перехват PPTP

[Paul Argentoff]

Уважаемые коллеги,

 

Как возможно реализовать на 7200 VXR такую схему:

 

Исходная картина: пользователь имеет адрес pptp-сервера x.x.x.x и маршрутизируется на x.x.x.x через L3-свич.

Нужно получить: запросы на pptp-соединения того же пользователя перенаправляются L3 при помощи policy-route на VXR, который теперь терминирует сессию, а пользователь ни о чем таком не догадывается.

 

Цель операции -- load-balancing и плавная замена парка серверов доступа.

 

На FreeBSD + pf все это замечательно работало при помощи такой конструкции:

 

rdr on $cli_if proto tcp from any to x.x.x.x port pptp -> y.y.y.y port pptp
rdr on $cli_if proto gre from any to x.x.x.x -> y.y.y.y

 

Как это сделать на кошке -- не представляю. Полиси-роутом на улавливающем интерфейсе пробовал, но циска ведет сессию от своего адреса (фряха подставляет x.x.x.x), и клиентская машина рвет сессию.

 

Устраивать vrf с поднятием там как бы реального x.x.x.x -- тоже не работает, т.к. невозможно показать из vrf в GRT маршруты на вновь создаваемые Virtual-access интерфейсы. Может есть что в цискином NAT-е? Подскажите плиз, если кто уже решал такую задачу.

[Alexandr Ovcharenko]

Вот если бы изначально юзеры ходили за терминацией пптп не на IP х.х.х.х, а на доменное имя (например pptp.blablabla.ru), то необходимости в вышеописанных родах ежа не было бы.

[Дегтярев Илья]

на l3 свитче x.x.x.x заменить на x.x.x.(x+4) и включить proxy-arp

x.x.x.x/30 в другом вилане на 72циску, соседний адрес дать свитчу.

[Abram]

Идем на http://tools.cisco.com/ITDIT/CFN/Dispatch?...tStartsWith=All , забиваем: SLB: VPN Server Load Balancing , 7200. Выбираем IOS, тянем, шьем. Нэ? :)

Edited August 5, 2010 by Abram

[Paul Argentoff]

Идем на http://tools.cisco.com/ITDIT/CFN/Dispatch?...tStartsWith=All , забиваем: SLB: VPN Server Load Balancing , 7200. Выбираем IOS, тянем, шьем. Нэ? :)

Нэ. В этих фичесетах на дух нет PPTP, PPPoE, ISG. А мне оно надо все в одной коробке. Увы.

 

Вот если бы изначально юзеры ходили за терминацией пптп не на IP х.х.х.х, а на доменное имя (например pptp.blablabla.ru), то необходимости в вышеописанных родах ежа не было бы.

Угу. При четырех PPTP-серверах? Теоретически да, но мне нужен строго управляемый переброс, поэтому от идеи с буквенным именем сервера пришлось отказаться. На самом деле решение унаследованное, т.ч. в перспективе -- замена всей фермы на один семитонник и увод основной массы клиентуры c pptp долой на ASR. Но пока нужно что-то эдакое на время перехода.

[martin74]

А в чем проблема 4-м серверам одно днс имя назначить? У меня вон 14....