Cisco 876 router problemen met instellen

[fommes]

Beste Tweakers,

Ik heb voor een klant van me een cisco router die ingesteld moet worden met een adsl verbinding van xs4all, nu hoop ik dat jullie mij een beetje op weg kunnen helpen want er zijn een aantal dingen waar ik tegen aan loop.

De webinterface (SDM?) werkt niet, ik kan wel verbinden naar http://router_ip, daar moet ik een username en wachtwoord invoeren maar deze werkt niet (gebruik gewoon de router user en pass)

Nu heb ik de router al eens helemaal gereset (erase startup-config) en ben opnieuw begonnen met instellen dmv een rolloverkabel, gewoon een default config ip adres instellen user en wachtwoord, maar ook dan kom ik niet op die web interface, weet iemand misschien hoe ik dit weer aan de praat krijg? of hoe ik in ieder geval zonder de webinterface een adsl verbinding toevoeg?

[TrailBlazer]

weet je of je PPPoA moet hebben of een RF1483 instelling

[fommes]

PPPoA het is een gewone xs4all internet verbinding.

[meneer de beer]

staat dit in je startup-config?

ip http server
ip http access-class 2
ip http authentication local
ip http secure-server

[fommes]

die stonden er niet allemaal bij alleen http server maar dan "no http-server" ik ga ze zo toevoegen om te kijken of dit oplossing bied voor de webinterface

Me config nu (na een complete reset):

code:

Current configuration : 1002 bytes
!
version 12.4
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname ***
!
boot-start-marker
boot-end-marker
!
enable secret ****
enable password ***
!
no aaa new-model
!
resource policy
!
no ip routing
no ip cef
!
!
!
!
!
!
!
!
!
!
!
!
!
interface BRI0
 no ip address
 encapsulation hdlc
 no ip route-cache
 shutdown
!
interface ATM0
 no ip address
 no ip route-cache
 shutdown
 no atm ilmi-keepalive
 dsl operating-mode auto
!
interface FastEthernet0
!
interface FastEthernet1
 shutdown
!
interface FastEthernet2
 shutdown
!
interface FastEthernet3
 shutdown
!
interface Vlan1
 no ip address
 no ip route-cache
 shutdown
!
!
!
ip http server
no ip http secure-server
!
!
!
!
!
control-plane
!
!
line con 0
 no modem enable
line aux 0
line vty 0 4
 password ***
 login
!
scheduler max-task-time 5000
!
webvpn context Default_context
 ssl authenticate verify all
 !
 no inservice
!
end

[meneer de beer]

je moet ook interface vlan1 even een ip adres geven zoiets als dit

interface Vlan1
description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$$ES_LAN$$FW_INSIDE$
ip address 10.0.0.3 255.0.0.0
ip access-group 100 in
no ip redirects
no ip unreachables
no ip proxy-arp
ip nat inside
ip virtual-reassembly
ip route-cache flow
ip tcp adjust-mss 1452

Dit is een deel van de startup uit mijn 876 bij xs4all

[ Voor 10% gewijzigd door meneer de beer op 29-11-2007 13:51 ]

[TrailBlazer]

ga in ieder geval vast even zoeken naar de VP/VC zal wel iets van 8/48 zijn.
Is dit je overigens je vaste werk cisco routertjes configureren. Persoonlijk zou ik er als klant niet gelukkig van worden als degene die ik betaal hulp moet zoeken op een forum voor zoiets simpels.

[meneer de beer]

inderdaad 8/48

[fommes]

Dit is niet mijn vaste werk nee is toevallig nu zo uitgekomen dat ik hier een cisco routertje ga configureren meer niet.. Ik weet wel wat ik zoal in moet stellen zoals vpi/vci interfaces configureren e.d. maar werk meestal met de webinterface daar ik dat wat makkelijker vindt als met hyper teminal...

[ Voor 16% gewijzigd door fommes op 29-11-2007 14:41 ]

[fommes]

ik heb de webinterface weer aan de praat dus zal er nu wel uitkomen, als ik het draaiend heb post ik nog wel een config voor als iemand hetzelfde probleem heeft

offtopic:
Misschien kan ik hier toch mijn geld wel mee verdienen.......

[Bart]

fommes schreef op donderdag 29 november 2007 @ 15:34:

offtopic:
Misschien kan ik hier toch mijn geld wel mee verdienen.......

Vergeet dan eerst de web interface even

Even een voorbeeld config:

code:

no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
clock timezone CET 1
clock summer-time SUM recurring last Sun Mar 2:00 last Sun Oct 3:00
!
ip routing
!
hostname <ROUTER NAAM>
!
!
enable secret <WACHTWOORD>
!
no aaa new-model
!
resource policy
!
ip subnet-zero
ip cef
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 pvc 8/48
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 no shutdown
!
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface Vlan1
 ip address 192.168.0.1 255.255.255.0
 ip nat inside
 no shutdown
!
interface Dialer1
 ip address negotiated
 ip nat outside
 ip virtual-reassembly
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 ppp authentication pap callin
 ppp pap sent-username <USERNAME> password <PASSWORD>
!
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
!
ip nat inside source list 101 interface dialer1 overload
!
access-list 101 permit ip 192.168.0.0 0.0.0.255 any 
!
no ip http server
no ip http secure-server
!
dialer-list 1 protocol ip permit
!
control-plane
!
!
line con 0
 no modem enable
!
line aux 0
!
line vty 0 4
 password 0 <WACHTWOORD>
 transport input telnet
 login
!
scheduler max-task-time 5000
!

[TrailBlazer]

Bart schreef op donderdag 29 november 2007 @ 19:09:
[...]


Vergeet dan eerst de web interface even

My thoughts excactly.
De webinterface generereert een hoop troep en levert je nooit zo'n schone config als Bart hierboven post.
Overigens raad ik je wel aan servicce password encryption te gebruiken.

[ Voor 10% gewijzigd door TrailBlazer op 29-11-2007 19:24 ]

[fommes]

Bedankt voor het voorbeeld ik ga het morgen even doornemen en proberen.

Ik had een voorbeeldje van de xs4all website genomen voor een ander cisco model maar deze werkte niet 100% ik heb toen (ja sorry via de webinterface )verbingstest gedaan en deze kwam succesvol uit (als ik statisch dns van xs4all invulde) maar ik kon niet via een workstation het internet op..

ik weet nu in ieder geval hoe ik via hyperterminal dingen instel zoals vlan en de dialer, ATM etc.. nu alleen nog wat ik er precies allemaal in moet stellen

[TrailBlazer]

als je via hyperterminal ben ingelogd kan je gewoon een ping doen met het ja je raadt het het ping commando

[fommes]

En op welke vraag is dat een antwoord

ik weet wel dat je met ping kan pingen.... en ook dat heb ik gedaan.. maargoed ik ga dus morgen die config proberen die Bart poste

[ Voor 96% gewijzigd door fommes op 29-11-2007 22:02 ]

[fommes]

Zo ik heb de config er volgens mij identiek inzitten nu, ik kan pingen (ja pingen ) naar een ip adres buiten, alleen internet (website http) werkt nog niet, moet ik hier nog wat voor instellen?

code:

Building configuration...

Current configuration : 1525 bytes
!
version 12.4
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname ***
!
boot-start-marker
boot-end-marker
!
enable secret 5 ***
enable password ***
!
no aaa new-model
!
resource policy
!
clock timezone CET 1
clock summer-time SUM recurring last Sun Mar 2:00 last Sun Oct 3:00
ip cef
!
!
!
!
!
!
!
!
!
!
!
!
!
interface BRI0
 no ip address
 encapsulation hdlc
 shutdown
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 pvc 8/48
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 dsl operating-mode auto
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface Vlan1
 ip address 192.168.0.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly
!
interface Dialer1
 ip address negotiated
 ip nat outside
 ip virtual-reassembly
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 ppp authentication pap callin
 ppp pap sent-username ***@xs4all.nl password 0 ***
!
ip route 0.0.0.0 0.0.0.0 Dialer1
!
!
no ip http server
no ip http secure-server
ip nat inside source list 101 interface Dialer1 overload
!
access-list 101 permit ip 192.168.0.0 0.0.0.255 any
dialer-list 1 protocol ip permit
!
!
!
!
control-plane
!
!
line con 0
 no modem enable
line aux 0
line vty 0 4
 password ***
 login
 transport input telnet
!
scheduler max-task-time 5000
!
webvpn context Default_context
 ssl authenticate verify all
 !
 no inservice
!
end

edit: Het werkt, was nog een dns instelling verkeerd bij de client

Bedankt voor de hulp heb er weer een hoop bijgeleerd iig, ga proberen de http server uit te laten voor de vpn config.. (ik zei proberen )

[ Voor 5% gewijzigd door fommes op 30-11-2007 08:04 ]

[TrailBlazer]

fommes schreef op vrijdag 30 november 2007 @ 07:56:
Zo ik heb de config er volgens mij identiek inzitten nu, ik kan pingen (ja pingen ) naar een ip adres buiten, alleen internet (website http) werkt nog niet, moet ik hier nog wat voor instellen?
edit: Het werkt, was nog een dns instelling verkeerd bij de client

Bedankt voor de hulp heb er weer een hoop bijgeleerd iig, ga proberen de http server uit te laten voor de vpn config..

Dus je kan wel vanaf een pc achter de cisco pingen naar een ip adres op internet (194.109.6.66 is altijd een goede)
Krijg je wel een DNS server toegewezen.

[fommes]

kon wel pingen ja omdat gateway van de client naar de router stond ingesteld, maar ik kon niet op internet omdat de dns op de client niet goed ingesteld was, dit heb ik nu dus verholpen door in de dhcp van de domain controller tweede dns 194.109.6.66 te zetten.

[TrailBlazer]

oja je had ook XS4All was ook zo. Ik gebruik de DNS van xs4all standaard om te testen als ik een DNS probleem vermoed. Is het enige ip adres wat ik uit mijn hoofd ken.

[fommes]

Misschien een domme vraag maarja hoe save ik de running-config naar startup? heb net 'copy runn start' gedaan maar na aan en uit was ik me config kwijt... (die ik gelukkig opgeslagen had )

[TrailBlazer]

het copy commando was goed ik denk enkel dat je config register fout staat. Doe eens show ver.
Dit moet er staan
Configuration register is 0x2102
en dit staat er denk ik
Configuration register is 0x2142

[fommes]

Je hebt gelijk, hoe pas ik dit aan?

[TrailBlazer]

conf t
config-register 0x2102
end

als ik het goed heb. Je hebt waarschijnlijk password recovery gedaan. Met deze instelling negeert de router zijn configuratie bij het opstarten immers daar staat het wachtwoord in. Nu heb je echter weer een goede config en dus wil je em weer gaan gebruiken.

[fommes]

aah ja klopt helemaal, had een config overgenomen waar een password in stond die ik niet meer terug kon vinden vandaar

Thanks ga het terug zetten!

[fommes]

Nog even een update ik heb de vpn vanmiddag ingesteld (niet via de cli dat lukte me niet ) heb nu de volgende config draaien, zijn er nog dingen die ik ingesteld heb die af te raden zijn?:

code:

Building configuration...

Current configuration : 3662 bytes
!
version 12.4
no service pad
service tcp-keepalives-in
service tcp-keepalives-out
service timestamps debug datetime msec localtime show-timezone
service timestamps log datetime msec localtime show-timezone
no service password-encryption
service sequence-numbers
!
hostname ***
!
boot-start-marker
boot-end-marker
!
security authentication failure rate 3 log
logging buffered 51200 informational
logging console critical
enable secret 5 *****
enable password *****
!
aaa new-model
!
!
aaa authentication login sdm_vpn_xauth_ml_1 local
aaa authorization network sdm_vpn_group_ml_1 local
!
aaa session-id common
!
resource policy
!
clock timezone CET 1
clock summer-time SUM recurring last Sun Mar 2:00 last Sun Oct 3:00
no ip source-route
ip cef
!
!
!
!
ip tcp synwait-time 10
no ip bootp server
!
!
!
username thomas privilege 15 secret ******
!
!
!
crypto isakmp policy 1
 encr 3des
 authentication pre-share
 group 2
!
crypto isakmp client configuration group groep
 key *****
 dns 192.168.0.100  //(DC ip adres)
 domain domein.local
 pool SDM_POOL_1
 acl 100
 max-users 10
 netmask 255.255.255.0
crypto isakmp profile sdm-ike-profile-1
   match identity group groep
   client authentication list sdm_vpn_xauth_ml_1
   isakmp authorization list sdm_vpn_group_ml_1
   client configuration address respond
   virtual-template 1
!
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
!
crypto ipsec profile SDM_Profile1
 set transform-set ESP-3DES-SHA
 set isakmp-profile sdm-ike-profile-1
!
!
!
!
!
interface Null0
 no ip unreachables
!
interface Loopback0
 ip address 192.168.1.1 255.255.255.0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
!
interface BRI0
 no ip address
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 encapsulation hdlc
 shutdown
!
interface ATM0
 no ip address
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 no atm ilmi-keepalive
 pvc 8/48
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 dsl operating-mode auto
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface Virtual-Template1 type tunnel
 description $FW_INSIDE$
 ip unnumbered Loopback0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile SDM_Profile1
!
interface Virtual-Dot11Radio1
 no ip address
!
interface Vlan1
 description $FW_INSIDE$
 ip address 192.168.0.10 255.255.255.0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat inside
 ip virtual-reassembly
!
interface Dialer1
 description $FW_OUTSIDE$
 ip address negotiated
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat outside
 ip virtual-reassembly
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 ppp authentication pap callin
 ppp pap sent-username ****@xs4all.nl password 0 ***
!
interface Dialer0
 no ip address
 no ip redirects
 no ip unreachables
 no ip proxy-arp
!
ip local pool SDM_POOL_1 192.168.0.130 192.168.0.149
ip route 0.0.0.0 0.0.0.0 Dialer1
!
!
ip http server //(jaja ik weet het ;) )
no ip http secure-server
ip nat inside source list 101 interface Dialer1 overload
!
logging trap debugging
logging 192.168.0.10
access-list 100 remark SDM_ACL Category=4
access-list 100 permit ip 192.168.0.0 0.0.255.255 any
access-list 101 permit ip 192.168.0.0 0.0.0.255 any
dialer-list 1 protocol ip permit
no cdp run
!
!
!
!
control-plane
!
!
line con 0
 no modem enable
line aux 0
line vty 0 4
 password ***
 transport input telnet
!
scheduler max-task-time 5000
scheduler interval 500
!
webvpn context Default_context
 ssl authenticate verify all
 !
 no inservice
!
end

[TrailBlazer]

ziet er wel redelijk uit. Ik zal enkel even service password-encyption aanzetten.
VPN config is niet zoals ik hem zou bouwen maar ondanks dat ik CCSP ben ben ik geen ipsec specialist

[ Voor 38% gewijzigd door TrailBlazer op 30-11-2007 22:07 ]

[fommes]

Thnx password encryption veranderd voor de rest niks aan mijn huidig ingestelde passewords?
Had het liever ook via de cli gedaan maar heb er te weinig ervaring mee om daar 'even' een vpn mee op te zetten.

[fommes]

Ok nou ben ik de weg een beetje kwijt , volgens mij heb ik nog dezelfde config als 10 minuten geleden maar nu kom ik niet meer op het netwerk... ik kan wel via de vpn de router bereiken maar niet andere apparaten op het netwerk (server 192.168.0.100)

kan het met een van deze regels te maken hebben?

no ip redirects
no ip unreachables
no ip proxy-arp
dit heb ik als laatste toegevoegd (op advies van de sdm security audit)

code:

no service pad
service tcp-keepalives-in
service tcp-keepalives-out
service timestamps debug datetime msec localtime show-timezone
service timestamps log datetime msec localtime show-timezone
no service password-encryption
service sequence-numbers
!
hostname ***
!
boot-start-marker
boot-end-marker
!
security authentication failure rate 3 log
logging buffered 51200 informational
logging console critical
enable secret 5 ****
enable password ****
!
aaa new-model
!
!
aaa authentication login sdm_vpn_xauth_ml_1 local
aaa authorization network sdm_vpn_group_ml_1 local
!
aaa session-id common
!
resource policy
!
clock timezone CET 1
clock summer-time SUM recurring last Sun Mar 2:00 last Sun Oct 3:00
no ip source-route
ip cef
!
!
!
!
ip tcp synwait-time 10
no ip bootp server
!
!
!
username thomas privilege 15 secret 5 ****
!
!
!
crypto isakmp policy 1
 encr 3des
 authentication pre-share
 group 2
!
crypto isakmp client configuration group GROEP
 key *****
 dns 192.168.0.100 192.168.0.10
 domain domein.local
 pool SDM_POOL_1
 max-users 10
 netmask 255.255.255.0
crypto isakmp profile sdm-ike-profile-1
   match identity group GROEP
   client authentication list sdm_vpn_xauth_ml_1
   isakmp authorization list sdm_vpn_group_ml_1
   client configuration address respond
   virtual-template 1
!
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
!
crypto ipsec profile SDM_Profile1
 set transform-set ESP-3DES-SHA
 set isakmp-profile sdm-ike-profile-1
!
!
!
!
!
interface Null0
 no ip unreachables
!
interface Loopback0
 ip address 192.168.1.1 255.255.255.0
!
interface BRI0
 no ip address
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 encapsulation hdlc
 shutdown
!
interface ATM0
 no ip address
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 no atm ilmi-keepalive
 pvc 8/48
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 dsl operating-mode auto
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface Virtual-Template1 type tunnel
 description $FW_INSIDE$
 ip unnumbered Loopback0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile SDM_Profile1
!
interface Virtual-Dot11Radio1
 no ip address
!
interface Vlan1
 description $FW_INSIDE$
 ip address 192.168.0.10 255.255.255.0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat inside
 ip virtual-reassembly
!
interface Dialer1
 description $FW_OUTSIDE$
 ip address negotiated
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat outside
 ip virtual-reassembly
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 ppp authentication pap callin
 ppp pap sent-username ****@xs4all.nl password 0 ****
!
interface Dialer0
 no ip address
 no ip redirects
 no ip unreachables
 no ip proxy-arp
!
ip local pool SDM_POOL_1 192.168.0.130 192.168.0.149
ip route 0.0.0.0 0.0.0.0 Dialer1
!
!
ip http server
no ip http secure-server
ip nat inside source list 101 interface Dialer1 overload
!
logging trap debugging
logging 192.168.0.10
access-list 100 remark SDM_ACL Category=4
access-list 100 permit ip 192.168.0.0 0.0.255.255 any
access-list 101 permit ip 192.168.0.0 0.0.0.255 any
dialer-list 1 protocol ip permit
no cdp run
!
!
!
!
control-plane
!
!
line con 0
 no modem enable
line aux 0
line vty 0 4
 password *****
 transport input telnet
!
scheduler max-task-time 5000
scheduler interval 500
!
webvpn context Default_context
 ssl authenticate verify all
 !
 no inservice
!
end

[TrailBlazer]

hoe staat de default gateway op de clients?

[fommes]

Zou die niet meegegeven moeten worden door de router? ik had wel wat vaags ermee idd op den duur stond er geen default gateway in, en toen het loopback adres van de router (192.168.1.1) ik vermoed dat dit gewoon 192.168.0.10 moet zijn.

Naja ik heb weer even mijn eerste werkende config erop gezet zonder vpn, en probeer het gewoon even opnieuw

[ChaserBoZ_]

fommes schreef op zaterdag 01 december 2007 @ 12:46:
Zou die niet meegegeven moeten worden door de router? ik had wel wat vaags ermee idd op den duur stond er geen default gateway in, en toen het loopback adres van de router (192.168.1.1) ik vermoed dat dit gewoon 192.168.0.10 moet zijn.

Naja ik heb weer even mijn eerste werkende config erop gezet zonder vpn, en probeer het gewoon even opnieuw

Als je de router niet als DHCP server configureert, geeft ie nix uit

http://www.cisco.com/en/U...pter09186a00800ca75c.html

[fommes]

Weet niet of het handig is als ik hier nog mijn vraag in stel, de tijd zal het leren

Is er in zo'n cisco router ook in te stellen dat hij automatisch checked of er internetverbinding is om het uur of om de zoveel tijd, en zo niet dat hij dan opnieuw de dialer restart?

Ik werk vaak per vpn op het netwerk via de cisco 876, maar het is nogal lastig dat wanneer de verbinding weg valt (al gebeurd dit niet vaak) ik of 180km moet rijden om hem even uit en aan te zetten, of moet wachten tot er iemand op kantoor is die dit kan doen voor me

[TrailBlazer]

in principe wordt die dialer getriggerd als er interessant verkeer is. Als dit er is wordt die verbinding opgezet dus een wegvallende internetverbinding zou geen problemen moeten geven.

[fommes]

hmm das vreemd want ik kon van buiten de router niet meer bereiken, ook niet dmv ping of telnet, en van binnen kon er ook niet geinternet worden na uit aan zetten van de router ging het weer.

[TrailBlazer]

Hoe zit je config er dan uit. Je kan natuurlijk ook best een probleem hebben met je DSL link/interface die het weer gaat doen na een reset.