[es] - Cisco 1841 - VPN Client - staticko mapiranje mac adrese i ip adrese

bgillegal
Milan Petric
Beograd

Član broj: 16373
Poruke: 79
95.180.20.*

Profil

Cisco 1841 - VPN Client - staticko mapiranje mac adrese i ip adrese

^{28.01.2010. u 19:20 - pre 173 meseci}

Naime postoji Cisco 1841. Software je Cisco IOS Software, 1841 Software (C1841-ADVSECURITYK9-M), Version 12.4(23).
Ruteru je posao da lokalnu mrezu 192.168.10.0/24 gura na net, a postoji i mreza 192.168.11.0/24 u koju upadaju VPN client korisnici.
VPN client je onaj pravi cisco-v skolski.

Ono za cim postoji potreba je se racunari koji prilaze preko VPN klijenta mapiraju u staticki unapred odredjene adrese. Sto znaci da se ja kao Osoba1 mapiram u 192.168.11.10, neko drugi kao Osoba2 mapira u 192.168.11.11 itd... Da li neko ima ikakvu ideju kako bih to mogao da odradim? Meni za sada kao resenje je jedino da se na nekom serveru podigne DHCP server i odrade ta mapiranja, a da Cisco 1841 bude dhcp-relay i da zahteve gura na DHCP server, ali nisam siguran da bi to radilo kako treba.

Code:
Building configuration...

Current configuration : 2929 bytes
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname xxxxxxxxxx
!
boot-start-marker
boot system flash c1841-advsecurityk9-mz.124-23.bin
boot-end-marker
!
enable secret 5 $1$OxxxxxxxeTe$Ltmg6uI6s7zIafyiEQK15.
!
aaa new-model
!
!
aaa authentication login default local
aaa authentication login userauthen local
aaa authorization network groupauthor local
!
aaa session-id common
ip cef
!
!
ip auth-proxy max-nodata-conns 3
ip admission max-nodata-conns 3
!
!
no ip domain lookup
!
!
!
username xxxxx privilege 15 password 7 1416XxxxxxxxB2F37246B63
username xxxxxx privilege 15 password 7 00554xxxxx
username veXxxx privilege 15 password 7 02100109Xxxxxxx
username Xxxxxx privilege 15 password 7 Xxxxxxxx0B20
!
!
!
!
crypto isakmp policy 3
encr 3des
authentication pre-share
group 2
!
crypto isakmp client configuration group xxxxxxx
key xxxxxxx
dns 192.168.10.2
pool ippool
acl 101
!
!
crypto ipsec transform-set myset esp-3des esp-sha-hmac
!
crypto dynamic-map dynmap 10
set transform-set myset
!
!
crypto map clientmap client authentication list userauthen
crypto map clientmap isakmp authorization list groupauthor
crypto map clientmap client configuration address respond
crypto map clientmap 10 ipsec-isakmp dynamic dynmap
!
!
!
interface FastEthernet0/0
description INTERNET
ip address 213.244.xxx.xxx 255.255.255.252
ip nat outside
ip virtual-reassembly
speed 100
full-duplex
crypto map clientmap
!
interface FastEthernet0/1
description LAN
ip address 192.168.10.1 255.255.255.0
ip access-group DENY-HTTP in
ip nat inside
ip virtual-reassembly
speed 100
full-duplex
!
ip local pool ippool 192.168.11.1 192.168.11.254
ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 213.244.xxx.xxx
!
no ip http server
no ip http secure-server
ip nat inside source route-map nonat interface FastEthernet0/0 overload
ip nat inside source static tcp 192.168.10.2 25 213.244.xxx.xxx 25 extendable
ip nat inside source static tcp 192.168.10.2 110 213.244.xxx.xxx 110 extendable
ip nat inside source static tcp 192.168.10.14 3389 213.244.xxx.xxx 3389 extendabl
e
!
ip access-list extended DENY-HTTP
deny   tcp host 192.168.10.16 any eq www log
deny   tcp host 192.168.10.18 any eq www log
deny   tcp host 192.168.10.20 any eq www log
deny   tcp host 192.168.10.22 any eq www log
permit ip any any
!
access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.11.0 0.0.0.255
access-list 102 deny   ip 192.168.10.0 0.0.0.255 192.168.11.0 0.0.0.255
access-list 102 permit ip any any
snmp-server community xxxxxxxx RO
route-map nonat permit 10
match ip address 102
!
!
!
control-plane
!
banner login ^C VLASNISTVO Xxxxxxxxx. NEOVLASCENI PRISTUP ZABRANJEN! ^C
!
line con 0
exec-timeout 35791 0
line aux 0
line vty 0 4
exec-timeout 35791 0
transport input telnet
line vty 5 15
exec-timeout 35791 0
transport input telnet
!
scheduler allocate 20000 1000
end

Odgovor na temu

B3R1
Berislav Todorovic
NL

Član broj: 224915
Poruke: 803

+634 Profil

Re: Cisco 1841 - VPN Client - staticko mapiranje mac adrese i ip adrese

^{28.01.2010. u 22:45 - pre 173 meseci}

http://www.cisco.com/en/US/doc...on/guide/iad_dhcp_svr_cfg.html

Odgovor na temu

bgillegal
Milan Petric
Beograd

Član broj: 16373
Poruke: 79
91.185.96.*

Profil

Re: Cisco 1841 - VPN Client - staticko mapiranje mac adrese i ip adrese

^{29.01.2010. u 13:31 - pre 173 meseci}

Citao sam vec taj dokument. Naime tako pise da je moguce odraditi samo jedno mapiranje po jednom dhcp pool-u, a meni je potrebno 10+ mapiranja u jednom pool-u.

Edit*** Tek sad videh da postoji varijanta da se napravi txt fajl sa mapiranjima pa da on vuce preko tftp-a. Probacu to pa se javljam sa rezultatima.

Odgovor na temu

acatheking
Aleksandar Ristić
Beograd/Mirijevo

Član broj: 6769
Poruke: 1133
*.absolutok.com.

+28 Profil

Re: Cisco 1841 - VPN Client - staticko mapiranje mac adrese i ip adrese

^{29.01.2010. u 14:21 - pre 173 meseci}

Hm, ako sam dobro razumeo, potrebno je da VPN klijent, pri konekciji, dobije fiksnu ip adresu iz opsega 192.168.11.x?
Imao sam slican problem, pokusao sam da ga resim tako sto je provera isla preko radius, a ne local i to je radilo.
Mada, problem sam tada resio postavljanjem MikroTik-a kao VPN server-a, gde se to relativno lako podesava :).

Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.

Odgovor na temu

bgillegal
Milan Petric
Beograd

Član broj: 16373
Poruke: 79
95.180.20.*

Profil

Re: Cisco 1841 - VPN Client - staticko mapiranje mac adrese i ip adrese

^{29.01.2010. u 16:09 - pre 173 meseci}

Hehehehe, ne iteresuju me mikrotik tehnologije za ovaj problem :)

Nisam ogradio kako bi mogao problem da se resi, samo da ostanemo u cisco vodama. Radijus isto kao resenje zvuci ok. Nije da nemam server sa strane pa da ne mogu da ga iskoristim.

Odgovor na temu

djk494

Član broj: 494
Poruke: 320
93.86.103.*

+39 Profil

Re: Cisco 1841 - VPN Client - staticko mapiranje mac adrese i ip adrese

^{29.01.2010. u 17:41 - pre 173 meseci}

Probaj sa attribute listama:

Code:

aaa attribute list TESTUSER
attribute type addr 192.168.10.100

username TestUser password xxx
username TestUser aaa attribute list TESTUSER

Nemam mogucnost da sam isprobam, tako da nisam siguran da ce bas u ovoj kombinaciji raditi,

Pozdrav,
Vedran

P.S. RADIUS je dobro resenje ne samo zbog authentifikacije nego zbog i accountinga - da vidis kad se ko kacio, koliko je bio na vezi, preneo podataka i sl. ali ako imas 3-4 korisnika... :)

Odgovor na temu

zivanicd
Dejan Zivanic
KLADOVONET ISP
Kladovo

Član broj: 137218
Poruke: 1129
*.cybercity.kladovonet.com.

Sajt: www.kladovo.net

+139 Profil

Re: Cisco 1841 - VPN Client - staticko mapiranje mac adrese i ip adrese

^{20.02.2010. u 02:12 - pre 172 meseci}

Hmmm... a jel si razmishaljo da povecas lease time na DHCPu... Mislim da ce tada da ti dodeljuje iste IP adrese za odredjene MACove...

Takodje postoji mogucnost da probas sa VPDNom. Mada mislim da trebas da imas minimum IOS entbase ili advantentprisek ili tako nesto...
Sa VPDNom mozes da kreiras profil za svaki konekciju...

Jel si probao da stavis staticki ARP za klijente i vidis sta ce da se desi kad se on konektuje ?

Pozdrav,
Dejan

::www.kladovo.net ::

Odgovor na temu

gandalf
Goran Raovic
senior network engineer
Belgrade

Član broj: 52
Poruke: 248
*.adsl-a-2.sezampro.yu.

Jabber: goran.raovic@gmail.com

+44 Profil

Re: Cisco 1841 - VPN Client - staticko mapiranje mac adrese i ip adrese

^{20.02.2010. u 12:50 - pre 172 meseci}

evo linka za to sto tebi treba:
http://www.cisco.com/en/US/doc.../guide/gtIPSctm.html#wp1090636

ovde je objasnjena varijanta da lokalni ruter glumi AAA server i da vuce atribute sa rutera, u dokumentu je primer za inbound access-listu
ali ti ubaci atribut za ip adresus (ipaddr) (kao sto je Djaki napisao) i to je to. Nisam testirao ali bi trebalo da radi.

P.S imas objasnjeno kako se to podesava za pptp konekcije na: http://blog.internetworkexpert...7/understanding-ios-local-aaa/

pozz

CCIE #22192 )
https://pulsarpoint.rs

Odgovor na temu

gandalf
Goran Raovic
senior network engineer
Belgrade

Član broj: 52
Poruke: 248
*.adsl-a-2.sezampro.yu.

Jabber: goran.raovic@gmail.com

+44 Profil

Re: Cisco 1841 - VPN Client - staticko mapiranje mac adrese i ip adrese

^{20.02.2010. u 12:59 - pre 172 meseci}

uff izgleda da nece da moze... sad vidim da su jedini podrzani atributi za ezvpn konekcije:

Citat:

As you can see, all the configured attributes have been applied. Note, that the rich set of attributes is applicable particularly to PPP. If you are using say ezVPN Virtual-Tunnel-Interface, you are restricted only to the following attributes:

inacl
interface-config
outacl
route
rte-fltr-in
rte-fltr-out
sub-policy-In
sub-policy-Out
policy-route
prefix

CCIE #22192 )
https://pulsarpoint.rs

Odgovor na temu