最近接到的一個項目，客戶總部在惠州，分部在香港，在香港分部設有ERP服務器與郵件服務器，總部出口為鐵通10M光纖與網通1M?DDN 專線（新增），原總部是用netscreen 防火墻與香港的pix 515作IPsec ×××對接，現客戶要求是新增一條網通DDN專線用來專跑ERP數據業務，就是要求平時總部去分部訪問ERP服務器的數據走DDN專線，訪問郵件服務器的數據走ipsec×××,但當這兩條鏈路其中有出現故障中斷時，能做到鏈路自動切換，例DDN專線出現故障，原走這條線路的ERP數據能自動切換到ipsec ×××線路去，如果線路恢復線路又自動切換。 對netscreen 作了研究它是支持策略路由，但好像不支持線路檢測（如知道者請提供資料，學習一下）。 為滿足客戶要求，我推薦用思科1841路由器，思科支持策略路由與線路檢測，一直有看過相應的文檔，但沒實施過，呵呵，終于有機會了。 解方案如下圖： IP分配如下： 總部IP段為：192.168.1.0/24? 網關：192.168.1.111/24 netscreen ssg-140 和透明接入， R1配置： FastEthernet0/0 -- 192.168.1.111/24 FastEthernet0/1 -- 192.168.2.1/24 (鐵通線路 IP 有改^_^） Serial0/0 --- 192.168.3.1/24? (網通線路) PIX 515配置： Ethernet1 (outside) -- 192.168.2.2/24 Ethernet0 (inside) -- 192.168.4.1/24 R2配置： FastEthernet0/0 -- 192.168.4.2/24 FastEthernet0/1-- 192.168.5.1/24
Serial0/0 -- 192.168.3.2/24? 下面只列出重點部分： ×××配置R1----PIX515 R1: 第一步：在路由器上定義NAT的內部接口和外部接口
R1(config)#int?f0/0 R1(config-if)#ip?nat?inside
R1(config-if)#exit
R1(config)#int?f0/1 R1(config-if)#ip?nat?outside
R1(config-if)#exit
第二步：定義需要被NAT的數據流（即除去通過×××傳輸的數據流）
R1(config)#access-list 101 deny?? ip 192.168.1.0 0.0.0.255 192.168.4.0 0.0.0.255 R1(config)#access-list 101 deny?? ip 192.168.1.0 0.0.0.255 192.168.5.0 0.0.0.255 R1(config)#access-list 101 permit ip any any 第三步：定義NAT。
R1(config)#ip?nat?inside?source?list?101?interface?f0/1?overload
第四步：定義感興趣數據流，即將來需要通過×××加密傳輸的數據流。
R1(config)#access-list 102 permit ip 192.168.1.0 0.0.0.255 192.168.4.0 0.0.0.255 R1(config)#access-list 102 permit ip 192.168.1.0 0.0.0.255 192.168.5.0 0.0.0.255 第五步：定義ISAKMP策略。
R1(config)#crypto?isakmp?enable
//啟用ISAKMP
R1(config)#crypto?isakmp?policy?10?
R1(config-isakmp)#authentication?pre-share?
//認證方法使用預共享密鑰
R1(config-isakmp)#encryption?des
//加密方法使用des
R1(config-isakmp)#hash?md5?
//散列算法使用md5
R1(config-isakmp)#group?2
//DH模長度為1024
第六步：將ISAKMP預共享密鑰和對等體關聯，預共享密鑰為“cisco123456”。 R1(config)#crypto?isakmp?identity?address?
R1(config)#crypto?isakmp?key?cisco123456?address?192.168.2.2
第七步：設置ipsec轉換集。
R1(config)#crypto?ipsec?transform-set?my***?esp-des?esp-md5-hmac?
R1(cfg-crypto-trans)#mode?tunnel
第八步：設置加密圖。
R1(config)#crypto?map?my***map?10?ipsec-isakmp?
R1(config-crypto-map)#match?address?102
//加載感興趣流
R1(config-crypto-map)#set?peer?192.168.2.2 //設置對等體地址
R1(config-crypto-map)#set?transform-set?my***?
//選擇轉換集
R1(config-crypto-map)#set?pfs?group2
//設置完美前向保密，DH模長度為1024
第九步：在外部接口上應用加密圖。
R1(config)#int?f0/1 R1(config-if)#crypto?map?my***map ? PIX: ? 第一步：定義感興趣數據流，即將來需要通過×××加密傳輸的數據流。
PIX(config)#?access-list no-nat extended permit ip 192.168.5.0 255.255.255.0 192.168.1.0 255.255.255.0 PIX(config)#?access-list no-nat extended permit ip 192.168.4.0 255.255.255.0 192.168.1.0 255.255.255.0
第二步：通過×××傳輸的數據包不需要做NAT，因此，將這些數據包定義到nat?0，nat?0不對數據包進行地址轉換。nat0的處理始終在其他nat（例如nat1、nat2、nat3……）之前。
PIX(config)#?nat?(inside)?0?access-list?no-nat 第三步：訪問internet的數據流使用PAT出去。
PIX(config)#?nat?(inside)?1?0?0
PIX(config)#?global?(outside)?1?interface
第四步：定義ISAKMP策略。
PIX(config)#?crypto?isakmp?enable?outside?
//在外部接口上啟用ISAKMP
PIX(config)#?crypto?isakmp?policy?10?authentication?pre-share?
//認證方法使用預共享密鑰
PIX(config)#?crypto?isakmp?policy?10?encryption?des?
//加密方法使用des
PIX(config)#?crypto?isakmp?policy?10?hash?md5?
//散列算法使用md5
PIX(config)#?crypto?isakmp?policy?10?group?2
//DH模長度為1024
第五步：將ISAKMP預共享密鑰和對等體關聯，預共享密鑰為“cisco123456”。
PIX(config)#?crypto?isakmp?identity?address?
PIX(config)#?crypto?isakmp?key?cisco123456?address?192.168.2.1 第六步：設置ipsec轉換集。
PIX(config)#?crypto?ipsec?transform-set?my***?esp-des?esp-md5-hmac
第七步：設置加密圖。
PIX(config)#?crypto?map?my***map?10?ipsec-isakmp?
PIX(config)#?crypto?map?cmy***map?10?match?address?no-nat
//加載感興趣流
PIX(config)#?crypto?map?my***map?10?set?transform-set?my***
//選擇轉換集
PIX(config)#?crypto?map?my***map?10?set?peer?192.168.2.1
//設置對等體地址
PIX(config)#?crypto?map?my***map?10?set?pfs?group2
//設置完美前向保密，DH模長度為1024
第八步：在外部接口上應用加密圖。
PIX(config)#?crypto?map?my***map?interface?outside
第九步：指定IPsec的流量是可信任的。
PIX(config)#?sysopt?connection?permit-ipsec ? ? 接下是本部份重點，就是路由選擇與鏈路檢測配置： R1： ip access-list extended lan-erp
?permit ip 192.168.1.0 0.0.0.255 host 192.168.5.53 (ERP IP)
ip access-list extended lan-mail
?permit ip 192.168.1.0 0.0.0.255 host 192.168.5.50 (mail IP) 定義route-map 的感興趣流 ip sla monitor 1
?type echo protocol ipIcmpEcho 192.168.3.2
ip sla monitor schedule 1 life forever start-time now
ip sla monitor 2
?type echo protocol ipIcmpEcho 192.168.2.2
ip sla monitor schedule 2 life forever start-time now track 123 rtr 1 reachability
track 124 rtr 2 reachability 啟用思科SLA協議，動態檢測鏈路。 route-map test permit 10
?match ip address lan-erp
?set ip next-hop verify-availability 192.168.3.2 1 track 123
?set ip next-hop verify-availability 192.168.2.2 2 track 124
!
route-map test permit 20
?match ip address lan-mail set ip next-hop verify-availability 192.168.2.2 1 track 124
?set ip next-hop verify-availability 192.168.3.2 2 track 123 啟用routermap 對數據進行分流。 R2： ip access-list extended erp-lan
?permit ip host 192.168.5.53 192.168.1.0 0.0.0.255
ip access-list extended mail-lan
?permit ip host 192.168.5.50 192.168.1.0 0.0.0.255 定義route-map 的感興趣流 ip sla monitor 1
?type echo protocol ipIcmpEcho 192.168.3.1
ip sla monitor schedule 1 life forever start-time now
ip sla monitor 2
?type echo protocol ipIcmpEcho 192.168.2.1
ip sla monitor schedule 2 life forever start-time now track 123 rtr 1 reachability
track 124 rtr 2 reachability 啟用思科SLA協議，動態檢測鏈路。 route-map test permit 10
?match ip address mail-erp
?set ip next-hop verify-availability 192.168.3.1 1 track 123
?set ip next-hop verify-availability 192.168.4.1 2 track 124
!
route-map test permit 20
?match ip address erp-mail set ip next-hop verify-availability 192.168.4.1 1 track 124
?set ip next-hop verify-availability 192.168.3.1 2 track 123
定義route-map 的感興趣流. 為什么R2也要配置，請讀者自己去思考了。有興趣大家可做下實驗，本文結束。 本文出自 “藍冰天下(NICK)” 博客，請務必保留此出處[url]http://nicklyj.blog.51cto.com/81129/151291[/url]本文出自 51CTO.COM技術博客

轉載于:https://blog.51cto.com/jiutouniao/151809

總結

以上是生活随笔為你收集整理的cisco 双ISP线路接入，链路自动切换方案的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。