Сегодня я хочу поделиться опытом настройки сервисного маршрутизатора ESR-20 - универсальный сервисный маршрутизатор, разработанный с учетом требований предприятий энергетической и нефтегазовой отраслей. Устройства поддерживают расширенные функции L3, VPN и Firewall. Это довольно универсальное устройство, которое в том числе можно применять в качестве межсетевого экрана.

Недавно я помогал настраивать этот маршрутизатор и в процессе столкнулся с особенностями, о которых и хочу рассказать.

ESR-20 поставляется с предустановленной конфигурацией. Как правило от провайдера интернет раздается по DHCP и пользователю достаточно вставить кабель в ПК или ноутбук и тогда, IP адрес будет назначен автоматически и интернет заработает.

К сожалению у меня нет самого устройства, чтобы провести над ним серию опытов, но судя по конфигурации, по умолчанию, достаточно включить кабель от провайдера в первый порт, а в любой другой ПК или ноутбук и интернет должен тут же заработать.

Но, иногда, схема сети сложнее и приходится перенастраивать маршрутизатор по себя.

Например, у нас есть такая схема сети:

Нам нужно настроить ESR-20 таким образом, чтобы интернет был на всех устройствах и WIFI. В принципе ничего очень сложного, но давайте посмотрим на конфигурацию по-умолчанию:

Нажмите чтобы раскрыть

Нажмите чтобы закрыть


object-group service ssh port-range 22 exit object-group service dhcp_server port-range 67 exit object-group service dhcp_client port-range 68 exit object-group service ntp port-range 123 exit syslog max-files 3 syslog file-size 512 syslog file tmpsys:syslog/default info username admin password encrypted $6$Tjp541DO843j0W5s$khnv8OOsXtA3/Qo3WK/5HKefBM5n6olEuBGuXA9e5FEL8rlWKf/V9bM8JGTYeLll0A27PK9UHCeEPfrn61.f5/ exit boot host auto-config vlan 2 exit security zone trusted exit security zone untrusted exit bridge 1 vlan 1 security-zone trusted ip address 192.168.1.1/24 enable exit bridge 2 vlan 2 security-zone untrusted ip address dhcp enable exit interface gigabitethernet 1/0/1 mode switchport switchport access vlan 2 exit interface gigabitethernet 1/0/2 mode switchport exit interface gigabitethernet 1/0/3 mode switchport exit interface gigabitethernet 1/0/4 mode switchport exit security zone-pair trusted untrusted rule 1 action permit enable exit exit security zone-pair trusted trusted rule 1 action permit enable exit exit security zone-pair trusted self rule 10 action permit match protocol tcp match destination-port ssh enable exit rule 20 action permit match protocol icmp enable exit rule 30 action permit match protocol udp match source-port dhcp_client match destination-port dhcp_server enable exit rule 40 action permit match protocol udp match destination-port ntp enable exit exit security zone-pair untrusted self rule 1 action permit match protocol udp match source-port dhcp_server match destination-port dhcp_client enable exit exit security passwords default-expired nat source ruleset factory to zone untrusted rule 10 description "replace 'source ip' by outgoing interface ip address" action source-nat interface enable exit exit exit ip dhcp-server ip dhcp-server pool lan-pool network 192.168.1.0/24 address-range 192.168.1.2-192.168.1.254 default-router 192.168.1.1 exit ip ssh server ntp enable ntp broadcast-client enable

Как мы видим у нас есть DHCP сервер настроенный на раздачу ip-адресов, что нам совсем не нужно. Так же все порты работают в режиме mode switchport, а нам нужно перевести их в режим mode routerport.

Еще одной проблемой может быть отсутствие кабеля для присоединения к консоли устройства, так что управлять устройством мы сможем только по SSH.

Предварительная настройка

Итак приступим к настройке, но перед этим припишем на ПК или ноутбуке, с которого будет управлять ESR-20 ip-адреса:

192.168.1.2/24
10.100.0.1/24

Первый нам нужен для подключения к маршрутизатору, а второй для переподключения после настройки нового порта.

Подключим кабель во второй порт и попробуем зайти на него по SSH по-адресу:

192.168.1.1

После входа в консоль управления переходим в режим конфигурирования:

configure

Теперь давайте настроим устройство:

1. Сначала переведем порт 4 в режим routerport и назначим ему ip-адрес.

interface gigabitethernet 1/0/4 
   mode routerport 
   ip address 10.100.0.254/24 
   security-zone trusted 
   enable 
exit

Теперь осталось сохранить конфигурацию

do commit

Теперь надо быстро переключить кабель в 4 порт и попробовать зайти на устройство по новому адресу, учтите у вас будет 10 минут до сброса временных настроек:

10.100.0.254

Настройка устройства

После входа по новому адресу, пришло время избавиться от всего ненужного, но сначала сохраним конфигурацию:

do confirm

Удаляем всё ненужное:

no bridge 2
no bridge 1

interface gigabitethernet 1/0/1 
   switchport access vlan 1
exit

no ip dhcp-server

do commit
do confirm

И прописываем новые настройки для первого порта

interface gigabitethernet 1/0/1
    security-zone untrusted 
    mode routerport 
    ip address dhcp 
exit
do commit

Подключаем кабель от провайдера в первый порт и проверяем наличие интернета на устройстве:

do ping 8.8.8.8

Если на ESR-20 интернет есть то можно проверить на ноутбуке. Но сперва не забудьте указать шлюз по-умолчанию 10.100.0.254 и DNS

77.88.8.8
77.88.8.1

или

8.8.8.8

Проверяем интернет на ноутбуке.

Если интернет есть, то не забываем сохранить конфиг:

do confirm

Аналогично, как 4 порт, можно настроить порт 2, для точки доступа WIFI.

Заключение

Вот и всё, теперь устройством можно пользоваться. Это частный случай, так как для домашнего использования вполне хватит и конфигурации по-умолчанию.