Jump to content
Калькуляторы

Cisco ASR1002x + ip unnumbered + dhcp relay

Здравствуйте, коллеги. Интересная "странность" возникла при настройке маршрутизатора. Пытаемся внедрить ip unnumbered + dhcp relay. Вроде бы как все работает - абонент по DHCP запрашивает адрес, в ответ всё прилетает. Но, при этом практически ничего не работает - доступ в интернет вроде бы как есть(пинги, трассировка, nslookup есть), а страницы через пень-колоду открываются. 

Конфиг в принципе тривальный(с моей точки зрения). 

 

Gateway of last resort is 192.168.250.200 to network 0.0.0.0

S*    0.0.0.0/0 [1/0] via 192.168.250.200
      10.0.0.0/8 is variably subnetted, 123 subnets, 2 masks
O E1     10.0.3.0/24 [110/21] via 192.168.253.9, 2w5d, GigabitEthernet0/0/0.40
O E1     10.0.5.0/24 [110/21] via 192.168.253.9, 2w5d, GigabitEthernet0/0/0.40
O E1     10.0.10.0/24
           [110/21] via 192.168.253.9, 2w5d, GigabitEthernet0/0/0.40
C        10.0.30.0/24 is directly connected, TenGigabitEthernet0/1/0.501
L        10.0.30.1/32 is directly connected, TenGigabitEthernet0/1/0.501
O E1     10.0.35.0/24
           [110/21] via 192.168.253.9, 2w5d, GigabitEthernet0/0/0.40
O E1     10.0.41.0/24
           [110/21] via 192.168.253.9, 2w5d, GigabitEthernet0/0/0.40
O E1     10.0.50.0/24
           [110/21] via 192.168.253.9, 2w5d, GigabitEthernet0/0/0.40

Вот как выглядит таблица маршрутизации без абонента, который по DHCP получает адрес.

А, вот когда уже получил адрес: 

ipoe01_bras#sh ip route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP
       a - application route
       + - replicated route, % - next hop override, p - overrides from PfR

Gateway of last resort is 192.168.250.200 to network 0.0.0.0

U*    0.0.0.0/0 [1/0] via 192.168.250.200
                [1/0] via 10.19.2.2
      10.0.0.0/8 is variably subnetted, 124 subnets, 2 masks
O E1     10.0.3.0/24 [110/21] via 192.168.253.9, 2w5d, GigabitEthernet0/0/0.40
O E1     10.0.5.0/24 [110/21] via 192.168.253.9, 2w5d, GigabitEthernet0/0/0.40
O E1     10.0.10.0/24
           [110/21] via 192.168.253.9, 2w5d, GigabitEthernet0/0/0.40
C        10.0.30.0/24 is directly connected, TenGigabitEthernet0/1/0.501
L        10.0.30.1/32 is directly connected, TenGigabitEthernet0/1/0.501
O E1     10.0.35.0/24
           [110/21] via 192.168.253.9, 2w5d, GigabitEthernet0/0/0.40

При этом в логах вот что ещё:

2w5d: RT: updating static 0.0.0.0/0 (0x0) [local lbl/ctx:1048577/0x0]  :
    via 192.168.250.200   0 1048578 0x100001

2w5d: RT: updating static 0.0.0.0/0 (0x0) [local lbl/ctx:1048577/0x0]  :
    via 10.19.2.2   0 1048578 0x100001

2w5d: RT: add 0.0.0.0/0 via 10.19.2.2, static metric [1/0]
2w5d: RT: updating static 10.19.2.2/32 (0x0) [local lbl/ctx:1048577/0x0]  :
    via 0.0.0.0 Te0/1/0.121  0 1048578 0x100001

2w5d: RT: add 10.19.2.2/32 via 0.0.0.0, static metric [1/0]
2w5d: RT: updating static 0.0.0.0/0 (0x0) [local lbl/ctx:1048577/0x0]  :
    via 10.19.2.2   0 1048578 0x100001

Если выключить оборудование(или убить сессию),то в логах следующее:

 

2w5d: RT: del 10.19.2.2 via 0.0.0.0, static metric [1/0]
2w5d: RT: delete subnet route to 10.19.2.2/32
2w5d: RT: updating static 0.0.0.0/0 (0x0) [local lbl/ctx:1048577/0x0]  :
    via 10.19.2.2   0 1048578 0x100001

2w5d: RT: del 0.0.0.0 via 10.19.2.2, static metric [1/0]
2w5d: RT: updating static 0.0.0.0/0 (0x0) [local lbl/ctx:1048577/0x0]  :
    via 192.168.250.200   0 1048578 0x100001

Сам конфиг маршрутизатора:

 

interface Loopback10
 ip dhcp relay information trusted
 ip address 10.19.2.1 255.255.255.0
 no ip redirects
 no ip unreachables
 ntp disable

interface GigabitEthernet0/0/0.40
 description OSPF-i-face
 encapsulation dot1Q 40
 ip address 192.168.253.5 255.255.255.240
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip ospf network point-to-multipoint
 ip ospf dead-interval 30
 ip ospf hello-interval 10
!
interface GigabitEthernet0/0/1
 no ip address
 shutdown
 negotiation auto
!
interface GigabitEthernet0/0/2
 no ip address
 shutdown
 negotiation auto
!
interface GigabitEthernet0/0/3
 no ip address
 shutdown
 negotiation auto
!
interface GigabitEthernet0/0/4
 no ip address
 shutdown
 negotiation auto
!
interface GigabitEthernet0/0/5
 no ip address
 shutdown
 negotiation auto
!
interface TenGigabitEthernet0/1/0
 no ip address
!
interface TenGigabitEthernet0/1/0.5
 description to-DRV-systems
 encapsulation dot1Q 5
 ip address 192.168.208.1 255.255.255.0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip access-group 101 in
 arp timeout 300
 service-policy type control ISG-CUSTOMERS-POLICY
 ip subscriber l2-connected
  initiator unclassified mac-address ipv4
!
interface TenGigabitEthernet0/1/0.60
 description Blk-gpon-abons
 encapsulation dot1Q 60
 ip dhcp relay information trusted
 ip dhcp relay information option server-id-override
 ip address 10.30.10.1 255.255.255.0
 ip helper-address 10.2.1.67
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip access-group 101 in
 arp timeout 43200
 service-policy type control ISG-CUSTOMERS-POLICY
 ip subscriber l2-connected
  initiator dhcp

!
interface TenGigabitEthernet0/1/0.121
 description test-ip-unnumbered
 encapsulation dot1Q 121
 ip dhcp relay information trusted
 ip dhcp relay information option server-id-override
 ip dhcp relay information policy-action keep
 ip unnumbered Loopback10
 ip helper-address 10.2.1.67
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip access-group 101 in
 arp timeout 300
 service-policy type control ISG-CUSTOMERS-POLICY
 ip subscriber l2-connected
  initiator dhcp
!
interface TenGigabitEthernet0/1/0.401
 description to-Bill
 encapsulation dot1Q 401
 ip address 10.2.1.15 255.255.255.0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
!
interface TenGigabitEthernet0/1/0.411
 description to-Inst24-Perf10-12-vlan411
 encapsulation dot1Q 411
 ip address 10.5.35.1 255.255.255.0 secondary
 ip address 10.5.25.1 255.255.255.0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip access-group 101 in
 arp timeout 300
 service-policy type control ISG-CUSTOMERS-POLICY
 ip subscriber l2-connected
  initiator unclassified mac-address ipv4
!
interface TenGigabitEthernet0/1/0.501
 description to-Revol48-and-other
 encapsulation dot1Q 501
 ip address 10.0.30.1 255.255.255.0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip access-group 101 in
 arp timeout 300
 service-policy type control ISG-CUSTOMERS-POLICY
 ip subscriber l2-connected
  initiator unclassified mac-address ipv4
!
interface TenGigabitEthernet0/1/0.777
 description fortest-gpon-dhcp
 encapsulation dot1Q 777
 ip dhcp relay information trusted
 ip dhcp relay information option server-id-override
 ip address 10.19.9.1 255.255.255.0
 ip helper-address 10.2.1.67
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip access-group 101 in
 shutdown
 arp timeout 300
 service-policy type control ISG-CUSTOMERS-POLICY
 ip subscriber l2-connected
  initiator dhcp
!
!
interface TenGigabitEthernet0/3/0
 no ip address
!
interface TenGigabitEthernet0/3/0.50
 description to-TTK-uplink
 encapsulation dot1Q 50
 ip flow monitor IPV4_FLOW input
 ip flow monitor IPV4_FLOW output
 ip address 192.168.250.50 255.255.255.0
!
interface GigabitEthernet0
 vrf forwarding Mgmt-intf
 ip address 10.2.0.200 255.255.255.0
 negotiation auto
 no mop enabled
!
router ospf 1
 router-id 192.168.255.5
 redistribute connected subnets route-map rm-OSPF-RED
 network 192.168.253.0 0.0.0.15 area 0
!
ip forward-protocol nd
no ip http server
ip http authentication local
no ip http secure-server
ip route 0.0.0.0 0.0.0.0 192.168.250.200
ip route 10.2.2.0 255.255.255.0 192.168.253.10
ip route 10.2.3.0 255.255.255.0 192.168.253.10
ip route 10.2.6.0 255.255.255.0 192.168.253.10
ip route 80.237.95.34 255.255.255.255 TenGigabitEthernet0/1/0.401
ip route 80.237.95.36 255.255.255.255 TenGigabitEthernet0/1/0.401
ip route 80.237.95.40 255.255.255.255 TenGigabitEthernet0/1/0.401
ip route 80.237.95.45 255.255.255.255 TenGigabitEthernet0/1/0.401
ip route 80.237.95.46 255.255.255.255 TenGigabitEthernet0/1/0.401
ip route 80.237.95.50 255.255.255.255 TenGigabitEthernet0/1/0.401
ip route 80.237.95.55 255.255.255.255 TenGigabitEthernet0/1/0.401
ip route 80.237.95.62 255.255.255.255 TenGigabitEthernet0/1/0.401
ip route 192.168.50.100 255.255.255.255 TenGigabitEthernet0/1/0.401
ip route vrf Mgmt-intf 0.0.0.0 0.0.0.0 10.2.0.1

OSPF нужен для связности с сетками, которые расположены на двух других маршрутизаторах(не Cisco)

Версия софта на циске:

sh ver
Cisco IOS XE Software, Version 16.09.08
Cisco IOS Software [Fuji], ASR1000 Software (X86_64_LINUX_IOSD-UNIVERSALK9-M), Version 16.9.8, RELEASE SOFTWARE (fc4)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2021 by Cisco Systems, Inc.
Compiled Wed 01-Sep-21 01:43 by mcpre

Собственно, в чем может быть проблема или может быть это нормальное поведение(что очень навряд ли)? Почему меняется маршрут по умолчанию?  Хотя, рядом стоит Cisco 7301, с практически таким же конфигом и с ней такой проблемы нет( понятно, что разные платформы и версии софта,но...).

Share this post


Link to post
Share on other sites

NAT`ом пограничник на линкусе занимается, находится выше циски (192.168.250.200). Дефолт маршрут на него - 

ip route 0.0.0.0 0.0.0.0 192.168.250.200

Share this post


Link to post
Share on other sites

Да с бордером то все нормально. Остальные клиенты работают нормально. Проблем нет. Просто, не понятно, почему на циске появляется строка :

U*    0.0.0.0/0 [1/0] via 192.168.250.200
                [1/0] via 10.19.2.2

 

U - per-user static route

Думается, это всё-таки не нормальное поведение. Просто, при тупом сравнении конфигов на той же 7301, где все один в один - такой проблемы нет. И не пойму, куда ещё смотреть...Может, баг в IOS-XE ? 

Share this post


Link to post
Share on other sites

Цитата

Да с бордером то все нормально. Остальные клиенты работают нормально. Проблем нет. Просто, не понятно, почему на циске появляется строка :

U*    0.0.0.0/0 [1/0] via 192.168.250.200
                [1/0] via 10.19.2.2

 

А на loopback10 это не лишнее ip dhcp relay information trusted ?

Share this post


Link to post
Share on other sites

Убрал с loopback10 эту строчку. Да и вообще, просто оставил интерфейс этот с ip-адресом. Ситуация не изменилась.

Share this post


Link to post
Share on other sites

1 час назад, Chrst сказал:

А на loopback10 это не лишнее ip dhcp relay information trusted ?

Оно ни на что не влияет по-моему.

Зачем пишут не знаю, но часто вижу и у меня кое где написано, скорее всего артефакт от какого-то старого бага.

Share this post


Link to post
Share on other sites

Проблема скорее всего очевидна - два дефолт маршрута. Вероятно возникает петля - трафик убегает в один роут и либо возвращается по другому, либо не может вернуться по одному из них (нет обратного маршрута из подсети).

Надо найти где прилипает второй дефолт роут 10.19.2.2 и нужен ли он вообще.

Share this post


Link to post
Share on other sites

Да в том то и дело, что дефолт роут 10.19.2.2 не нужен совсем. Он на циске создается в момент поднятия сессии по DHCP. А, вот почему он становится дефолт маршрутом -  не понятно...

Share this post


Link to post
Share on other sites

Где то такое было. При получении ip адреса на интерфейс по DHCP, если выдается адрес шлюза по умолчанию, то тогда на интерфейс навешивается статический маршрут через этот шлюз. В настройках интерфейса нужно отключить запрос шлюза. Что-то типа no ip dhcp client reauest router.

Share this post


Link to post
Share on other sites

Не помогли команды никакие. Шлюз то у абонента должен быть который указан в

interface Loopback10
 ip address 10.19.2.1 255.255.255.0

Может я не правильно конфигурирую маршрутизатор? Хотя, ещё раз повторюсь, на 7301 которая для всяких экспериментов работает - всё выдается без проблем и такого бага как на ASR - нет.

Share this post


Link to post
Share on other sites

MTU точно 1500 и у клиента, и на остальных железках, через которые трафик идет? Проверьте везде.

Share this post


Link to post
Share on other sites

Да MTU везде 1500 байт. Да и дело то не в MTU. А, вот в сторону радиуса я как то и не подумал посмотреть... биллинг UTM5.3-006upd1(используем их радиус+DHCP). 

Share this post


Link to post
Share on other sites

Dec 12 08:07:46 ?Debug : ee5b3700 AuthQueue: Login '10.19.2.2'
Dec 12 08:07:46 ?Debug : ee5b3700 AuthQueue: Using PAP authentication method
Dec 12 08:07:46 ?Debug : ee5b3700 ISGLoginManager: ISG mapping for 0000000000011A0B added
Dec 12 08:07:46 ?Debug : ee5b3700 AuthQueue: new ISG user authorized
Dec 12 08:07:46 ?Debug : ee5b3700 IPPoolManager: IP 10.19.2.2 is leased
Dec 12 08:07:46 ?Debug : ee5b3700 CustomAttrs: custom attributes for IPTRAFFIC_SERVICE ID 292 have been added to the reply
Dec 12 08:07:46 ?Debug : ee5b3700 CustomAttrs: custom attributes for ISG_AUTH ID 2 have been added to the reply
Dec 12 08:07:46 ?Debug : ee5b3700 AcctQueue: lookup: session ID 36484 for login '10.19.2.2'
Dec 12 08:07:46 ?Debug : ee5b3700 AcctQueue: lookup: session ID 36484 for IP 10.19.2.2
Dec 12 08:07:46 ?Debug : ee5b3700 SessionManager: put: session ID 36484 timeout scheduled at 1670821671
Dec 12 08:07:46 ?Debug : ee5b3700 SessionManager: put: session ID 36484 from NAS 8 OK
Dec 12 08:07:46 ?Debug : ee5b3700 AuthQueue: Reply 
--- RADIUS Pkt ---
  Code: [2]  ID:   [61]
  Auth: Size 16; Data [0x87579bc085c42621ea16b14ab97b057e]
    Attr: [8] Vendor: [0] Size 4; Data [0x0a130202]
        (Framed-IP-Address=IP:10.19.2.2)
    Attr: [9] Vendor: [0] Size 4; Data [0x00000000]
        (Framed-IP-Netmask=IP:0.0.0.0)
    Attr: [27] Vendor: [0] Size 4; Data [0x00000000]
        (Session-Timeout=INT:0)
    Attr: [1] Vendor: [9] Size 41; Data [0x737562736372696265723a69646c652d74696d656f75742d646972656374696f6e3d696e626f756e64]
        (Cisco:Cisco-AVPair=STRING:subscriber:idle-timeout-direction=inbound)
    Attr: [28] Vendor: [0] Size 4; Data [0x00000258]
        (Idle-Timeout=INT:600)
    Attr: [1] Vendor: [9] Size 39; Data [0x737562736372696265723a6163636f756e74696e672d6c6973743d4953472d4143542d4c495354]
        (Cisco:Cisco-AVPair=STRING:subscriber:accounting-list=ISG-ACT-LIST)
    Attr: [250] Vendor: [9] Size 6; Data [0x414c4f43414c]
        (Cisco:Cisco-Account-Info=STRING:ALOCAL)
    Attr: [250] Vendor: [9] Size 10; Data [0x414f4646494345314742]
        (Cisco:Cisco-Account-Info=STRING:AOFFICE1GB)

Dec 12 08:07:46 ?Debug : eebb9700 AcctQueue: Request from 10.2.1.15:21777
--- RADIUS Pkt ---
  Code: [4]  ID:   [62]
  Auth: Size 16; Data [0xdbe498a8dffbc62b19a2d6c506cf0cce]
    Attr: [44] Vendor: [0] Size 16; Data [0x30303030303030303030303131413042]
        (Acct-Session-Id=STRING:0000000000011A0B)
    Attr: [8] Vendor: [0] Size 4; Data [0x0a130202]
        (Framed-IP-Address=IP:10.19.2.2)
    Attr: [22] Vendor: [0] Size 25; Data [0x302e302e302e3020302e302e302e302031302e31392e322e32]
        (Framed-Route=STRING:0.0.0.0 0.0.0.0 10.19.2.2)
    Attr: [7] Vendor: [0] Size 4; Data [0x00000001]
        (Framed-Protocol=INT:1)
    Attr: [1] Vendor: [0] Size 9; Data [0x31302e31392e322e32]
        (User-Name=STRING:10.19.2.2)
    Attr: [1] Vendor: [9] Size 24; Data [0x636f6e6e6563742d70726f67726573733d43616c6c205570]
        (Cisco:Cisco-AVPair=STRING:connect-progress=Call Up)
    Attr: [253] Vendor: [9] Size 4; Data [0x49303b30]
        (Cisco:Cisco-Control-Info=STRING:I0;0)
    Attr: [253] Vendor: [9] Size 4; Data [0x4f303b30]
        (Cisco:Cisco-Control-Info=STRING:O0;0)
    Attr: [45] Vendor: [0] Size 4; Data [0x00000001]
        (Acct-Authentic=INT:1)
    Attr: [40] Vendor: [0] Size 4; Data [0x00000001]
        (Acct-Status-Type=INT:1)
    Attr: [31] Vendor: [0] Size 17; Data [0x36633a33623a36623a64623a34383a6631]
        (Calling-Station-Id=STRING:6c:3b:6b:db:48:f1)
    Attr: [61] Vendor: [0] Size 4; Data [0x00000005]
        (NAS-Port-Type=INT:5)
    Attr: [2] Vendor: [9] Size 29; Data [0x3030303430303739303031392330303036323831303762383464373830]
        (Cisco:Cisco-NAS-Port=STRING:000400790019#000628107b84d780)
    Attr: [5] Vendor: [0] Size 4; Data [0x00000000]
        (NAS-Port=INT:0)
    Attr: [87] Vendor: [0] Size 29; Data [0x3030303430303739303031392330303036323831303762383464373830]
        (NAS-Port-Id=STRING:000400790019#000628107b84d780)
    Attr: [1] Vendor: [9] Size 27; Data [0x636972637569742d69642d7461673d303030343030373930303139]
        (Cisco:Cisco-AVPair=STRING:circuit-id-tag=000400790019)
    Attr: [1] Vendor: [9] Size 30; Data [0x72656d6f74652d69642d7461673d30303036323831303762383464373830]
        (Cisco:Cisco-AVPair=STRING:remote-id-tag=000628107b84d780)
    Attr: [6] Vendor: [0] Size 4; Data [0x00000002]
        (Service-Type=INT:2)
    Attr: [4] Vendor: [0] Size 4; Data [0x0a02010f]
        (NAS-IP-Address=IP:10.2.1.15)
    Attr: [55] Vendor: [0] Size 4; Data [0x6396b722]
        (Event-Timestamp=DATE:1670821666)
    Attr: [32] Vendor: [0] Size 11; Data [0x69706f6530315f62726173]
        (NAS-Identifier=STRING:ipoe01_bras)
    Attr: [41] Vendor: [0] Size 4; Data [0x00000000]
        (Acct-Delay-Time=INT:0)

Dec 12 08:07:46 ?Debug : eebb9700 SessionManager: get: session ID 36484
Dec 12 08:07:46 ?Debug : eebb9700 AcctQueue: found session ID 36484 for IP 10.19.2.2
Dec 12 08:07:46 ?Debug : eebb9700 AcctQueue: sid_insert: session ID 36484 for SID 0000000000011A0B
Dec 12 08:07:46  Info  : eebb9700 AcctQueue: IPv4 address 10.19.2.2 leased
Dec 12 08:07:46  Info  : eebb9700 AcctQueue: Accounting-Start for SID 0000000000011A0B user '10.19.2.2' slink ID 104033 from NAS 10.2.1.15
Dec 12 08:07:46 ?Debug : eebb9700 Transport: sending traffic/dialup session ID 36484
Dec 12 08:07:46 ?Debug : eebb9700 StreamConnection: Sending message ID 0x1107
Dec 12 08:07:46 ?Debug : eebb9700 SessionManager: put: session ID 36484 timeout scheduled at 2000000000
Dec 12 08:07:46 ?Debug : eebb9700 SessionManager: put: session ID 36484 from NAS 8 OK
Dec 12 08:07:46 ?Debug : eebb9700 AcctQueue: Reply 
--- RADIUS Pkt ---
  Code: [5]  ID:   [62]
  Auth: Size 16; Data [0xdbe498a8dffbc62b19a2d6c506cf0cce]

Да, походу, вот из-за чего всё это - Attr: [22] Vendor: [0] Size 25; Data [0x302e302e302e3020302e302e302e302031302e31392e322e32]
        (Framed-Route=STRING:0.0.0.0 0.0.0.0 10.19.2.2)

 

А, как исправить это - пока не представляю...

Share this post


Link to post
Share on other sites

>Да, походу, вот из-за чего всё это - Attr: [22] Vendor: [0] Size 25; Data [0x302e302e302e3020302e302e302e302031302e31392e322e32]
        (Framed-Route=STRING:0.0.0.0 0.0.0.0 10.19.2.2)

 

 Это гвозди от другой стены... Летит в пакете account

Share this post


Link to post
Share on other sites

@scan отчего нет, если это инверсная маска сети от cisco (255.255.255.255) ptp

Share this post


Link to post
Share on other sites

Забыл отписаться - помог параметр в конфиге радиуса: 

 

override_service_type=yes

(Присвоить тип услуги “framed” независимо от типа услуги, указанного во входящем запросе)

После этого все заработало как планировал.

 

Share this post


Link to post
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.