Как правильно настроить GRE Тунель?

Question

[Иван]

Всем привет.

Подскажите, как верно донастроить GRE туннель.
Мысли путаться начали.
Надо чтобы туннель соединял только два сервера (Asterisk).
Сейчас он соединяет полностью две сети.

Менять могу только настройки Москвы, Питер не в моей компетенции.
Надо чтобы сервер с IP 192.1.10.10 мог видеть сервер с IP 168.1.20.20 и более ничего.

Исходные:

IP Москва - X.X.X.X
IP Питер - Y.Y.Y.Y

Tunnel Москва - 10.20.1.1 255.255.255.252
Tunnel Питер - 10.20.1.2 255.255.255.252

Сеть Москва - 192.1.0.0/16
Сеть Питер - 168.1.0.0/16

Настройка Москва

interface Tunnel0
ip address 10.20.1.1 255.255.255.252
shutdown
tunnel source X.X.X.X
tunnel destination Y.Y.Y.Y

ip route 168.1.0.0 255.255.0.0 10.20.1.2

Спасибо за помощь

Answer 1

[pr0l]

так вы ip route 168.1.0.0 255.255.0.0 10.20.1.2 у вас маска 16 на всю подсеть. Укажите явно
ip route 168.1.20.20 255.255.255.255 10.20.1.2

Comments

[Иван]

Это решит вопрос доступа из Москвы в сеть Питера.
А как решить вопрос доступа из Питера к сети Москвы ?

[pr0l]

Иван: Если у вас GRE настроен то дальше "Питер не в моей компетенции"
А по факту используйте RIP для маршрутизации прям с микротика.

[Иван]

То есть Питер пока не сделает "настройки у себя", они так и смогут иметь доступ к сети Москвы, удаленно их граничить никак ?
Не хочется им RIP, в том и дело _))

[pr0l]

Иван: фарволом можешь ограничить. А так да, это уже настройки с их стороны.

[Иван]

Если фаером делать, то так ?

Создаем лист:
access-list 100 permit tcp 192.1.10.10
deny tcp any any

Цепляем лист к туннелю:
Router(config-if)#ip access-group access-list 100 in

[Иван]

permit ip host "IP Asterisk SPB" host "IP Asterisk MSK"
deny ip any any

[pr0l]

Иван: Иван: chain=forward action=drop dst-address=!192.1.10.10 out-interface=GRE in-interface=Local

[Иван]

pr0l: это вы уже настройки Asterisk прислали ? Я к сожалению не большой его знаток и только поддерживаю _)) Мне быстрее Циску перестроить _))

[pr0l]

Иван: это для микротика, чтоб с gre тунеля дальше вашего Asterisk не могли попасть