Настройка ESR-20

Сегодня я хочу поделиться опытом настройки сервисного маршрутизатора ESR-20 - универсальный сервисный маршрутизатор, разработанный с учетом требований предприятий энергетической и нефтегазовой отраслей. Устройства поддерживают расширенные функции L3, VPN и Firewall. Это довольно универсальное устройство, которое в том числе можно применять в качестве межсетевого экрана.

Недавно я помогал настраивать этот маршрутизатор и в процессе столкнулся с особенностями, о которых и хочу рассказать.

ESR-20 поставляется с предустановленной конфигурацией. Как правило от провайдера интернет раздается по DHCP и пользователю достаточно вставить кабель в ПК или ноутбук и тогда, IP адрес будет назначен автоматически и интернет заработает.

К сожалению у меня нет самого устройства, чтобы провести над ним серию опытов, но судя по конфигурации, по умолчанию, достаточно включить кабель от провайдера в первый порт, а в любой другой ПК или ноутбук и интернет должен тут же заработать.

Но, иногда, схема сети сложнее и приходится перенастраивать маршрутизатор по себя.

Например, у нас есть такая схема сети:

Нам нужно настроить ESR-20 таким образом, чтобы интернет был на всех устройствах и WIFI. В принципе ничего очень сложного, но давайте посмотрим на конфигурацию по-умолчанию:

 Нажмите чтобы раскрыть
Нажмите чтобы закрыть

object-group service ssh
  port-range 22
exit
object-group service dhcp_server
  port-range 67
exit
object-group service dhcp_client
  port-range 68
exit
object-group service ntp
  port-range 123
exit

syslog max-files 3
syslog file-size 512
syslog file tmpsys:syslog/default info

username admin
  password encrypted $6$Tjp541DO843j0W5s$khnv8OOsXtA3/Qo3WK/5HKefBM5n6olEuBGuXA9e5FEL8rlWKf/V9bM8JGTYeLll0A27PK9UHCeEPfrn61.f5/
exit


boot host auto-config
vlan 2
exit

security zone trusted
exit
security zone untrusted
exit

bridge 1
  vlan 1
  security-zone trusted
  ip address 192.168.1.1/24
  enable
exit
bridge 2
  vlan 2
  security-zone untrusted
  ip address dhcp
  enable
exit

interface gigabitethernet 1/0/1
  mode switchport
  switchport access vlan 2
exit
interface gigabitethernet 1/0/2
  mode switchport
exit
interface gigabitethernet 1/0/3
  mode switchport
exit
interface gigabitethernet 1/0/4
  mode switchport
exit
security zone-pair trusted untrusted
  rule 1
    action permit
    enable
  exit
exit
security zone-pair trusted trusted
  rule 1
    action permit
    enable
  exit
exit
security zone-pair trusted self
  rule 10
    action permit
    match protocol tcp
    match destination-port ssh
    enable
  exit
  rule 20
    action permit
    match protocol icmp
    enable
  exit
  rule 30
    action permit
    match protocol udp
    match source-port dhcp_client
    match destination-port dhcp_server
    enable
  exit
  rule 40
    action permit
    match protocol udp
    match destination-port ntp
    enable
  exit
exit
security zone-pair untrusted self
  rule 1
    action permit
    match protocol udp
    match source-port dhcp_server
    match destination-port dhcp_client
    enable
  exit
exit

security passwords default-expired

nat source
  ruleset factory
    to zone untrusted
    rule 10
      description "replace 'source ip' by outgoing interface ip address"
      action source-nat interface
      enable
    exit
  exit
exit

ip dhcp-server
ip dhcp-server pool lan-pool
  network 192.168.1.0/24
  address-range 192.168.1.2-192.168.1.254
  default-router 192.168.1.1
exit

ip ssh server

ntp enable
ntp broadcast-client enable