Сегодня я хочу поделиться опытом настройки сервисного маршрутизатора ESR-20 - универсальный сервисный маршрутизатор, разработанный с учетом требований предприятий энергетической и нефтегазовой отраслей. Устройства поддерживают расширенные функции L3, VPN и Firewall. Это довольно универсальное устройство, которое в том числе можно применять в качестве межсетевого экрана.
Недавно я помогал настраивать этот маршрутизатор и в процессе столкнулся с особенностями, о которых и хочу рассказать.
ESR-20 поставляется с предустановленной конфигурацией. Как правило от провайдера интернет раздается по DHCP и пользователю достаточно вставить кабель в ПК или ноутбук и тогда, IP адрес будет назначен автоматически и интернет заработает.
К сожалению у меня нет самого устройства, чтобы провести над ним серию опытов, но судя по конфигурации, по умолчанию, достаточно включить кабель от провайдера в первый порт, а в любой другой ПК или ноутбук и интернет должен тут же заработать.
Но, иногда, схема сети сложнее и приходится перенастраивать маршрутизатор по себя.
Например, у нас есть такая схема сети:

Нам нужно настроить ESR-20 таким образом, чтобы интернет был на всех устройствах и WIFI. В принципе ничего очень сложного, но давайте посмотрим на конфигурацию по-умолчанию:
Нажмите чтобы раскрыть
Нажмите чтобы закрыть
object-group service ssh
port-range 22
exit
object-group service dhcp_server
port-range 67
exit
object-group service dhcp_client
port-range 68
exit
object-group service ntp
port-range 123
exit
syslog max-files 3
syslog file-size 512
syslog file tmpsys:syslog/default info
username admin
password encrypted $6$Tjp541DO843j0W5s$khnv8OOsXtA3/Qo3WK/5HKefBM5n6olEuBGuXA9e5FEL8rlWKf/V9bM8JGTYeLll0A27PK9UHCeEPfrn61.f5/
exit
boot host auto-config
vlan 2
exit
security zone trusted
exit
security zone untrusted
exit
bridge 1
vlan 1
security-zone trusted
ip address 192.168.1.1/24
enable
exit
bridge 2
vlan 2
security-zone untrusted
ip address dhcp
enable
exit
interface gigabitethernet 1/0/1
mode switchport
switchport access vlan 2
exit
interface gigabitethernet 1/0/2
mode switchport
exit
interface gigabitethernet 1/0/3
mode switchport
exit
interface gigabitethernet 1/0/4
mode switchport
exit
security zone-pair trusted untrusted
rule 1
action permit
enable
exit
exit
security zone-pair trusted trusted
rule 1
action permit
enable
exit
exit
security zone-pair trusted self
rule 10
action permit
match protocol tcp
match destination-port ssh
enable
exit
rule 20
action permit
match protocol icmp
enable
exit
rule 30
action permit
match protocol udp
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
rule 40
action permit
match protocol udp
match destination-port ntp
enable
exit
exit
security zone-pair untrusted self
rule 1
action permit
match protocol udp
match source-port dhcp_server
match destination-port dhcp_client
enable
exit
exit
security passwords default-expired
nat source
ruleset factory
to zone untrusted
rule 10
description "replace 'source ip' by outgoing interface ip address"
action source-nat interface
enable
exit
exit
exit
ip dhcp-server
ip dhcp-server pool lan-pool
network 192.168.1.0/24
address-range 192.168.1.2-192.168.1.254
default-router 192.168.1.1
exit
ip ssh server
ntp enable
ntp broadcast-client enable
Как мы видим у нас есть DHCP сервер настроенный на раздачу ip-адресов, что нам совсем не нужно. Так же все порты работают в режиме mode switchport, а нам нужно перевести их в режим mode routerport.
Еще одной проблемой может быть отсутствие кабеля для присоединения к консоли устройства, так что управлять устройством мы сможем только по SSH.
Предварительная настройка
Итак приступим к настройке, но перед этим припишем на ПК или ноутбуке, с которого будет управлять ESR-20 ip-адреса:
192.168.1.2/24
10.100.0.1/24
Первый нам нужен для подключения к маршрутизатору, а второй для переподключения после настройки нового порта.
Подключим кабель во второй порт и попробуем зайти на него по SSH по-адресу:
192.168.1.1
После входа в консоль управления переходим в режим конфигурирования:
configure
Теперь давайте настроим устройство:
1. Сначала переведем порт 4 в режим routerport и назначим ему ip-адрес.
interface gigabitethernet 1/0/4
mode routerport
ip address 10.100.0.254/24
security-zone trusted
enable
exit
Теперь осталось сохранить конфигурацию
do commit
Теперь надо быстро переключить кабель в 4 порт и попробовать зайти на устройство по новому адресу, учтите у вас будет 10 минут до сброса временных настроек:
10.100.0.254
Настройка устройства
После входа по новому адресу, пришло время избавиться от всего ненужного, но сначала сохраним конфигурацию:
do confirm
Удаляем всё ненужное:
no bridge 2
no bridge 1
interface gigabitethernet 1/0/1
switchport access vlan 1
exit
no ip dhcp-server
do commit
do confirm
И прописываем новые настройки для первого порта
interface gigabitethernet 1/0/1
security-zone untrusted
mode routerport
ip address dhcp
exit
do commit
Подключаем кабель от провайдера в первый порт и проверяем наличие интернета на устройстве:
do ping 8.8.8.8
Если на ESR-20 интернет есть то можно проверить на ноутбуке. Но сперва не забудьте указать шлюз по-умолчанию 10.100.0.254 и DNS
77.88.8.8
77.88.8.1
или
8.8.8.8
Проверяем интернет на ноутбуке.
Если интернет есть, то не забываем сохранить конфиг:
do confirm
Аналогично, как 4 порт, можно настроить порт 2, для точки доступа WIFI.
Заключение
Вот и всё, теперь устройством можно пользоваться. Это частный случай, так как для домашнего использования вполне хватит и конфигурации по-умолчанию.