思科路由双ISP接入.docVIP

思科路由器配置双ISP线路接入 2010-03-01 16:05:12 来源:网络 【大 中 小】 文章摘要： 通过双ISP（如：一条电信、一条网通）链路可实现网络路径优化、负载均衡及备份冗余,以前本人一直认为Cisco不能实现单路由器双ISP链路的冗余备份，后经过多次测试，发现通过SLA（服- 最近接到的一个项目，客户总部在惠州，分部在香港，在香港分部设有ERP服务器与邮件服务器，总部出口为铁通10M光纤与网通1M DDN 专线（新增），原总部是用netscreen 防火墙与香港的pix 515作IPsec VPN对接，现客户要求是新增一条网通DDN专线用来专跑ERP数据业务，就是要求平时总部去分部访问ERP服务器的数据走DDN专线，访问邮件服务器的数据走ipsecVPN,但当这两条链路其中有出现故障中断时，能做到链路自动切换，例DDN专线出现故障，原走这条线路的ERP数据能自动切换到ipsec VPN线路去，如果线路恢复线路又自动切换。 对netscreen 作了研究它是支持策略路由，但好像不支持线路检测（如知道者请提供资料，学习一下）。 为满足客户要求，我推荐用思科1841路由器，思科支持策略路由与线路检测，一直有看过相应的文档，但没实施过，呵呵，终于有机会了。 解方案如下图： IP分配如下： 总部IP段为：/24 网关：11/24 netscreen ssg-140 和透明接入， R1配置： FastEthernet0/0 -- 11/24 FastEthernet0/1 -- /24 (铁通线路 IP 有改^_^） Serial0/0 --- /24 (网通线路) PIX 515配置： Ethernet1 (outside) -- /24 Ethernet0 (inside) -- /24 R2配置： FastEthernet0/0 -- /24 FastEthernet0/1-- /24 Serial0/0 -- /24 下面只列出重点部分： VPN配置R1----PIX515 R1: 第一步：在路由器上定义NAT的内部接口和外部接口 R1(config)#int f0/0 R1(config-if)#ip nat inside R1(config-if)#exit R1(config)#int f0/1 R1(config-if)#ip nat outside R1(config-if)#exit 第二步：定义需要被NAT的数据流（即除去通过VPN传输的数据流） R1(config)#access-list 101 deny ip 55 55 R1(config)#access-list 101 deny ip 55 55 R1(config)#access-list 101 permit ip any any 第三步：定义NAT。 R1(config)#ip nat inside source list 101 interface f0/1 overload 第四步：定义感兴趣数据流，即将来需要通过VPN加密传输的数据流。 R1(config)#access-list 102 permit ip 55 55 R1(config)#access-list 102 permit ip 55 55 第五步：定义ISAKMP策略。 R1(config)#crypto isakmp enable //启用ISAKMP R1(config)#crypto isakmp policy 10 R1(config-isakmp)#authentication pre-share //认证方法使用预共享密钥 R1(config-isakmp)#encryption des //加密方法使用des R1(config-isakmp)#hash md5 //散列算法使用md5 R1(config-isakmp)#group 2 //DH模长度为1024 第六步：将ISAKMP预共享密钥和对等体关联，预共享密钥为“cisco123456”。 R1(config)#crypto isakmp identity address R1(config)#crypto isakmp key cisco1234