
以前备份链路多是ISDN点对点按需拨号,但带宽太小。随着3G的发展,公司正在研究更加实用的方案!6 I" a/ G- R t
8 v: B5 R2 X" r# l! B' H5 y现有的设备:% J: p) L8 W; s- d
1. 公司总部采购了ASA5510为远程小站及业务人员做site to site和remote vpn接入,这些配置没什么问题,一切正常。
( ?: @3 E* E. ]5 I- E2. 另新购置了3G带宽路由器和3G USB网卡,做专线backup设备。
) |2 Y6 B% h+ ^( w3 m( }( B, r5 k
' w# ]+ ]# x4 g: L8 x$ V+ i目前已经完成大部分配置已经完成,部分工作正常,远程站点使用cisco 1841高级版支持crypto的,可以写ipsec配置,一切配置按site to site的动态方法进行配置。4 f! E. X$ k$ O, |$ j
3 l: |+ N( s; S3 w8 U* i3 u* T
我的配置思路是:
+ d: m! p% B: o5 y1. 将backup interface配置在专线接口下。0 w7 r/ {% F/ f8 p- R6 V1 x
2. 当专线down时,启动backup interface, 同时根据ACL触发backup interface上的crypto map,使backup interface可以以ipsec vpn方面接入总部的ASA。
+ C* W. L& {* G7 R1 e9 ^0 p9 C9 W. B7 @0 }) E
路由方案:/ n( Z: {2 B& X( _) u
1. 专线下是eigrp,同时配置浮点静态给backup用,distance=150,大于eigrp的90。
* o& k, V; e5 U& `& i) |1 y( G9 ?2. 专线down时,eigrp学不到邻居时,会自动通过静态路由走。
+ T; H r; D8 X9 L O3. 专线up时,eigrp生效,backup interface自动断开,静态路由失效。
. }: S; r4 |7 Z# Y7 D( H# {
. k0 [9 V: i( R% ]配置后问题: G2 J& l' A+ ~5 U" r
1. 专线down后,backup interface可以从standby状态变为up,但ipsec接不通,debug crypto ipsec也没有什么样动静,必须重新启动路由器后ipsec vpn即可接通。% X) A4 \ i7 W+ ~6 z' }" P5 _
2. 但专线up后,backup interface自动断开并变为standby状态。9 A0 |6 |9 D$ H, W6 n
/ m7 B! {6 D5 m5 E: @' U# F9 a$ g2 t
补充,DHCP是用windows做的,没使用cisco路由器的DHCP功能。在接LAN的接口上用ip helper-address指定,专线断开后,LAN中的电脑还是有获到的IP地址。: a! r/ t/ v& P0 K! o! O: m
: w$ q; `( d; r! O
|
|