент есть 1 броадкастовый адрес...если тупо маской сети объединить 2 сети разные сети...то что же получится? 

Ну тк это уже не 2 сети, а одна сеть. маска здесь определяющий фактор. 

utya Продвинутый пользователь

utya

Опубликовано
Опубликовано
21 час назад, utya сказал:

А насчёт eiop я решил сделать так: один из портов роутера выделить в vlan и его забредживать с eoip, а всё остальные устройства живут в своей сети и не тужат. Тем более мне броудкаст нужен только для одного устройства (homkit камера). Если прям очень нужен будет доступ для управдления устройством в этой сети настрою маршруты.

 

Создаю отдельный сегмент

image.png.c8471bb2aed8d0de1059dd9eb5e8e8ff.png

его цепляю на определённый порт

затем в cli

interface Bridge2 (он так обозвался кинетиком)
include EoIP0

и теперь если подключусь к тому порту, у меня будет dhcp от удалённого роутера?

все верно делаю?

KorDen Старожил

KorDen

Опубликовано
Опубликовано (изменено)
2 минуты назад, utya сказал:

и теперь если подключусь к тому порту, у меня будет dhcp от удалённого роутера?

Да, должен быть. Хотя можно в этом сегменте назначить адрес роутеру внутри диапазона удаленной подсети, тогда как раз будет маршрутизация, если в ACL добавить или убрать isolate-private

Изменено пользователем KorDen
utya Продвинутый пользователь

utya

Опубликовано
Опубликовано
Только что, KorDen сказал:

Да, должен быть. Хотя можно назначить адрес роутеру внутри удаленной подсети, тогда как раз будет маршрутизация, если в ACL добавить или убрать isolate-private

ну я писал no isolate-private. А ещё такой вопрос, а нужно тунелям давать внутренние адреса если их добавлять в бридж?

KorDen Старожил

KorDen

Опубликовано
Опубликовано (изменено)
2 минуты назад, utya сказал:

нужно тунелям давать внутренние адреса если их добавлять в бридж?

Нет, об этом даже в шапке сказано. У вас L2 интерфейс и вы его добавляете в бридж, который уже L3 со своим IP.

Изменено пользователем KorDen
Le ecureuil Старожил

Le ecureuil

Опубликовано
  • Автор
Опубликовано

Там же в логе все предельно ясно написано: 

[I] Aug 30 20:27:37 ndm: IpSec::Manager: "EoIP0": IP secure connection was added.
[I] Aug 30 20:27:39 ndm: IpSec::Manager: create IPsec reconfiguration transaction...
[I] Aug 30 20:27:39 ndm: IpSec::Manager: crypto map "VirtualIPServer" has higher priority than crypto map "EoIP0".
[I] Aug 30 20:27:39 ndm: IpSec::Manager: crypto map "VirtualIPServer" has different Xauth settings from crypto map "EoIP0".
[I] Aug 30 20:27:39 ndm: IpSec::Manager: crypto map "VirtualIPServer" has different proposal from crypto map "EoIP0".
[W] Aug 30 20:27:39 ndm: IpSec::Manager: skip crypto map "EoIP0" due to incompatible settings with crypto map "VirtualIPServer".
[I] Aug 30 20:27:39 ndm: IpSec::Manager: add config for crypto map "VirtualIPServer".

Используйте IKEv2 для автотуннелей.

utya Продвинутый пользователь

utya

Опубликовано
Опубликовано
2 часа назад, Le ecureuil сказал:

Там же в логе все предельно ясно написано: 


[I] Aug 30 20:27:37 ndm: IpSec::Manager: "EoIP0": IP secure connection was added.
[I] Aug 30 20:27:39 ndm: IpSec::Manager: create IPsec reconfiguration transaction...
[I] Aug 30 20:27:39 ndm: IpSec::Manager: crypto map "VirtualIPServer" has higher priority than crypto map "EoIP0".
[I] Aug 30 20:27:39 ndm: IpSec::Manager: crypto map "VirtualIPServer" has different Xauth settings from crypto map "EoIP0".
[I] Aug 30 20:27:39 ndm: IpSec::Manager: crypto map "VirtualIPServer" has different proposal from crypto map "EoIP0".
[W] Aug 30 20:27:39 ndm: IpSec::Manager: skip crypto map "EoIP0" due to incompatible settings with crypto map "VirtualIPServer".
[I] Aug 30 20:27:39 ndm: IpSec::Manager: add config for crypto map "VirtualIPServer".

Используйте IKEv2 для автотуннелей.

Но вроде поддержка ikev2 появилась только в 2.10 следовательно на 2.09 не получится это сделать, только если отключать virtualip server

Sergey Guydya Новичок

Sergey Guydya

Опубликовано
Опубликовано (изменено)

добрый день, ни как не могу поднять eoip ipsec, прикрепляю self-test с обоих модемов можете подсказать в чем проблема ?

self-test (1).txt

self-test.txt

Изменено пользователем Sergey Guydya
MDP Старожил

MDP

Опубликовано
Опубликовано (изменено)
В 29.08.2017 в 20:12, r13 сказал:

Ну тк это уже не 2 сети, а одна сеть. маска здесь определяющий фактор. 

Ну да, броадкаст один...понимаете, как будут уживаться 2 dhcp сервера? ...в данном случаи? ...я нет.

Это тоже самое что сделать

192.168.1.1/25 и 192.168.1.129/25

В чем смысл?

Изменено пользователем MDP
Le ecureuil Старожил

Le ecureuil

Опубликовано
  • Автор
Опубликовано
1 час назад, Sergey Guydya сказал:

добрый день, ни как не могу поднять eoip ipsec, прикрепляю self-test с обоих модемов можете подсказать в чем проблема ?

self-test (1).txt

self-test.txt

Потому что у вас на клиенте нет Интернета, он постоянно обрывается в site-survey.

Sergey Guydya Новичок

Sergey Guydya

Опубликовано
Опубликовано
Цитата

Потому что у вас на клиенте нет Интернета, он постоянно обрывается в site-survey.

Если я правильно понял вас, то вы говорите о wifi клиентах, там действительно есть какие то аномальные зоны которые напрочь убивают любой wifi, но как это связано с качественным ipoe соединением, которое достаточно стабильно чтобы поддерживать туннель. Может я чего то не понял, подскажите подробней, что сделать. спасибо

Sergey Guydya Новичок

Sergey Guydya

Опубликовано
Опубликовано 
Sep 05 22:50:31ipsec07[IKE] sending NAT-T (RFC 3947) vendor ID 
Sep 05 22:50:31ipsec07[IKE] sending draft-ietf-ipsec-nat-t-ike-02\n vendor ID 
Sep 05 22:50:31ipsec07[IKE] initiating Main Mode IKE_SA EoIP0[1] to 5.100.123.184 
Sep 05 22:50:31ipsec09[IKE] received NO_PROPOSAL_CHOSEN error notify 
Sep 05 22:50:31ndmIpSec::Configurator: remote peer of crypto map "EoIP0" returned proposal mismatch for IKE phase 1.
Sep 05 22:50:31ndmIpSec::Configurator: crypto map "EoIP0" active IKE SA: 0, active CHILD SA: 0.
Sep 05 22:50:31ndmNetwork::Interface::EoIP: "EoIP0": IPsec layer is down, shutdown EoIP layer.
Sep 05 22:50:31ndmNetwork::Interface::EoIP: "EoIP0": secured tunnel is down.
Sep 05 22:50:31ndmIpSec::Manager: IP secure connection "EoIP0" and keys was deleted.
Sep 05 22:50:31ndmIpSec::Configurator: fallback peer is not defined for crypto map "EoIP0", retry.
Кто нибудь сможет помочь? Перенастроил все по новой, видно уже что-то, пытается подключится но все равно выдает ошибки, не понимаю, что может быть не правильно. Крипто ключ точно правильный. Прикрепляю еще на всякий случай self-test.
 
  
IpSec::Configurator: remote peer of crypto map "EoIP0" is down.
Sep 05 22:48:04ndmIpSec::Configurator: crypto map "EoIP0" active IKE SA: 0, active CHILD SA: 0.
Sep 05 22:48:04ndmIpSec::Configurator: fallback peer is not defined for crypto map "EoIP0", retry.

self-test (1).txt

self-test (2).txt

utya Продвинутый пользователь

utya

Опубликовано
Опубликовано (изменено)
18 минут назад, Sergey Guydya сказал: 

Sep 05 22:50:31ipsec07[IKE] sending NAT-T (RFC 3947) vendor ID 
Sep 05 22:50:31ipsec07[IKE] sending draft-ietf-ipsec-nat-t-ike-02\n vendor ID 
Sep 05 22:50:31ipsec07[IKE] initiating Main Mode IKE_SA EoIP0[1] to 5.100.123.184 
Sep 05 22:50:31ipsec09[IKE] received NO_PROPOSAL_CHOSEN error notify 
Sep 05 22:50:31ndmIpSec::Configurator: remote peer of crypto map "EoIP0" returned proposal mismatch for IKE phase 1.
Sep 05 22:50:31ndmIpSec::Configurator: crypto map "EoIP0" active IKE SA: 0, active CHILD SA: 0.
Sep 05 22:50:31ndmNetwork::Interface::EoIP: "EoIP0": IPsec layer is down, shutdown EoIP layer.
Sep 05 22:50:31ndmNetwork::Interface::EoIP: "EoIP0": secured tunnel is down.
Sep 05 22:50:31ndmIpSec::Manager: IP secure connection "EoIP0" and keys was deleted.
Sep 05 22:50:31ndmIpSec::Configurator: fallback peer is not defined for crypto map "EoIP0", retry.
Кто нибудь сможет помочь? Перенастроил все по новой, видно уже что-то, пытается подключится но все равно выдает ошибки, не понимаю, что может быть не правильно. Крипто ключ точно правильный. Прикрепляю еще на всякий случай self-test.
 
  

IpSec::Configurator: remote peer of crypto map "EoIP0" is down.
Sep 05 22:48:04ndmIpSec::Configurator: crypto map "EoIP0" active IKE SA: 0, active CHILD SA: 0.
Sep 05 22:48:04ndmIpSec::Configurator: fallback peer is not defined for crypto map "EoIP0", retry.

self-test (1).txt

self-test (2).txt

а какие команды вы вводите чтобы настроить тунель на стороне? 

судя по этому
5 22:23:55 ndm: IpSec::Configurator: remote peer of crypto map "EoIP0" returned invalid key notification.
точно ключ правильны?

и попробуйте ipsec ikev2

Изменено пользователем utya
Sergey Guydya Новичок

Sergey Guydya

Опубликовано
Опубликовано

Прикрепляю скрины, что может быть не так? Я просто в недоумении, ругается на ключ, но что я не так делаю ? Очень много раз перепроверял ключ и по разному вводил, прям не знаю.

Screenshot_1.jpg

Screenshot_2.png

r13 Старожил

r13

Опубликовано
Опубликовано
21 минуту назад, Sergey Guydya сказал: 

Sep 05 22:50:31ipsec07[IKE] sending NAT-T (RFC 3947) vendor ID 
Sep 05 22:50:31ipsec07[IKE] sending draft-ietf-ipsec-nat-t-ike-02\n vendor ID 
Sep 05 22:50:31ipsec07[IKE] initiating Main Mode IKE_SA EoIP0[1] to 5.100.123.184 
Sep 05 22:50:31ipsec09[IKE] received NO_PROPOSAL_CHOSEN error notify 
Sep 05 22:50:31ndmIpSec::Configurator: remote peer of crypto map "EoIP0" returned proposal mismatch for IKE phase 1.
Sep 05 22:50:31ndmIpSec::Configurator: crypto map "EoIP0" active IKE SA: 0, active CHILD SA: 0.
Sep 05 22:50:31ndmNetwork::Interface::EoIP: "EoIP0": IPsec layer is down, shutdown EoIP layer.
Sep 05 22:50:31ndmNetwork::Interface::EoIP: "EoIP0": secured tunnel is down.
Sep 05 22:50:31ndmIpSec::Manager: IP secure connection "EoIP0" and keys was deleted.
Sep 05 22:50:31ndmIpSec::Configurator: fallback peer is not defined for crypto map "EoIP0", retry.
Кто нибудь сможет помочь? Перенастроил все по новой, видно уже что-то, пытается подключится но все равно выдает ошибки, не понимаю, что может быть не правильно. Крипто ключ точно правильный. Прикрепляю еще на всякий случай self-test.
 
  

IpSec::Configurator: remote peer of crypto map "EoIP0" is down.
Sep 05 22:48:04ndmIpSec::Configurator: crypto map "EoIP0" active IKE SA: 0, active CHILD SA: 0.
Sep 05 22:48:04ndmIpSec::Configurator: fallback peer is not defined for crypto map "EoIP0", retry.

self-test (1).txt

self-test (2).txt

В режиме over ipsec клиент серверная модель.

Со стороны сервера в настройке есть только tunnel source a со стороны клиента только tunnel destination.

А не как у вас обе настройки с обеих сторон.

Так настраивается голый туннель без ipsec транспорта.

utya Продвинутый пользователь

utya

Опубликовано
Опубликовано

@r13может вы подскажите, eoip настроен пинги между хостами ходят. Но на внутренний сервер зайти не могу. Там и там no isolate-private, ipsec нет.

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.
Примечание: Ваш пост будет проверен модератором, прежде чем станет видимым.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Поделиться
Перейти к списку тем

  • Последние посетители   0 пользователей онлайн

    • Ни одного зарегистрированного пользователя не просматривает данную страницу
×
×
  • Создать...

Важная информация

На этом сайте используются файлы cookie. Нажимая "Я принимаю" или продолжая просмотр сайта, вы разрешаете их использование: Политика конфиденциальности.

  Я принимаю