[CISCO] Problemen bij migratie Cisco 2621 naar 2620XM

[Fr0zenFlame]

Thuis heb ik 2 ISPs namelijk; TweakDSL & Ziggo Z3
Hiervoor heb ik expres gekozen, 1 via het kabel net (Cable) & 1 via het Telefonie ned (DSL).

ISP1
TweakDSL
down: 20 Mbit/s | up: 1 Mbit/s (IRL ongeveer 15 down).

ISP2
Ziggo Z3
down: 50 Mbit/s | up: 5 Mbit/s

Dit was in eerste instantie geconfigureerd op een Vigor 2820 Dual WAN router.
Echter moet ik dit op grotere schaal gaan toepassen (24 aansluitingen) en dus heb ik een Cisco switch (Catalyst 2900 XL serie) aangeschaft en een Cisco 2621 (2x FA), echter heb ik dus 3 FAs nodig

FA 0/0 LAN
FA 0/1 ISP1 (WAN)
FA 0/2 ISP2 (WAN)

In eerste instantie via e-bay een module aangeschaft die niet bleek te werken op dit type router (2621).

Router-on-a-stick
Toen ben ik aan de gang gegaan met een TRUNK waarbij je moet denken dat je FA 0/0 gebruikt voor LAN en FA 0/1 opdeelt is in 2 Sub interfaces FA 0/0.1 en FA 0/0.2
Dit leek goed te gaan tot ik de Encap toevoeg, de 2621 (niet XM) lijkt niet om te kunnen gaan met de dot1q encap.

Toen ben ik over gegaan op een 2620XM (met 1x FA), met de nieuwste IOS versie en hierop kreeg ik de dot1q trunk werkend, zelf met 1 FA interface.

FA0/0
FA0/0.1 >> LAN (VLAN 1 native)
FA0/0/2 >> ISP1 (VLAN2)
FA0/0.3 >> ISP2 (VLAN3)

(Op de switch alle 21x van de 24x poorten in vlan1 gezet en 3x poorten gereserveerd voor de beide WAN VLAN2 & VLAN3 verbindingen & 1 trunk VLAN1 naar de 2620xm router toe).

Ik ben vrij nieuw op cisco gebiedt, althans tijd niet mee gewerkt en met namen NAT vind ik nog vrij lastig.


De 2 vraagstukken waar ik nu niet uit kom zijn:

Vraagstuk 1:
Hoe ga ik nu de NAT werkend krijgen over 2 WAN verbindingen naar buiten?
Is dit überhaupt wel aan te raden gezien de verschillende latencies op de verschillende netwerken?

Het lukt me nu om zowel over FA0/0.2 als over FA 0/0.3 naar buiten te routeren los van elkaar… echter heb ik geen idee hoe ik dit nu moet laten load balance bijvoorbeeld…

Via google en cisco support forums diverse dingen tegen gekomen, echter is dit steeds weer op andere routers en IOS versies.
Als het goed is moet het met deze router (2620XM) lukken.

Vraagstuk 2:
Mocht ik er niet voor willen/kunnen kiezen om een load balance toe te passen, dan zou ik graag het “news” verkeer over 1 interface laten routeren dus bijvoorbeeld NEWS over FA 0/0.2 en al het overige internet verkeer over FA 0/0.3.

(Helaas kan ik even niet mn “sh run” posten, ben momenteel niet thuis)

[WhizzCat]

Je kan in ieder geval gewoon een source list op je beide sub interfaces zetten:

code:

int fe0/0.1
ip nat inside

int fe 0/0.2
ip nat outside

int fe 0/0.3
ip nat outside

ip nat inside source list 102 inter fe0/0.2 overload
ip nat inside source list 103 inter fe0/0.3 overload

access-list 102 permit ip <ip range> <subnet range> <dest range> <dest subnet>
access-list 103 permit ip <ip range> <subnet range> <dest range> <dest subnet>

(die subnets zijn trouwens die inverse dingen,ben de naam ff kwijt)

Volgens mij moet dit in ieder geval werken voor je NATting naar buiten toe. Voor je nieuws verkeer kan je eventueel een statische nat regel naar buiten maken (denk ik... correct me if I'm wrong )

-edit-

/16 zou dan dus worden 0.0.255.255

[ Voor 3% gewijzigd door WhizzCat op 06-09-2010 14:30 ]

[DrFlash]

Echt load balancen over 2 verschillende WAN lijnen bestaat niet. Wat je wel kan doen is je data opsplitsen door middel van access lists als je begint met bovenstaande configuratie.

Eventueel kan je het nog wel uitbreiden met trackers om er voor te zorgen dat als er 1 lijn weg valt al het verkeer over de andere interface gaat.

[Fr0zenFlame]

Bedankt voor de reacties, ik heb de Acces-lists toegevoegd maar laat ze even voor wat ze zijn om later even goed uit te zoeken wat ik eventueel ga filteren.

Waar ik echter niet uit kom is hoe ik dan een een "Static route" toevoeg naar een externe server bijvoorbeeld >> 82.197.196.34, in dit geval de news server van tweakDSL

Wat ie nu doe doet is gewoonweg alles over FastEthernet 0/0.2 gooien ongeacht wat voor verkeer het is.
Wat ik wil is al het verkeer van client 1: 172.16.1.1 met als bestemming "82.197.196.34" over FastEthernet 0/0.3 laten gaan en al overige verkeer via FastEthernet 0/0.2


_{interface FastEthernet0/0
description LAN-Interface(lokaal)
ip address 172.16.1.254 255.255.0.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto
!
interface FastEthernet0/0.1
!
interface FastEthernet0/0.2
description ISP-Ziggo
encapsulation dot1Q 2
ip address dhcp
ip nat outside
ip virtual-reassembly
!
interface FastEthernet0/0.3
description ISP-TweakDSL
encapsulation dot1Q 3
ip address 192.168.1.253 255.255.255.0
ip nat outside
ip virtual-reassembly
!
ip route 0.0.0.0 0.0.0.0 FastEthernet0/0.2 dhcp
!
!
no ip http server
no ip http secure-server
ip nat inside source list 1 interface FastEthernet0/0.2 overload
ip nat inside source list 102 interface FastEthernet0/0.2 overload
ip nat inside source list 103 interface FastEthernet0/0.3 overload
!
access-list 1 permit any
access-list 102 permit ip any any
access-list 103 permit ip any any
!}



Op mn client had ik dat eerst opgelost door handmatig een route in windows toe te voegen.
^{route ADD 82.197.196.34 255.255.255.255 192.168.1.254}

[Bloodshot]

Policy-based routing zou dit op kunnen lossen. Ik heb alleen even geen 2600XM staan om te zien of die ertoe in staat is. Wellicht dat google kan helpen.

Ter info: Met PBR geef je d.m.v. ACL's aan aan welke criteria een verkeersstroom moet voldoen. In je policy kun je dan (bijvoorbeeld) de next-hop configureren. Dit is 1 manier om te loadbalancen per destination IP-adres, of per dienst (newsserver).

[Bart]

ip route 82.197.196.34 255.255.255.255 FastEthernet0/0.3

Moet volgens mij toch voldoende zijn.

[Fr0zenFlame]

Bart schreef op maandag 06 september 2010 @ 22:24:
ip route 82.197.196.34 255.255.255.255 FastEthernet0/0.3

Moet volgens mij toch voldoende zijn.

Dat dacht ik ook

[Ping check naar extern vanaf 2e gateway:]
_{TheNet_Core_GW#ping
Protocol [ip]: ip
Target IP address: 82.197.196.34
Repeat count [5]: 5
Datagram size [100]: 100
Timeout in seconds [2]: 2
Extended commands [n]: y
Source address or interface: 192.168.1.253 <<< De Router kant die verbonden is met de tweakDSL modem @ 192.168.1.254
Type of service [0]: 0
Set DF bit in IP header? [no]:
Validate reply data? [no]:
Data pattern [0xABCD]:
Loose, Strict, Record, Timestamp, Verbose[none]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 82.197.196.34, timeout is 2 seconds:
Packet sent with a source address of 192.168.1.253
.....
Success rate is 0 percent (0/5)
TheNet_Core_GW#pin
Protocol [ip]: ip
Target IP address: 62.69.184.54
Repeat count [5]: 5
Datagram size [100]: 100
Timeout in seconds [2]: 2
Extended commands [n]: y
Source address or interface: FastEthernet0/0.3
Type of service [0]:
Set DF bit in IP header? [no]:
Validate reply data? [no]:
Data pattern [0xABCD]:
Loose, Strict, Record, Timestamp, Verbose[none]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 62.69.184.54, timeout is 2 seconds:
Packet sent with a source address of 192.168.1.253
!!!!!}


De verbinding is er wel.. maar er is toch iets fout met de route, ik kan kom er alleen niet achter wat

[Show run current config:]
<sup>TheNet_Core_GW#sh run
Building configuration...

Current configuration : 1521 bytes
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname TheNet_Core_GW
!
boot-start-marker
boot-end-marker
!
logging buffered 4096 debugging
enable secret 5 $1$jFO5$2bp6WtkM0u.QcYYvWGNXK0
enable password 3l!t3
!
no aaa new-model
!
resource policy
!
no network-clock-participate slot 1
no network-clock-participate wic 0
ip cef
!
!
!
!
!
!
!
!
!
!
!
!
!
!
interface FastEthernet0/0
description LAN-Interface(lokaal)
ip address 172.16.1.254 255.255.0.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto
!
interface FastEthernet0/0.1
!
interface FastEthernet0/0.2
description ISP-Ziggo
encapsulation dot1Q 2
ip address dhcp
ip nat outside
ip virtual-reassembly
!
interface FastEthernet0/0.3
description ISP-TweakDSL
encapsulation dot1Q 3
ip address 192.168.1.253 255.255.255.0
ip nat outside
ip virtual-reassembly
!
ip route 82.197.196.34 255.255.255.255 FastEthernet0/0.3 192.168.1.254
ip route 0.0.0.0 0.0.0.0 FastEthernet0/0.2 dhcp
!
!
no ip http server
no ip http secure-server
ip nat inside source list 1 interface FastEthernet0/0.2 overload
ip nat inside source list 102 interface FastEthernet0/0.2 overload
ip nat inside source list 103 interface FastEthernet0/0.3 overload
!
access-list 1 permit any
access-list 102 permit ip any any
access-list 103 permit ip any any
!
!
!
!
control-plane
!</sup>

[Fr0zenFlame]

Hmm,

In eerste instantie dacht ik dit te kunnen oplossen via een simpele route toe te voegen, maar dit lijkt niet zo simpel te zijn.
Heb een groot aantal cisco support sites etc doorlopen maar nergens een passende oplossing gevonden... ben bang dat dit dan toch met een policy based routing moet worden opgelost.

Kan 't bijna niet geloven

[WhizzCat]

ip route 82.197.196.34 255.255.255.255 FastEthernet0/0.3 192.168.1.254

Haal die bold eens weg. In principe mag hij al het verkeer voor dat IP gewoon op fe0/0.3 dumpen. Interface opgeven is niet nodig afaik

edit-

ip nat inside source list 1 interface FastEthernet0/0.2 overload
ip nat inside source list 102 interface FastEthernet0/0.2 overload
ip nat inside source list 103 interface FastEthernet0/0.3 overload
!
access-list 1 permit any
access-list 102 permit ip any any
access-list 103 permit ip any any

Volgens mij kan je die accesslist 1 en die inside nat source list 1 er ook af kukelen. Ik denk niet dat die nodig is.

[ Voor 49% gewijzigd door WhizzCat op 10-09-2010 08:05 ]

[Fr0zenFlame]

WhizzCat schreef op vrijdag 10 september 2010 @ 08:04:

........

WhizzCat, thnx voor je reactie
Zit nu in de avond shift, dus ga morgen c.q van het weekend ff aan de de slag!

Wat je zegt zou idd moeten werken, ik hoop het

Het zou mooi zijn geweest als je letterijk kon opgeven wat de router moet doen met verkeer/pakketjes letterlijk vanaf een exacte HOST (insideIP) met een exacte bestemming (outsideIP).
Nu geeft je eigenlijk aan dat alle het verkeer afkomstig vanuit je lokale netwerk (172.16.1.0 /24 met als eind station dat externe ip, over FE0.0/3 moet.

p.s

Interface FE0/0.2 (ziggo) krijgt zijn IP van de ziggo modem op basis van DHCP.
Interface FE0/0.3 (tweakdsl) heeft een statisch ip om te kunnen communiseren met de tweakdsl modem.
Router 192.168.1.253 /24 <> TweakDSL modem 192.168.1.254 /24

Zou dat nog verschil kunnen maken? Geeft die DHCP misschien iets relevants mee wat ik bij het statisch instellen van de interface FE0/0.3 over het hoofd heb gezien? Lijkt me niet toch ?

[ Voor 26% gewijzigd door Fr0zenFlame op 10-09-2010 19:27 ]

[Verwijderd]

Fr0zenFlame schreef op maandag 06 september 2010 @ 23:51:
[...]


.....


!
interface FastEthernet0/0
description LAN-Interface(lokaal)
ip address 172.16.1.254 255.255.0.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto
!
interface FastEthernet0/0.1
!
interface FastEthernet0/0.2
description ISP-Ziggo
encapsulation dot1Q 2
ip address dhcp
ip nat outside
ip virtual-reassembly
!
interface FastEthernet0/0.3
description ISP-TweakDSL
encapsulation dot1Q 3
ip address 192.168.1.253 255.255.255.0
ip nat outside
ip virtual-reassembly
!
ip route 82.197.196.34 255.255.255.255 FastEthernet0/0.3 192.168.1.254
ip route 0.0.0.0 0.0.0.0 FastEthernet0/0.2 dhcp
!
!
.....

![/sup]

Dit klopt nog niet helemaal met:

FA0/0
FA0/0.1 >> LAN (VLAN 1 native)
FA0/0/2 >> ISP1 (VLAN2)
FA0/0.3 >> ISP2 (VLAN3)

Ik zou de LAN config nog even verplaatsen van FA0/0 naar FA0/0.1

Om een routering beslissing te maken op basis van source address moet je idd kijken naar PBR.
Maar bijv met:
ip route 0.0.0.0 0.0.0.0 FastEthernet0/0.2 dhcp
ip route 0.0.0.0 0.0.0.0 FastEthernet0/0.3 192.168.1.254
Zou je ook 50/50 loadbalancing moeten krijgen.

Zie overigens ook: http://www.cisco.com/.....
En dan met name het stuk beginnend met: Adding a static route to an Ethernet or other broadcast interface (for example, ip route 0.0.0.0 0.0.0.0 Ethernet 1/2) will cause the route to be inserted into the routing table only when the interface is up. This configuration is not generally recommended.

Je kunt het geheel ook controleren met: # show ip route

Edit: Waarom gebruik je eigenlijk niet die Vigor in combinatie met de switch?

[joopv]

Een 2621XM gaat het redelijk zwaar krijgen met 50Mbit... Op zich is dat niet erg, maar je moet we de cpu utilization in de gaten houden. Zie http://www.cisco.com/web/...nce/routerperformance.pdf
Ik heb zelf een veel recentere 1841 in gebruik, die staat op 70% load bij downloaden met 60Mb nntp.

Met policy based routing kun je de NAT sturen, zodat bijvoorbeeld alle NNTP (tcp poort 119) verkeer de ene kant op gaat en de rest de andere kant. Dat is zonder meer mogelijk met een 2600XM. Je kunt ook andere citeria nemen zoals dus het source adres (vanaf welke lokale pc) en destination adres (welk publiek IP adres), of een willekeurige combinatie van die variabelen.

[ Voor 24% gewijzigd door joopv op 11-09-2010 09:53 ]

[Uberprutser]

joopv schreef op zaterdag 11 september 2010 @ 09:46:
Een 2621XM gaat het redelijk zwaar krijgen met 50Mbit...

Je kan beter zeggen dat ie niet boven de 15 a 18Mb/s uit gaat komen.
Wat je wil gaat daarom ook niet werken zoals je zou willen.

Edit: Dit is dus mijn ervaring met NAT en de 2621XM.

[ Voor 9% gewijzigd door Uberprutser op 11-09-2010 10:04 ]

[joopv]

Nee, zo erg is het niet. Die getallen in dat cisco document gelden voor 64 byte pakketten. Voor grote paketten zoals je bij downloaden via NNTP hebt kun je die getallen best met een factor 3 vermenigvuldigen.

Het blijft natuurlijk wel een doos van 6 jaar oud of zo.

[ Voor 12% gewijzigd door joopv op 11-09-2010 10:33 ]

[Uberprutser]

joopv schreef op zaterdag 11 september 2010 @ 10:31:
Nee, zo erg is het niet.

Ik heb zelf zoon doos gehad hier en zoals ik al zei eigen ervaring.

Daarna een 1841 en nu een 1941w om het geweld van de 120Mbit Ziggo en de 8Mbit Office DSL ernaast aan te kunnen. Alleen bij die laatste merk ik geen verschil met NAT, meerdere ACL's en CME.

[zenith]

Misschien een ander ideetje wat kan schelen qua performance (zoiezo krijgt die 2621 het zwaar ): als je maar 1 "leech" pc op je lannetje hebt zou je hem in een apart vlan kunnen doen en je snelle lijn en dat vlan in dezelfde vrf kunnen stoppen. pbr hakt op sommige routers wel in op je performance en met vrf lite zou je het gebruik van pbr kunnen voorkomen.

[ Voor 5% gewijzigd door zenith op 11-09-2010 19:38 ]

[Bl@ckbird]

joopv schreef op zaterdag 11 september 2010 @ 10:31:
Nee, zo erg is het niet. Die getallen in dat cisco document gelden voor 64 byte pakketten. Voor grote paketten zoals je bij downloaden via NNTP hebt kun je die getallen best met een factor 3 vermenigvuldigen.

Het blijft natuurlijk wel een doos van 6 jaar oud of zo.

Er wordt idd gerekend met kleine packets van 64 byte per IP packet.

Deze waarden is de rauwe routing performance. Zodra je wat met NAT, ACL's en andere zaken gaat doen, kakt de performance redelijk in. ( Beetje afhankelijk van het aantal zaken / services wat je aan zet, maar -30% is goed mogelijk. ) Vandaar dat je vaak twee waarden ziet: de throughput uit de Portable Product Sheet en de waarden waarvoor de router verkocht wordt. (Met services, want het zijn ISR / Integrated Services Routers.)

High end routers (ASR1000, 7600 en hoger) hebben naast een algemene CPU, ook dedicated ASIC's die zich bezig houden met packet forwarding (routing) en processing. (ACL's) Het inkakken van de performance speelt hier dus niet bij.

De nieuwe ISR G2 routers (1900, 2900, 3900) zijn ongeveer
3 tot 5 keer sneller dan de oude ISR routers.
( 1800, 2800, 3800 )

[Fr0zenFlame]

Verwijderd schreef op zaterdag 11 september 2010 @ 09:19:

[...]

Edit: Waarom gebruik je eigenlijk niet die Vigor in combinatie met de switch?

Ik ga de config even aanpassen...
Ik zou natuurlijk even de vigor i.c.m. de switch kunnen proberen...

Specs: http://www.draytek.nl/pages/producten/2820/main.htm

Maar kan deze Vigor router beter over weg met grote hoeveelheden netwerk (intern/extern) verkeer?
Ik kan me voorstellen dat de Vigor meer in het huis tuin & keuken segment zit en de cisco meer op het professionele vlak...

Het gaat hierbij om een omgeving voor ongeveer 20 single clients (laptops/client normale gebruikers).
En een aantal servers/pcs bij mij die ook gebruik maken van web servers, ventrilo & news servers).....\

EDIT:
Het lijkt er dus op dat deze in staat is tot hogere snelheden... maar geld dit ook voor "de hoeveelheid" verkeer...

ADSL
Afhankelijk van trainingssnelheid
Ethernet
73Mbit (Deze geteste snelheid is afhankelijk van de netwerkomgeving.)

[ Voor 14% gewijzigd door Fr0zenFlame op 13-09-2010 15:00 ]

[BHQ]

Fr0zenFlame schreef op maandag 13 september 2010 @ 14:58:
Maar kan deze Vigor router beter over weg met grote hoeveelheden netwerk (intern/extern) verkeer?
Ik kan me voorstellen dat de Vigor meer in het huis tuin & keuken segment zit en de cisco meer op het professionele vlak...

Het gaat hierbij om een omgeving voor ongeveer 20 single clients (laptops/client normale gebruikers).
En een aantal servers/pcs bij mij die ook gebruik maken van web servers, ventrilo & news servers).....\

EDIT:
Het lijkt er dus op dat deze in staat is tot hogere snelheden... maar geld dit ook voor "de hoeveelheid" verkeer...

Dat ie dat trekt zal je nog benieuwen. Zolang je traffic als getorrent een beetje binnen de perken weet te houden trekt dat ding wel behoorlijk wat traffic. Je NAT sessies zijn een limitatie en heel veel kleine packetjes om te routeren zijn minder fijn maar tenzij je echt iets high-ends neerzet hou je dat altijd.