Cisco 1921, divers soucis...

Cisco 1921, divers soucis... - Réseaux - Systèmes & Réseaux Pro

Marsh Posté le 25-09-2013 à 17:46:35    

Bonjour à tous,
 
Après de nombreuses coupures de notre ADSL dans mon entreprise nous avons décidé d'avoir un dual WAN avec failover afin d'éviter ces coupures.
 
Nous avions une ADSL Orange configurée sur un petit modem linksys AM200 en bridge et derrière un ASA 5505 pour sécuriser un peu notre réseau et surtout pour nous permettre d'avoir des connexions VPN.
 
Nous avons commandé une SDSL 2M et un routeur Cisco 1921 afin de faire ce dual WAN avec failover. Par contre nous voulions garder notre firewall et nos connexions VPN, j'ai donc faire une installation un peu compliquée.
 
Voici un schéma de l'installation :
 
http://img11.hostingpics.net/pics/882650networkHG.png
 
J'ai mon cisco 1921 avec une carte additionnelle de 4 ports sur lesquels sont branchés mon modem AM200 maintenant configuré avec une IP fixe et plus en bridge afin que ce soit lui qui s'authentifie, et mon routeur SFR.
 
Problème 1 : J'accède parfaitement à ma connexion ADSL après avoir checké mes routes par contre ma SDSL nada, je ne ping pas le 109.xxx.xxx.xx3 depuis mon réseau 192.168.9.0/24 alors que depuis le 1921 je ping bien cette passerelle.
Je me demande s'il ne faut pas rajouter une route vers mon réseau 192.168.9/0/24 sur le routeur SFR mais l'ajout d'une route est facturé 60€ par SFR donc je voudrais être certain que le problème vienne de là avant d'ajouter cette route.
 
Problème 2 : Je n'arrive plus à monter mes VPN via l'ADSL, il faut surement faire des NAT sur le 1921, j'ai fait plusieurs tentatives mais infructueuses.
 
Si une âme charitable se sent de m'aider dans ma configuration, je le remercie d'avance.
 
Voici la conf de mon 1921 :
 

Code :
  1. Building configuration...
  2. !
  3. !
  4. !
  5. interface Embedded-Service-Engine0/0
  6. no ip address
  7. no ip redirects
  8. no ip unreachables
  9. no ip proxy-arp
  10. shutdown
  11. no mop enabled
  12. !
  13. interface GigabitEthernet0/0
  14. description INSIDE
  15. ip address 172.16.0.1 255.255.255.0
  16. no ip redirects
  17. no ip unreachables
  18. no ip proxy-arp
  19. ip nat inside
  20. ip virtual-reassembly in
  21. ip policy route-map PBR_WAN2
  22. duplex auto
  23. speed auto
  24. no mop enabled
  25. !
  26. interface GigabitEthernet0/1
  27. no ip address
  28. no ip redirects
  29. no ip unreachables
  30. no ip proxy-arp
  31. duplex auto
  32. speed auto
  33. no mop enabled
  34. !
  35. interface GigabitEthernet0/1/0
  36. no ip address
  37. no mop enabled
  38. !
  39. interface GigabitEthernet0/1/1
  40. switchport access vlan 2
  41. no ip address
  42. no mop enabled
  43. !
  44. interface GigabitEthernet0/1/2
  45. no ip address
  46. shutdown
  47. !
  48. interface GigabitEthernet0/1/3
  49. no ip address
  50. shutdown
  51. !
  52. interface Vlan1
  53. ip address 192.168.1.100 255.255.255.0
  54. no ip redirects
  55. no ip unreachables
  56. no ip proxy-arp
  57. ip nat outside
  58. ip virtual-reassembly in
  59. no mop enabled
  60. !
  61. interface Vlan2
  62. ip address 109.xxx.xxx.xx4 255.255.255.252
  63. no ip redirects
  64. no ip unreachables
  65. no ip proxy-arp
  66. ip nat outside
  67. ip virtual-reassembly in
  68. no mop enabled
  69. !
  70. ip forward-protocol nd
  71. !
  72. ip http server
  73. ip http authentication local
  74. ip http secure-server
  75. !
  76. ip route 0.0.0.0 0.0.0.0 109.xxx.xxx.xx3
  77. ip route 0.0.0.0 0.0.0.0 192.168.1.1 10
  78. ip route 192.168.9.0 255.255.255.0 172.16.0.2
  79. !
  80. ip access-list standard LAN
  81. permit 172.16.0.0 0.0.0.255
  82. permit 192.168.9.0 0.0.0.255
  83. ip access-list standard WAN2
  84. permit 192.168.9.55 255.255.255.255
  85. !
  86. !
  87. logging trap debugging
  88. logging facility local2
  89. access-list 100 permit udp any any eq bootpc
  90. dialer-list 1 protocol ip permit
  91. no cdp run
  92. !
  93. route-map PBR_WAN2 permit 10
  94. match ip address WAN2
  95. set ip default next-hop 192.168.1.1
  96. !
  97. route-map ISP2 permit 20
  98. match ip address LAN
  99. set ip default next-hop 192.168.1.1
  100. !
  101. route-map ISP1 permit 20
  102. match ip address LAN
  103. set ip default next-hop 109.xxx.xxx.xx3
  104. !
  105. end

Reply

Marsh Posté le 25-09-2013 à 17:46:35   

Reply

Marsh Posté le 25-09-2013 à 18:27:27    

sur ton routeur 1921 tu as défini des interfaces NAT mais pas le NAT en lui même, je pense qu'il y a un manque à ce niveau là.
 
Y a t-il également du NAT au niveau du ASA ? si oui vire le et laisse-en à seulement un endroit du réseau.
 
Ensuite effectivement il faudra réfléchir aux routes de chaque réseau vers chaque autre.


---------------
Que va-t-il se passer cette gelgamar ? vous le découvrirez janamont à 20h
Reply

Marsh Posté le 25-09-2013 à 19:56:43    

En fait vu que mes NAT ne marchaient pas, j'ai tout enlevé.

 

Il n'y a pas de NAT sur l'ASA et j'ai mis des routes partout ou je le pouvais

 

J'ai les memes routes vers ma SDSL et mon ADSL mais seule mon ADSL fonctionne, c'est assez bizarre...

 

Juste j'ai mis une route vers mon LAN sur mon AM200 et sur le routeur SFR j'ai pas la main, mais je me demande si c'est vraiment cette route qu'il manque.

 

Merci en tout cas pour ta réponse.


Message édité par sanka60 le 25-09-2013 à 20:38:09
Reply

Marsh Posté le 26-09-2013 à 19:20:20    

il va bien faloir faire du NAT pour tes accès internet pourtant... c'est vraiment pas clair. Pour ta connexion ADSL tu termines le PPP sur le routeur cisco 1921 et tu fais le NAT à ce niveau, OK (enfin la conf que tu as posté ne reflète pas ça mais c'est comme ça qu'il faut faire à mon avis).
Pour ta connexion SDSL, si ton routeur cisco a bien une IP publique et arrive à accéder à internet via cette connexion, alors tu peux aussi faire le NAT à ce niveau.

 

Ensuite niveau routes il te faudra :

 

- sur le cisco, tes deux routes par défaut pour internet + une route vers 192.168.9.0 next hop 172.16.0.2
- sur le ASA, une route par défaut vers 172.16.0.1
- sur les postes, une route par défaut vers 192.168.9.1

 

et normalement c'est bon. Dans cette configuration le routeur SFR n'a pas besoin de route puisque de son point de vue tous les paquets en provenance du LAN ont comme IP source l'IP wan du cisco (qui est en directly connected). Et pas de route non plus sur l'AM200 puisque du point de vue de l'accès internet il ne fait même pas d'IP, il est juste un bridge (même si tu peux vouloir lui mettre une IP pour l'administrer mais tu verras ça quand tout marchera).

 

Si ça marche tuojours pas, redonne la conf de ton routeur et le détail de ce qui marche pas (ping depuis chaque aprtie du réseau vers chaque autre).


Message édité par Misssardonik le 26-09-2013 à 19:20:57

---------------
Que va-t-il se passer cette gelgamar ? vous le découvrirez janamont à 20h
Reply

Marsh Posté le 27-09-2013 à 11:26:31    

Oui oui, je suis bien conscient qu'il faut faire du NAT, c'est juste que dans ma conf là haut j'ai enlevé les lignes que j'avais mises car elles n'étaient pas bonne :D
 
Par contre pour mon ADSL je sais pas si je peux mettre le PPPoE sur le cisco 1921, mon revendeur m'avait indiqué qu'il fallait une carte spéciale pour ça  :??:  
 
Pour les routes c'est exactement ce que j'ai pour l'instant et j'en viens à la même conclusion pour le routeur SFR...
 
Je fais des modifs lundi midi, je te tiens au courant.
 
Merci en tout cas.

Message cité 1 fois
Message édité par sanka60 le 27-09-2013 à 12:01:40
Reply

Marsh Posté le 27-09-2013 à 19:03:23    

sanka60 a écrit :


Par contre pour mon ADSL je sais pas si je peux mettre le PPPoE sur le cisco 1921, mon revendeur m'avait indiqué qu'il fallait une carte spéciale pour ça  :??:  


 
référence de la carte ? je pense qu'il se trompe. Pour terminer la session PPP tu n'as besoni de rien, c'est si tu veux avoir le modem ADSL directement dans ton routeur qu'il va ta falloir une carte (une carte HWIC ADSL donc, logiquement). Ce serait pas forcément une mauvaise idée d'ailleurs, ça te fairait un matériel de moins à gérer à terme.
 
Mais donc tu dis qu'actuellement c'est le modem qui gère la session PPP ? il y a quoi comme protocole entre le modem et le cisco 1921 alors ?


---------------
Que va-t-il se passer cette gelgamar ? vous le découvrirez janamont à 20h
Reply

Marsh Posté le 30-09-2013 à 13:43:46    

Exactement c'est le modem qui gère la session PPP, mon modem a une ip 192.168.1.1 comme on voit sur le schéma en haut.
 
Je viens de faire des tests ce midi, impossible d'activer le PPPoE sur mon 1921, il ne me propose pas quand je suis dans vpdn-group, request-dialin il ne me propose que l2tp et pas de PPPoE...
 
Les pings vont bien dans ces sens là
 
LAN -> 172.16.0.1, 172.16.0.2
LAN -> 192.168.1.100, 192.168.1.1
LAN -> 109.xxx.xxx.xx4
1921 -> 192.168.9.0/24
1921 -> 172.16.0.1, 172.16.0.2
1921 -> 192.168.1.1, 192.168.1.100
1921 -> 109.xxx.xxx.xx3, 109.xxx.xxx.xx4
AM200 -> 192.168.9.0/24
AM200 -> 192.168.1.100
AM200 -> 172.16.0.1, 172.16.0.2
 
Je ne peux pas faire de ping depuis le routeur SFR...
 
Seul le ping du LAN vers la passerelle SFR ne fonctionne pas...
 
Est-ce que ça peut être un problème de VLAN ?

Reply

Marsh Posté le 30-09-2013 à 16:13:07    

sanka60 a écrit :

Exactement c'est le modem qui gère la session PPP, mon modem a une ip 192.168.1.1 comme on voit sur le schéma en haut.
 
Je viens de faire des tests ce midi, impossible d'activer le PPPoE sur mon 1921, il ne me propose pas quand je suis dans vpdn-group, request-dialin il ne me propose que l2tp et pas de PPPoE...


 
t'es sûr que c'est cette commande là ? c'est pas plutôt un "pppoe enable group toto" dans ton interface puis ensuite faire la conf pppoe (login/password) dans une interface virtuelle dialer ?
 

sanka60 a écrit :


Les pings vont bien dans ces sens là
 
LAN -> 172.16.0.1, 172.16.0.2
LAN -> 192.168.1.100, 192.168.1.1
LAN -> 109.xxx.xxx.xx4
1921 -> 192.168.9.0/24
1921 -> 172.16.0.1, 172.16.0.2
1921 -> 192.168.1.1, 192.168.1.100
1921 -> 109.xxx.xxx.xx3, 109.xxx.xxx.xx4
AM200 -> 192.168.9.0/24
AM200 -> 192.168.1.100
AM200 -> 172.16.0.1, 172.16.0.2
 
Je ne peux pas faire de ping depuis le routeur SFR...
 
Seul le ping du LAN vers la passerelle SFR ne fonctionne pas...
 
Est-ce que ça peut être un problème de VLAN ?


 
peut-être un problème au niveau du nat de ton routeur cisco vers ton accès internet SFR, il faut voir la configuration du NAT...


---------------
Que va-t-il se passer cette gelgamar ? vous le découvrirez janamont à 20h
Reply

Marsh Posté le 30-09-2013 à 18:45:55    

Misssardonik a écrit :


 
t'es sûr que c'est cette commande là ? c'est pas plutôt un "pppoe enable group toto" dans ton interface puis ensuite faire la conf pppoe (login/password) dans une interface virtuelle dialer ?
 


 
Très bonne question, j'en sais rien en fait. J'ai suivi une doc qui disait de faire comme ça...
 

Misssardonik a écrit :


 
peut-être un problème au niveau du nat de ton routeur cisco vers ton accès internet SFR, il faut voir la configuration du NAT...


 
Je vais regarder de ce côté, je recommence à bosser dessus mercredi soir.
 
Merci en tout cas.

Reply

Marsh Posté le 03-10-2013 à 11:22:43    

Pourquoi ne pas gérer la partie failover sur l'ASA ?
 
Je pense que cela doit être possible (voir la dessus petre ? http://www.cisco.com/en/US/product [...] 880b.shtml )

Reply

Marsh Posté le 03-10-2013 à 11:22:43   

Reply

Marsh Posté le 06-10-2013 à 15:46:56    

Bonjour,
 
Étant moi-même en cours de paramétrage d'un Cisco 1921, je confirme (pour les avoir installées) que l'on peut ajouter des cartes (2) à ce routeur, dont des cartes HWIC ADSL.
Pour exemple : http://www.cisco.com/en/US/prod/co [...] 44629.html
J'ai opté pour cette solution onéreuse ( environ 500€ la carte) pour séparer le serveur mail et pour la même raison que vous "failover".
Ce double accès intégré évite d'avoir deux modems à gérer en plus. Je ne suis pas un expert Cisco et ce n'est que mon humble avis.


---------------
jmg
Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed