Vigor Cisco ISDN PPP (CHAP)

HTML
DOWNLOAD

Wielkość: px

Rozpocząć pokaz od strony:

Download "Vigor Cisco ISDN PPP (CHAP)"

Sylwia Orzechowska
10 lat temu
Przeglądów:

1 Vigor Cisco ISDN PPP (CHAP) Cisco WIC BRI S/T, IOS ver Vigor 2200X, firmware ver Cisco ISDN: 30 ISDN ISDN: 20 Vigor I. Konfiguracja LAN IP po stronie routera Vigor: II. Zaznaczamy ISDN jako akceptowaną przez Vigor metodę dostępu zdalnego: 1

1 Cisco ISDN: 30 ISDN ISDN: 20 Vigor 192.168.5.1 192.168.4.10 192.168.5.10 I.

2 III. Włączamy interfejs ISDN i przypisujemy numer, na który router ma reagować: IV. W menu VPN->PPP General Setup wybieramy opcję PAP or CHAP oraz wybieramy adres IP należący do podsieci lokalnej: 2

3 Uwaga Domyślnie router Cisco wymaga od urządzenia, na które się wdzwania (RAS), przeprowadzenia autentykacji zwrotnej. Router Vigor jak wiele innych routerów, do takich celów przewiduje wyłącznie metodę PAP. Dlatego możliwe są dwa rozwiązania: 1. W routerze Cisco wyłączamy wymaganie zwrotnej autentykacji, w trybie konfiguracji interfejsu używając komendy: ppp authentication chap callin natomiast w Vigorze zaznaczamy opcję Mutual Authentication ->No jak na rysunku. 2. W Cisco dopuszczamy dodatkowo obsługę PAP, używając komendy interfejsu: ppp authentication chap pap zaś w Vigorze zaznaczamy opcję Mutual Authentication->Yes i w pola poniżej wpisujemy parametry autentykacji dla PAP. Taka sama nazwa użytkownika i hasło muszą być dostępne w środowisku Cisco IOS. Dlatego w trybie konfiguracji globalnej zakładamy konto komendą: user uzytkownik password haslo Obie opcje (1 i 2) wykluczają możliwość zainicjowania połączenia PPP do routera Vigor z użyciem PAP (Vigor zaakceptuje tylko CHAP). Jednak w przypadku opcji 2 możliwe jest zainicjowanie połączenia PPP do Cisco z ominięciem CHAP (Cisco w fazie negocjacji zaakceptuje również PAP). Oczywiście w Cisco można wyłączyć odbiór przychodzących połączeń PPP, co rozwiązuje sprawę jeżeli router Cisco ma wyłącznie inicjować połączenia do routera Vigor. Natomiast obustronną komunikację z użyciem CHAP i wykluczeniem PAP zapewnia tylko opcja 1, która jest zresztą zalecana przez Cisco przy łączeniu z urządzeniami innych producentów. Została też użyta w prezentowanym przykładzie. V. Wewnątrz profilu LAN-LAN w sekcji Dial-Out wpisujemy Username i Password (tutaj DrayTek/TOPsecret). Są to parametry CHAP używane do obliczenia odpowiedzi na wezwanie CHAP challenge, wysyłane przez Cisco (kiedy połączenie inicjuje Vigor). W routerze Cisco należy stworzyć odpowiednie konto. W trybie konfiguracji globalnej używamy komendy: user DrayTek password TOPsecret Parametry Username i Password wpisujemy niezależnie w sekcji Dial-In. W obu sekcjach zaznaczamy PAP/CHAP (patrz rysunek na następnej stronie). Nazwa profilu nie ma znaczenia dla samego połączenia. 3

W routerze Cisco wyłączamy wymaganie zwrotnej autentykacji, w trybie konfiguracji interfejsu używając komendy: ppp authentication chap callin natomiast w Vigorze zaznaczamy opcję Mutual

4 TOPsecret TOPsecret 4

5 Uwaga W sekcji Dial-In jako nazwy użytkownika (Username) należy użyć nazwy hosta Cisco IOS oraz hasła identycznego z tym obowiązującym w sekcji Dial-Out. Tutaj będzie to zatem: Username: Cisco1721 Password: TOPsecret W sytuacji kiedy połączenie jest inicjowane przez router Cisco, router Vigor wysyła wezwanie chap challenge. Parametry powyższe służą do weryfikacji odpowiedzi challenge response przysłanej przez router Cisco, która domyślnie zawiera nazwę hosta IOS wskazującą na powiązane z nią hasło. Router Vigor użyje tego hasła podczas weryfikacji odpowiedzi. Długość hasła nie może przekraczać 11 znaków i istotna jest wielkość liter Powyższa konfiguracja jest stosowana domyślnie w przypadku łączenia routerów Cisco i została użyta w przykładzie. Jednak używając w trybie konfiguracji interfejsu komend: ppp chap hostname My_Host ppp chap password Its_Pass można sprawić, że w procesie autentykacji CHAP router Cisco zamiast (domyślnie) nazwy hosta IOS oraz wspólnego dla obu kierunków hasła będzie używał innego (tutaj My- Host/Its_Pass). Wówczas parametry te należy uwzględnić w sekcji Dial-In routera Vigor. Konfiguracja routera Cisco: Cisco1721#sh run Building configuration... Current configuration : 783 bytes version 12.2 service timestamps debug uptime service timestamps log uptime no service password-encryption hostname Cisco1721 username DrayTek password 0 TOPsecret ip subnet-zero isdn switch-type basic-net3 interface BRI0 ip unnumbered FastEthernet0 encapsulation ppp dialer string 20 dialer-group 5 isdn switch-type basic-net3 ppp authentication chap callin 5

Parametry powyższe służą do weryfikacji odpowiedzi challenge response przysłanej przez router Cisco, która domyślnie zawiera nazwę hosta IOS wskazującą na powiązane z nią hasło.

6 interface FastEthernet0 ip address speed auto interface Serial0 no ip address shutdown ip classless ip route BRI0 no ip http server access-list 120 permit icmp any any //oczywiście jest to testowa access lista, która przepuszcza wyłącznie ICMP, dialer-list 5 protocol ip list 120 //więc dla poprawnego działania aplikacji trzeba napisać własną no cdp advertise-v2 //warto wyłączyć protokół CDP, aby nie zaśmiecał łącza PPP no cdp run line con 0 line aux 0 line vty 0 4 no scheduler allocate end Podsumowanie W przykładzie użyto routingu statycznego (RIP wymaga modyfikacji list dostępu aby broadcast UDP nie podnosił łącza ISDN). W Vigorze statyczna routa została określona w sekcji TCP/IP Network Settings (rysunek), zaś w Cisco wpisana ręcznie. Numery ISDN są dwucyfrowe, gdyż używano centralki PABX, natomiast adresy IP dla łącza PPP są przez oba routery zapożyczane z sieci LAN (interfejs nienumerowany ). Zamiast komendy dialer string można użyć dialer map. Zamiast konfigurować interfejs BRI bezpośrednio, można wykreować wirtualny interfejs (dialer pool), i skojarzyć go z BRI. W przykładzie celowo skupiono się tylko na CHAP, stosując najprostsze ustawienia ISDN aby nie komplikować opisu. W przypadku kiedy połączenie inicjuje Cisco, Vigor rozpoczyna negocjacje LCP od propozycji MS-CHAP, a dopiero wtórnie uzgadniany jest CHAP MD-5. Wgrywając firmware w wersji niższej od 2.3.x można nieznacznie skrócić czas nawiązywania połączenia. Nie powinno to jednak mieć większego wpływu na zachowanie się aplikacji. Uwaga Domyślne ustawienia Firewall w routerze Vigor eliminują usługi Netbios (porty TCP i UDP), aby transmisje typu broadcast w sieci Windows nie podnosiły łącza ISDN (eliminacja dotyczy tylko sytuacji kiedy łącze jest nieaktywne). Niektóre usługi mogą zatem nie funkcjonować poprawnie na odcinku LAN1-LAN2, gdyż nie będą potrafiły automatycznie zainicjować łącza. Wówczas należy zmodyfikować filtr pakietów według potrzeb aplikacji (zmienić ustawienia Call Filter i Data Filter). 6

access lista, która przepuszcza wyłącznie ICMP, dialer-list 5 protocol ip list 120 //więc dla poprawnego działania aplikacji trzeba napisać własną no cdp advertise-v2 //warto wyłączyć protokół CDP,

7 W naszym serwisie jest dostępna szczegółowa instrukcja użytkownika po polsku dla modeli z serii Vigor Wszelkie ustawienia ISDN są identyczne z ustawieniami dla serii Piotr Ponitka Inżynier Systemów Teleinformatycznych BRINET Sp. z o. o. p.ponitka@brinet.com.pl Dokument został przygotowany wyłącznie dla potrzeb Poczty Polskiej. W przypadku podmiotów innych niż Poczta Polska, publikowanie, kopiowanie i magazynowanie niniejszego opracowania z użyciem jakichkolwiek środków technicznych bez zgody firmy BRINET stanowi naruszenie praw autorskich. 7

ponitka@brinet.com.pl www.draytek.pl Dokument został przygotowany wyłącznie dla potrzeb Poczty Polskiej.

Podobne dokumenty

Posiadając dwa routery z serii Vigor 2200/2200X/2200W/2200We postanawiamy połączyć dwie odległe sieci tunelem VPN. Przyjmujemy następujące założenia:

Posiadając dwa routery z serii Vigor 2200/2200X/2200W/2200We postanawiamy połączyć dwie odległe sieci tunelem VPN. Przyjmujemy następujące założenia: Vigor1: publiczny, stały adres IP: 81.15.19.90, podsieć