IPSec шлюз и прочие тонкости ASUS SL1200

Шифрованные туннели используются повсеместно. Чаще всего, на наш взгляд, они применяются для безопасного соединения удалённых офисов компании через небезопасные сети (site-to-site). Ещё одним примером их использования может служить удалённый доступ сотрудника к внутреннем ресурсам сети компании (remote access). В обоих случаях IPSec не является последним выбором. В этой же статье хотелось бы на примере двух маршрутизаторов ASUS SL1200 разобрать более редкое использование туннелей IPSec, - когда весь трафик какого-либо офиса или филиала передаётся через VPN. Может родиться законный вопрос: зачем же вообще такое нужно, когда может пригодиться такая конструкция? За примерами далеко ходить не надо: интернет-трафик большого количества мелких филиалов эффективнее проверять на вирусы централизованно, установив в штаб-квартире мощный антивирусный сервер. Такая схема получила общее название «hub and spoke».

Доступ в интернет через альтернативный шлюз, расположенный в сети какого-либо провайдера, - является вторым примером использования разбираемой схемы. Предположим, Ваш друг имеет два подключения к различным провайдерам, Вы же подключены только к одному из них. Так для доступа в интернет через второго провайдера Вам и потребуется установить VPN между узлами в Вашей сети и сети друга. Короче, мы уверены, что желающие и без нашей помощи найдут применение тому, о чём собираемся рассказать. Начнём с того, что мы принципиально не стали рассматривать схемы с прокси-серверами и VPN-концентраторами, а собираемся реализовать всё на двух равноправных маршрутизаторах.

Если использовать именно ASUS SL1200 в качестве устройств, на которых терминируется туннель, то мы настоятельно бы рекомендовали читателю обновить версию прошивки маршрутизатора хотя бы до версии 1.15, в которой сняты некоторые ограничения на подсети, присутствовавшие в предыдущих версиях микропрограммного обеспечения. Как обойти эти ограничения с предыдущими версиями прошивки, мы расскажем ближе к концу статьи. Также необходимо заметить, что использовать AES не получится, так как его поддержка отсутствует в маршрутизаторе не смотря даже на заявленную поддержку DES, 3DES и AES на коробке SL1200.

Условимся в локальной сети с одним подключением использовать адреса из подсети 192.168.0.0/24. Для локального сегмента с подключениями к двум провайдерам выбрана подсеть 192.168.1.0/24. 192.168.0.1 и 192.168.1.1 – IP-адреса LAN-интерфейсов соответствующих маршрутизаторов. Во втором сегменте для второго маршрутизатора выбран адрес 192.168.1.2, поэтому на первом роутере нужно прописать соответствующий маршрут по умолчанию через него. Ниже представлена схема разбираемого примера.

Настройки маршрутизаторов на работу с конкретными провайдерами мы считаем здесь малоинтересными, поэтому опускаем. Перейдём сразу же к конфигурированию туннеля на левом маршрутизаторе и сделаем это так, как показано ниже. Здесь важным моментом является то, что в качестве удалённой группы выбрано All, то есть весь трафик может шифроваться этим туннелем. Правда, конечный выбор данных для шифрования производится с помощью правил брандмауэра, о которых речь пойдёт ниже.

Для второго конца туннеля конфигурация должна быть симметричной.

Теперь необходимо сконфигурировать исходящие и входящие правила брандмауэра так, чтобы они отбирали необходимый для туннеля трафик. Вообще входящие и исходящие правила должны быть симметричными, а то, как сконфигурирован правый маршрутизатор, должно быть зеркальным отображением того, что указано на левом, поэтому мы покажем только, как настроен левый роутер.

Маршрутизация на правом роутере – это единственное, что осталось настроить. Для рассматриваемого простого примера требуется лишь прописать маршрут на правом конце туннеля на сеть 0.0.0.0/0 через устройство с IP-адресом 192.168.1.2.

Теперь для доступа в интернет всем данным левой подсети придётся быть переданными через туннель в правую подсеть. Типичное конфигурирование на этом завершается.

Однако не все описанные выше действия могут быть выполнены успешно. Так, например, в версиях прошивки до 1.15 существует ошибка веб-интерфейса, не позволяющая администраторам использовать определённые маски подсети при конфигурировании Local Secure Group и Remote Secure Group. Так, например, нельзя использовать маску 255.254.0.0. Если администратору необходимо использовать именно такую маску, то можно выбрать один из двух вариантов: либо вручную отредактировать файл настроек туннеля, либо обновить прошивку. У каждого из предложенных вариантов есть свои тонкие места, о которых мы расскажем далее.

Процедура ручного корректирования состоит из нескольких простых шагов. Сначала необходимо создать туннель с теми масками, которые допустимы, а затем войти на SL1200 через telnet. После ввода логина и пароля (может быть admin/admin) необходимо перейти в привилегированный режим с помощью команды enable, а затем перейти в командную оболочку операционной системы с помощью вызова shell. Далее нужно перейти в каталог /configs/acc2/ipsec, где размещён файл tunnel.conf.

login: admin

Password:

SL1200> en

SL1200# sh

SL1200# Command Not Found:

SL1200# sh<-- Error: Ambiguous command

SL1200# sheprompt> pwd

/

prompt> ls

backup boot core etc lib proc sbin usr voip

bin configs dev http mnt ramfs tmp var wireless

prompt> cd configs/

prompt> ls

CVS acl_tr.db log.conf resolv.conf sysinfo.db url_filter_msg.htm

TZ dhcpd.conf log.db rip.db sysinfo.db~ usr.local.etc

acc2 firmwaretm.db messages.buf ripd.conf syssetup.db usr.local.share.snmp

acl.db fixed_dhcp.db proxyarp.db routetable.db syssrv.db var

acl.xml if.db resolv-eth0.0 shadow timeout.db zebra.conf

acl_srv.db lblink.conf resolv-eth0.1 snmp.db timerange.db

prompt> cd acc2/

prompt> ls

dhcpd_status.conf global.mess.conf networking.net.conf syslogd.conf

global.daemon.conf ipsec snmp.conf system_srv_status.conf

global.main.conf networking.dev.conf sntp_status.conf

prompt> cd ipsec/

prompt> ls

dynamic.conf.test status.conf tunnel.conf

prompt>

Для удобства редактирования выгрузим этот файл на FTP-сервер.

prompt> ftp

ftp> open 192.168.0.2

Connected to 192.168.0.2.

220 ftpsrv Microsoft FTP Service (Version 5.0).

Name (192.168.0.2:root): user

331 Password required for user.

Password:

230 User user logged in.

Remote system type is Windows_NT.

ftp> binary

200 Type set to I.

ftp> passive

Passive mode on.

ftp> put tunnel.conf

local: tunnel.conf remote: tunnel.conf

227 Entering Passive Mode (192,168,0,2,14,146).

125 Data connection already open; Transfer starting.

226 Transfer complete.

904 bytes sent in 0 secs (904 Kbytes/sec)

ftp> bye

221

prompt>

Отредактировать файл (изменить в нём маски подсети) можно в любом текстовом редакторе, после чего аналогичным образом необходимо его скачать с FTP-сервера в SL1200 (с помощью команды get), выйти из встроенного FTP-клиента, закрыть командную оболочку, а также сохранить все сделанные ранее настройки и перезагрузить маршрутизатор.

ftp> get tunnel.conf

local: tunnel.conf remote: tunnel.conf

227 Entering Passive Mode (192,168,0,2,15,254).

125 Data connection already open; Transfer starting.

226 Transfer complete.

907 bytes received in 0 secs (907 Kbytes/sec)

ftp> bye

221

prompt> exit

SL1200# sa

Wait for save to finish...

Saving Configuration

SL1200# reloProceed with reloading the system ? [y/n]:

После перезагрузки в веб-интерфейсе будут присутствовать корректные настройки создаваемого туннеля, однако при их изменении вновь будет отображено сообщение об использовании недопустимой маски. Это означает, что ограничение накладываются только в процессе редактирования параметров туннеля через веб-интерфейс.

Вторым способом является обновление прошивки хотя бы до версии 1.15. Этот способ более простой, однако и в нём есть свои подводные камни. Смена пароля доступа к SL1200 через веб-интерфейс не меняет его для входа через telnet. Отсюда следует, что даже при использовании сложного пароля для веб-интерфейса на доступ через telnet всё равно будет подходить admin/admin, а это означает, что изменением пароля для telnet-сессий нужно озаботиться дополнительно. Конечно, можно совсем закрыть доступ к порту TCP-23, что производится в пункте меню Firewall-Advanced-Self Access, но более правильным, на наш взгляд, решением является изменение этого административного пароля с помощью вызова passwd в режиме командной строки встроенной операционной системы. Причём данная утилита выдаст предупреждение в том случае, когда вводится слишком простой пароль.

login: admin

Password:

SL1200> ena

SL1200# sheprompt> passwd

Changing password for root

Enter the new password (minimum of 5, maximum of 8 characters)

Please use a combination of upper and lower case letters and numbers.

Enter new password:

Bad password: too simple.

Warning: weak password (continuing).

Re-enter new password:

Password changed.

prompt> exit

SL1200#

Менять пароль на вход через telnet необходимо в принципе, но также нужно помнить, что смена прошивки приводит к возвращению стандартной пары admin/admin, поэтому необходимо менять пароль и после каждого обновления микропрограммного обеспечения. Что можно сделать через telnet, надеемся, читателю объяснять не нужно. Но самое любопытное, что доступно из командной строки, - пароль на веб-интерфейс SL1200. Если пароль менялся, то в каталоге /configs можно обнаружить файл webuser.db, который и содержит в открытом виде пароль на веб-интерфейс. Да, парольная защита здесь на должном уровне…

prompt> pwd

/configs

prompt> ls

CVS acl_tr.db log.conf resolv.conf sysinfo.db url_filter_msg.htm

TZ dhcpd.conf log.db rip.db sysinfo.db~ usr.local.etc

acc2 firmwaretm.db messages.buf ripd.conf syssetup.db usr.local.share.snmp

acl.db fixed_dhcp.db proxyarp.db routetable.db syssrv.db var

acl.xml if.db resolv-eth0.0 shadow timeout.db webuser.db

acl_srv.db lblink.conf resolv-eth0.1 snmp.db timerange.db zebra.conf

prompt> cat webuser.db

admin passwd newpass

guest passwd guest

prompt>

На этом мы завершаем краткий обзор полезных мелочей ASUS SL1200 и надеемся, что приведённые в статье материалы помогут пользователям данного устройства лучше разобраться в возможностях, которыми богата вся серия маршрутизаторов Internet Secure Router.

Виртуальные локальные сети в Windows

Использование виртуальных локальных сетей (VLAN) обычно неразрывно связано в нашем сознании с управляемыми коммутаторами и подынтерфейсами маршрутизаторов. Однако это не совсем так. Проброс тегированных кадров непосредственно до серверов может оказаться приемлемым решением в некоторых специфичных ситуациях. Что это за ситуации, а также когда допустим транк до сервера, - читатель, мы уверены, решит для себя сам, - в этой же статье даётся краткое описание того, как этот механизм можно реализовать.

Итак, для реализации задуманного требуется наличие двух вещей: управляемый коммутатор с поддержкой 802.1q и сетевая карта, драйвера которой поддерживают аналогичную технологию. Сразу хотелось бы отметить, что коммутаторы, поддерживающие только ISL, нам не подходят в данном случае, так как рассматриваемый пример работает исключительно с метками 802.1p/802.1q. Конфигурировать сервер будем с операционной системой Microsoft Windows.

Современные драйверы для сетевых плат компании Marvell позволяют обеспечить поддержку VLAN и агрегации. На персональный компьютер была установлена операционная система Windows XP x64 Professional SP2 Eng для демонстрации простоты рассматриваемого решения, на которую были установлены последние доступные на сайте производителя драйверы вместе с утилитой управления (Network Control Utility for Aggregation and VLANs in x86 & x64 XP, Server 2003, Vista, Server 2008) для сетевой карты Marvell Yukon 88E8001/8003/8010 PCI Gigabit Ethernet Controller. Именно этот компьютер мы будем далее называть тестовым сервером.

В настройках сетевого адаптера появляется несколько новых вкладок, из которых нас будет интересовать VLAN. В область Existing VLANs необходимо добавить номера тех виртуальных сетей, работа с которыми планируется. Мы добавили две виртуальных сети (2 и 3).

После такого действия в «Сетевых подключениях» появляются две дополнительных сетевых карты (по штуке на VLAN). В той, что является основной, необходимо оставить лишь один работающий протокол Marvell VLAN Protocol.

В свойствах сетевых адаптеров остальных подключений нужно перейти на вкладку Advanced и лишний раз удостовериться, что им соответствует конкретный номер виртуальной сети.

Теперь осталось раздать IP-адреса обоим виртуальным сетевым картам вручную или же с помощью DHCP (на данном этапе конфигурирования адрес ещё не будет получаться, так как ещё не поднялся транк), а также сконфигурировать остальные сетевые параметры. В нашем случае все настройки были произведены вручную.

C:\>ipconfig /all

Windows IP Configuration

Host Name . . . . . . . . . . . . : FOX

Primary Dns Suffix . . . . . . . :

Node Type . . . . . . . . . . . . : Unknown

IP Routing Enabled. . . . . . . . : Yes

WINS Proxy Enabled. . . . . . . . : No

Ethernet adapter Local:

Connection-specific DNS Suffix . :

Description . . . . . . . . . . . : VLAN 3: Marvell Yukon 88E8001/8003/8010 PCI Gigabit Ethernet Controller

Physical Address. . . . . . . . . : 00-1B-FC-E1-E2-FF

DHCP Enabled. . . . . . . . . . . : No

IP Address. . . . . . . . . . . . : 192.168.0.1

Subnet Mask . . . . . . . . . . . : 255.255.255.0

Default Gateway . . . . . . . . . :

Ethernet adapter Inet:

Connection-specific DNS Suffix . :

Description . . . . . . . . . . . : VLAN 2: Marvell Yukon 88E8001/8003/8010 PCI Gigabit Ethernet Controller

Physical Address. . . . . . . . . : 00-1B-FC-E1-E2-FF

DHCP Enabled. . . . . . . . . . . : No

IP Address. . . . . . . . . . . . : 192.168.1.2

Subnet Mask . . . . . . . . . . . : 255.255.255.0

Default Gateway . . . . . . . . . : 192.168.1.1

DNS Servers . . . . . . . . . . . : 192.168.1.1

Одним из применений такой схемы может являться сервер, доступный напрямую из нескольких VLAN, то есть только через устройства второго уровня модели OSI. Не менее интересным применением рассматриваемой схемы может являться такая настройка сервера, чтобы он занимался маршрутизацией и трансляциями (NAT/PAT). Сконфигурируем тестовый стенд, позволяющий ноутбуку выходить в глобальную сеть через стационарный компьютер с использованием ICS (Internet Connection Sharing). Как конфигурируется ICS на Windows XP можно прочитать здесь. Аналогичная конфигурация была проведена на рассматриваемом сервере.

Теперь требуется произвести некоторые настройки на коммутаторе, к которому подключены все устройства. В нашем распоряжении был Cisco Catalyst WS-C2960G-24TC-L, информация об IOS которого представлена ниже. Некоторая несущественная информация была опущена.

WS-C2960G-24TC-L#sho ver

Cisco IOS Software, C2960 Software (C2960-LANBASEK9-M), Version 12.2(46)SE, RELEASE SOFTWARE (fc2)

Copyright (c) 1986-2008 by Cisco Systems, Inc.

Compiled Thu 21-Aug-08 15:59 by nachen

Image text-base: 0x00003000, data-base: 0x01200000

ROM: Bootstrap program is C2960 boot loader

BOOTLDR: C2960 Boot Loader (C2960-HBOOT-M) Version 12.2(25r)SEE1, RELEASE SOFTWARE (fc1)

WS-C2960G-24TC-L uptime is 32 minutes

System returned to ROM by power-on

System image file is "flash:c2960-lanbasek9-mz.122-46.SE.bin"

cisco WS-C2960G-24TC-L (PowerPC405) processor (revision D0) with 61440K/4088K bytes of memory.

Processor board ID FOC1209U0D2

Last reset from power-on

1 Virtual Ethernet interface

24 Gigabit Ethernet interfaces

The password-recovery mechanism is enabled.

64K bytes of flash-simulated non-volatile configuration memory.

Base ethernet MAC Address : 00:1F:C9:24:13:00

Motherboard assembly number : 73-10015-06

Power supply part number : 341-0098-01

Motherboard serial number : FOC12090HR4

Power supply serial number : AZS120515AU

Model revision number : D0

Motherboard revision number : A0

Model number : WS-C2960G-24TC-L

System serial number : FOC1209U0D2

Top Assembly Part Number : 800-26673-03

Top Assembly Revision Number : B0

Version ID : V03

CLEI Code Number : 453091

Hardware Board Revision Number : 0x01

Switch Ports Model SW Version SW Image

------ ----- ----- ---------- ----------

* 1 24 WS-C2960G-24TC-L 12.2(46)SE C2960-LANBASEK9-M

Configuration register is 0xF

После загрузки коммутатора мы удалили всю имеющуюся конфигурацию и перешли к настройкам с чистого листа. Прежде всего был выбран VTP-режим Transparent, хотя в большой корпоративной сети данный раздел конфигурации может существенно отличаться.

WS-C2960G-24TC-L#sho vtp sta

VTP Version : running VTP1 (VTP2 capable)

Configuration Revision : 0

Maximum VLANs supported locally : 255

Number of existing VLANs : 7

VTP Operating Mode : Transparent

VTP Domain Name :

VTP Pruning Mode : Disabled

VTP V2 Mode : Disabled

VTP Traps Generation : Disabled

MD5 digest : 0x74 0xAD 0xAC 0x6F 0xD1 0x5C 0xBB 0x8B

Configuration last modified by 0.0.0.0 at 0-0-00 00:00:00

После этого были добавлены новые виртуальные сети, в которые перенесли физические порты коммутатора: для выхода в глобальную сеть служит порт Gi0/20, а для обращений к локальной сети выбран Gi0/19. Описание правил конфигурирования коммутаторов Cisco выходит за рамки данной статьи.

WS-C2960G-24TC-L#sho vla bri

VLAN Name Status Ports

---- -------------------------------- --------- -------------------------------

1 default active Gi0/2, Gi0/3, Gi0/4, Gi0/5

Gi0/6, Gi0/7, Gi0/8, Gi0/9

Gi0/10, Gi0/11, Gi0/12, Gi0/13

Gi0/14, Gi0/15, Gi0/16, Gi0/17

Gi0/18, Gi0/21, Gi0/22, Gi0/23

Gi0/24

2 2Inet active Gi0/20

3 2Local active Gi0/19

1002 fddi-default act/unsup

1003 token-ring-default act/unsup

1004 fddinet-default act/unsup

1005 trnet-defaultact/unsup

К порту Gi0/1 подключается транком маршрутизирующий сервер. Итоговая конфигурация задействованных портов представлена ниже.

interface GigabitEthernet0/1

description 2TaggedCompRouter

switchport trunk allowed vlan 2,3

switchport mode trunk

!

interface GigabitEthernet0/2

!

interface GigabitEthernet0/18

!

interface GigabitEthernet0/19

description 2Local

switchport access vlan 3

switchport mode access

!

interface GigabitEthernet0/20

description 2Inet

switchport access vlan 2

switchport mode access

Аналогично конфигурируется и другое L2 оборудование. Пример настройки коммутатора в Linksys RVS4000 представлен ниже.

Вернёмся к нашему тестовому стенду с WS-C2960G-24TC-L и проверим его мостовую таблицу, чтобы убедиться в том, что оба устройства по концам транка понимают сигнализацию друг друга. MAC-адрес 001b.fce1.e2ff виден в обоих VLAN'ах.

WS-C2960G-24TC-L#sho mac add dy

Mac Address Table

-------------------------------------------

Vlan Mac Address Type Ports

---- ----------- -------- -----

2 001b.fce1.e2ff DYNAMIC Gi0/1

2 001c.10f4.c166 DYNAMIC Gi0/20

3 001b.fce1.e2ff DYNAMIC Gi0/1

3 0022.1516.3cbe DYNAMIC Gi0/19

Total Mac Addresses for this criterion: 4

WS-C2960G-24TC-L#

Настроим теперь сеть на тестовом ноутбуке ASUS Eee PC 900 так, как показано ниже, а также подключим его прямым патч-кордом к порту Gi0/19 коммутатора.

Windows IP Configuration

Host Name . . . . . . . . . . . . : fox

Primary Dns Suffix . . . . . . . :

Node Type . . . . . . . . . . . . : Unknown

IP Routing Enabled. . . . . . . . : No

WINS Proxy Enabled. . . . . . . . : No

Ethernet adapter Local Area Connection:

Connection-specific DNS Suffix . :

Description . . . . . . . . . . . : Atheros L2 Fast Ethernet 10/100 Base-T Controller

Physical Address. . . . . . . . . : 00-22-15-16-3C-BE

DHCP Enabled. . . . . . . . . . . : No

IPv4 Address. . . . . . . . . . . : 192.168.0.2

Subnet Mask . . . . . . . . . . . : 255.255.255.0

Default Gateway . . . . . . . . . : 192.168.0.1

DNS Servers . . . . . . . . . . . : 192.168.100.1

Теперь осталось убедиться, что есть выход в интернет с самого сервера, а также проверить, чтобы тестовый ноутбук корректно выходил в глобальную сеть через маршрутизирующий сервер. Часть узлов, через которые проходят данные, скрыты умышленно, читателя не должно это смущать.

Tracing route to www.ru [194.87.0.50]

over a maximum of 30 hops:

1 1 ms 1 ms 1 ms 192.168.1.1

2 * * * Request timed out.

3 * * * Request timed out.

4 * * * Request timed out.

5 * * * Request timed out.

6 19 ms 12 ms 12 ms 83.217.192.169

7 10 ms 11 ms 13 ms 193.232.244.35

8 22 ms 32 ms 15 ms 194.87.0.111

9 10 ms 18 ms 19 ms 194.87.0.50

Trace complete.

Видим, что с сервера доступ к сети интернет есть, запустим трассировку с ноутбука.

Tracing route to www.ru [194.87.0.50]

over a maximum of 30 hops:

1 1 ms <1 мс <1 мс 192.168.0.1

2 1 ms 1 ms 1 ms 192.168.1.1

3 * * * Request timed out.

4 * * * Request timed out.

5 * * * Request timed out.

6 * * * Request timed out.

7 22 ms 17 ms 22 ms 83.217.192.169

8 10 ms 19 ms 20 ms 193.232.244.35

9 19 ms 13 ms 16 ms 194.87.0.111

10 18 ms 13 ms 13 ms 194.87.0.50

Trace complete.

Полученные результаты показывают, что на пути IP-пакетов от ноутбука в глобальную сеть встречается тестовый сервер на первом шаге, что и требовалось получить. Схема прохождения трафика через тестовый стенд представлена ниже. Теперь желающие могут установить на этот программный маршрутизатор, например, программу для учёта пользовательского трафика и сбора статистики, антивирусное программное обеспечение и так далее.

Необходимо обратить внимание, что через транковое соединение в такой схеме будет передаваться вдвое больше данных, так как один и тот же пакет следует сначала к маршрутизирующему серверу, а затем в обратном направлении по одному и тому же физическому линку.

Продемонстрированный метод даёт возможность довести транк непосредственно до серверов, что позволяет сэкономить на ресурсах аппаратных маршрутизаторов, а также портах коммутатора, которые могли бы потребоваться для подключения такого узла.

Получение цифрового голоса через канал E1

Когда ваш телефонный провайдер приводит к вам в офис одну или несколько аналоговых линий, то сразу более-менее понятно, что и как с ними нужно делать. Но если речь заходит о полном потоке E1 или его части, то у большинства администраторов опускаются руки. Хотя всё не так сложно, как кажется на первый взгляд. Опишем всю процедуру создания телефонии в небольшом филиале с использованием оборудования компании Cisco Systems. Сразу бы хотелось бы обратить внимание на то, что здесь речь идёт именно о прямом выходе телефонии малого офиса в PSTN, а не о связи между офисами через сети передачи данных. Создание телефонии в офисе можно условно разделить на два этапа: создание внутренней телефонной сети и связь её с внешним миром. Для того чтобы у нас всё заработало, необходимо обладать маршрутизатором с голосовым и E1 модулями, коммутатором и несколькими IP-телефонами. В нашем распоряжении был маршрутизатор Cisco 2851, основные параметры которого представлены ниже (здесь и далее некоторые строки опущены). Жирным шрифтом выделены важные места, а курсивом – вводимые команды.

Кроме маршрутизатора был использован коммутатор Cisco Catalyst 3560, параметры которого приведены далее.

На столы офисных работников были установлены телефонные аппараты Cisco 7906, 7940 и 7960.

Локальная сеть в офисе будет 192.168.1.0/24, для телефонов будем использовать адреса с 192.168.1.101 по 192.168.1.150. Теперь нам необходимо сконфигурировать DHCP-пул, адреса из которого будут выдаваться телефонным аппаратам. Хотелось бы подчеркнуть, что дополнительные опции (66, 128 и 150) нужны для указания телефонам на IP-адреса голосового шлюза.

Приведённые конфигурационные строки заставят маршрутизатор выдавать все адреса из нашей сети класса C. Чтобы ограничить доступный диапазон, исключим из пула диапазоны адресов 192.168.1.1-192.168.1.100 и 192.168.151-192.168.254 так, как это показано ниже.

Подключим теперь первый телефон к коммутатору к порту FastEthernet0/1. Убедиться в том, что линия поднялась можно либо с помощью соответствующего светового индикатора на передней панели коммутатора, либо из вывода команды sho int fa0/1.

Далее нам необходимо выяснить его MAC-адрес.

Для чего этот адрес канального уровня может потребоваться? Например, для жёсткой привязки MAC-IP в специфических случаях использования DHCP. Самое же важное в MAC-адресе телефона состоит в том, что этот адрес в дальнейшем будет использован при указании физического телефонного аппарата при настройке параметров телефонии. В том случае, когда устройство не может ответить по протоколу CDP, его аппаратный адрес можно выяснить, если просмотреть мостовую таблицу коммутатора командой show mac-address-table.

Теперь займёмся самым важным в этом процессе – сконфигурируем службу telephony-service так, как это показано ниже. С помощью команды max-ephones задаётся максимальное количество поддерживаемых аппаратов IP Phone, которое зависит от используемого оборудования. Вызов max-dn позволяет указать максимальное количество номеров, присваиваемых IP Phone. С помощью ip source-address можно указать IP-адрес и порт голосового шлюза, которым мы, кстати, и являемся. Указываем тайм-аут звонка с командой timeouts ringing. Строка system message отображает некоторое сообщение на экранах телефонных аппаратов. Команды time-zone, time-format, date-format и user-locale позволяют настроить параметры локализации и времени на телефонных аппаратах. С помощью max-conferences указывается максимальное количество возможных конференций. За проигрывание музыки в режиме On Hold отвечает команда moh. Остаётся задать возможность перенаправления звонков с помощью вызовов call-forward, transfer-system и transfer-pattern.

Теперь создадим телефон 7960 с двумя кнопками, чтобы проиллюстрировать ряд возможностей. Указанные ниже действия создают два виртуальных телефона (линии), которые в дальнейшем надо будет связать с физическим телефоном.

Займёмся теперь созданием настроек для самого физического аппарата.

Команды button позволяют привязать созданные ранее виртуальные линии к кнопкам физического аппарата.

Настройку локальной телефонии внутри офиса считаем законченной. Перейдём к рассмотрению самого канала E1. Помимо всего прочего в конфигурации маршрутизатора должна присутствовать строка, указывающая на тип карты контроллера. Так как поток E1 в данном случае приходит на контроллер 0/2/0, то и в типе карты должен быть указан именно такой порт.

Теперь требуется ввести ряд параметров, отвечающих за работу контроллера E1, IDSN и самой голосовой карты.

Следует особое внимание обратить на то, какие тайм-слоты маршрутизатор будет принимать через канал E1. В приведённых командах происходит приём половины потока E1. Ошибочное указание тайм-слотов в потоке приведёт к тому, что входящие звонки (ATC->Cisco) будут происходить нормально, но при исходящих звонках в журнале маршрутизатора будут появляться разнообразные сообщения об ошибках, что объясняется тем, что при исходящих звонках тайм-слоты начинают использоваться с конца.

После указания тайм-слотов в системе будет создано соответствующее им количество подинтерфейсов.

Более подробную информацию о происходящих в системе событиях можно получить, если воспользоваться командой debug. Однако здесь следует соблюдать осторожность, так как размер выводимых командой данных может превысить доступную полосу пропускания или привести к значительному снижению скорости работы устройства.

Отключение отображения всех сообщений debug можно произвести с помощью команды no deb all.

Дополнительную информацию об устранении неисправностей ISDN можно получить из данной статьи.

Считаем, что теперь внешний голосовой канал поднялся, поэтому переходим к вводу команд, отвечающих за перенаправление вызова к АТС. Для того, чтобы перенаправить голосовой поток в поток E1 необходимо ввести следующие команды. Строка dial-peer создаёт голосовую «пару», в соответствии с которой и будет проводиться перенаправление. Указание destination-pattern позволяет задать цифру для выхода из локальной телефонной сети. Чтобы указать тот телефонный номер, который будет определяться у вызываемого абонента, необходимо ввести команду clid network-number. Указание порта выхода во внешний мир производится командой port.

Для полноценного функционирования телефонии необходимо не только производить исходящие звонки, но и принимать входящие, передавая их на определённый IP Phone. Для идентификации того, какая из секций dial-peer должна сработать, служит команда incoming called-number, указывающая вызываемый номер. В данной секции также необходимо указать профиль, согласно которому будет производиться перенаправление входящего звонка на какой-либо локальный телефонный аппарат, что осуществляется командой translation-profile.

Внутри профиля должно быть сконфигурировано некоторое количество правил трансляции.

Также необходимо определить и те правила, которые входят в профиль.

Теперь входящий звонок по вызываемому номеру будет сопоставлен определённому телефонному плану (dial-peer), согласно которому он будет передан на преобразование в профиль трансляции, где и будет выполнено необходимое правило.

Для тестирования телефонных планов может быть использована недокументированная команда csim start phone_number, используемая для эмуляции исходящего вызова на номера E.164.

Подведём итоги: задачу организации телефонной связи в офисе компании можно условно разделить на три составные части, которые приведены ниже.

• Построение телефонной связи внутри офиса.
• Организация исходящих звонков.
• Приём входящих вызовов.

Для добавления дополнительных функций к только что построенной телефонной службе требуется глубокое знание всех аспектов функционирования голосовых вызовов, которое можно почерпнуть из великого множества других источников. Например, можно обратиться к статье. Данное же повествование на этом завершается.