> Какая разница, что там в локалке? Чем единообразнее конфиги, тем проще управлять
> всем. Конечно можно смешивать, но когда сеть разрастется - голова лопнет
> разбираться в нюансах. Конфиги позже скину, когда до компа доберусь.Вариант HUB-SPOKE, весь траффик проходит через центр.
HUB:
crypto keyring NHRP_HUB
pre-shared-key address f1.f1.f1.f1 key nhrp_0f1_gj5j8948f5u3948utmjf
pre-shared-key address f2.f2.f2.f2 key nhrp_0f2_gcm389xj3490gj9845984
...
!
no crypto isakmp default policy
!
crypto isakmp policy 50
encr aes
authentication pre-share
group 2
!
crypto ipsec transform-set LIGHT esp-aes
!
crypto ipsec profile LIGHT
set transform-set LIGHT
!
interface Tunnel56000
description IPSec NHRP HUB
ip address 10.96.255.1 255.255.255.0
no ip redirects
ip mtu 1394
ip flow egress
ip nat inside
ip nhrp map multicast dynamic
ip nhrp network-id 1
ip nhrp holdtime 600
ip virtual-reassembly in
no ip split-horizon eigrp 1
ip summary-address eigrp 1 10.0.0.0 255.0.0.0
tunnel source h.h.h.h
tunnel mode gre multipoint
tunnel key 56
tunnel protection ipsec profile LIGHT
!
router eigrp 1
network 10.0.0.0
!
Spoke:
no crypto isakmp default policy
!
crypto isakmp key 0 nhrp_0f1_gj5j8948f5u3948utmjf address h.h.h.h
!
crypto isakmp policy 50
encr aes
authentication pre-share
group 2
!
crypto ipsec transform-set LIGHT esp-aes
!
crypto ipsec profile LIGHT
set transform-set LIGHT
!
interface Tunnel5600X
description NHRP Spoke to HQ, ISP Roga i Copita
ip address 10.96.255.X 255.255.255.0
ip mtu 1394
ip flow ingress
ip nhrp map multicast dynamic
ip nhrp map multicast h.h.h.h
ip nhrp map 10.96.255.1 h.h.h.h
ip nhrp network-id 1
ip nhrp holdtime 600
ip nhrp nhs 10.96.255.1
qos pre-classify
tunnel source f1.f1.f1.f1
tunnel destination h.h.h.h
tunnel key 56
tunnel protection ipsec profile LIGHT
!
router eigrp 1
passive-interface default
no passive-interface Tunnel5600x
network 10.0.0.0
no auto-summary
eigrp stub connected
!
В таком виде все работает как часики уже несколько лет, полсотни споков со всяких сел и городов. Споки анонсируют только собственные сети, к ним анонсируются только саммари адреса.