access-list 1 permit 192.168.0.0 0.0.0.255
!
!
route-map NAT_TO_G200
match ip address 1
match interface GigabitEthernet0/0.200
!
!
route-map NAT_TO_G100
match ip address 1
match interface GigabitEthernet0/0.100
!
!
ip nat inside source route-map NAT_TO_G200 interface GigabitEthernet0/0.200 overload
ip nat inside source route-map NAT_TO_G100 interface GigabitEthernet0/0.100 overload

> Добрый день!
> Когда в консоли ввожу правила, то сохраняется только одно, как сделать чтоб
> эти правила сохранились оба ? спасибо!
> т.е. что было:
> ip nat inside source list localpc interface GigabitEthernet0/0.200 overload
> ip nat inside source list localpc interface GigabitEthernet0/0.100 overload

так у Вас ACL один и тот же указан
вот и один и оставаться

победил
вопрос закрыт

А почему рип, он же рип? По делу, трафик от соседа летит? Что в логах?

>[оверквотинг удален]
>            
> 2 2m59s
> А вот на самом роутере, ни один маршрут не получается и не
> прописывается.
> Сдается мне, ч где-то что-то забыл, но не могу понять где и
> что. Пока прописал маршруты руками, но мне нужна динамика.
> Прошу подсказать, где я что забыл, при настройке RIP.
> В общем, другими словами. Прописываю на 4-м роутере все необходимые настройки, для
> анонса и получения маршрутов, то есть подсети снаружи и внутри, но
> маршруты не получаю.

Разобрался господа,
Всем спасибо за участие.
Причина крылась вот в этом правиле файрвола:
11 X  ;;; defconf: drop all not coming from LAN
      chain=input action=drop in-interface-list=!LAN log=no log-prefix=""

Вы сильно путаетесь в показаниях.

это
> Проблема заключается в том, что пинги проходят, а вот остальной трафик нет.

противоречит этому:

> При этом, в удаленной подсети поднять прокси сервер, через который пользователи локальной
> подсети юзают инет и у них все работает.

Либо ВЕСЬ трафик режется кроме пингов, либо режется только один порт.

Что такое 192.168.90.5  из трасерта?

Выполните в локальной сети обращение к 3389 порту удаленной сети и посмотрите на шлюзах был ли пакет туда и обратный.

Гдето на каком-то участке он потеряется...там и проблема

>[оверквотинг удален]
> log=no log-prefix=""
> 14 X  chain=forward action=jump jump-target=block-ddos connection-state=new log=no log-prefix=""
> 15 X  chain=block-ddos action=return dst-limit=60,60,src-and-dst-addresses/10s log=no
> log-prefix=""
> 16 X  chain=block-ddos action=add-dst-to-address-list address-list=ddosed address-list-timeout=10m
> log=no log-prefix=""
> 17 X  chain=block-ddos action=add-dst-to-address-list address-list=ddosed address-list-timeout=10m
> log=no log-prefix=""
> 18    chain=input action=drop protocol=tcp in-interface=ether1-INSIS dst-port=23 log=no
> log-prefix=""

Господа. Всем спасибо за участие. Ваши комментарии помогли мне найти причину такого поведения роутера.
Причиной было правило, про добавление которого  я забыл. Директору срочно нужно было организовать РДП-доступ до его компа в офисе, а я на телефоне только и особо не настроишь ничего. было принято решение, сделать правило прообраза порта 3389 на его комп, но учитывая что делалось все в второпях, будучи за рулем да еще и с телефона, в правиле не был прописан входящий интерфейс и даже адрес источника. Следовательно, все запросы, приходящие на все интерфейсы на 3389 порт, были завернуты на комп директора, который выключен.

Всем еще раз спасибо.

ip cef может быть?

> Здравствуйте, кто-нибудь прикручивал php-скрипты для поиска в теоефоной книге xml?
> Хочется сделать поиск по книге в cisco ip communicator

А загрузки статического файла уже добился?

Memory leak, либо просто память закончилась.

Например забита сообщениями logging для которых админ не ограничил объем хранения.

sh vtp status - на обоих что показывает ?

Схема:

https://c.radikal.ru/c43/1809/5a/7a650f71a673.png

> Два свича 9300 и 2960L-24TC соединены между собой по оптике через SFP.
> На 25 порту(SFP) 2960L:
> interface GigabitEthernet0/25
>  switchport trunk allowed vlan 1,2,250
>  switchport mode trunk
> Через некоторое время у 2960L  виснет дефолтный Vlan1 и IP который
> висит на Vlan1 не доступен.
> Через консоль 2960L не доступна тоже.
> Хотя компы и т.д., которые подключены к ней во Vlan1 работают нормально.
> В чем может быть причина?

На 2960:
sh inv
sh ver

> Здравствуйте, поделитесь у кого есть gui для cucme 12.0

https://www.dropbox.com/s/83cyhb2slosiizn/CME-COMPLETE-FILES...

через полчасика пробуй
условия те-же

ну и ты хотелки свои уже оптом выдавай :)

> регистрируется много бэдов,
> помогает перезагрузка моего роутера

горелый порт, пачкорд обжатый "специалистом",перебитый пачкорд,  криво настроенное устройство.

>предположительно, из-за

бреда

>[оверквотинг удален]
> обновления и патчи стоят), чаще не помогает, но если вытащить провод
> и вставить через пять минут помогает безупречно. На кабель грешить не
> приходится, коннектор переобжат. Сетевики прова разводят руками на их оборудовании ограничений
> нет, но регистрируется много бэдов, предположительно, из-за атак типа fake source
> routing. На том же самом моем роутере поднял второй WAN на
> G4-живет без проблем, но он влетает в копеечку.
> вопрос: какие есть варианты решения проблемы, кроме поиска и наказания неадекватов? Что
> за проблема может такая быть у кульхацкеров, что решается только пятиминутным
> нарушением физического контакта с моей стороны? Может ли быть это ограничение
> на размер кэша/дампа?

Какая-то словесная каша. Непонятно что вкладывается в слова: "неадекваты", "кульхацкеры", "сетевеки провайдера". Это одни и те-же лица? Если разные, то как между вами и оператором могжет быть кто-то еще?
На linksys ошибки на сетевом интерфейсе регистрируются?
Если качать большой объем, но ограничить скорость или больщой объем маленьких файлов, канал падает?

> Провайдер, допустим севастопольский Севстар, выдает динамический адрес. При этом он периодически
> меняет адрес шлюза! Каждый раз руками прописывать шлюх надоело. Что делать?

Менять невменяемого провайдера на нормального

> Что прописать?

Как адрес-то выдается? Какое подключение к прову? VPN? PPPoE?
Телепаты, как обычно, в отпусках....

>[оверквотинг удален]
>  ip nat outside
>  ip virtual-reassembly
>  duplex auto
>  speed auto
> !
> !
> ip forward-protocol nd
> ip route 0.0.0.0 0.0.0.0 100.65.240.1
> !
> Подскажите, пожалуйста, я в тупик попал :(

conf t
no ip route 0.0.0.0 0.0.0.0 100.65.240.1
ip route 0.0.0.0 0.0.0.0 dhcp
end
copy run start

нет

> свою раздачу адресов в своей локальной сетке
> (что бы у клиентов этой точки не было выхода в основную
> сеть), но с выходом в Инет и БЕЗ дополнительных настроек как
> коммутатора, к которому подключена сабж, так и внешнего роутера?

Если будет отдельная подсеть, то кто ее будет НАТить и роутить?

у УЦ Микротест есть курсы по маршрутизации, посмотрите там, может будут полезные, которые смогут попочь с вашим вопросом

> Настроил Site-to-Site VPN

Изначально пошел неверной дорогой.

Используй тунели. С тунелями и роутинг поднимается полноценный и зоны настраиваются на них отдельно.

!
crypto isakmp key blah-blah address x.x.x.x
!
crypto isakmp policy 1
 encr aes
 authentication pre-share
 group 2
!
crypto ipsec transform-set TS esp-aes
!
crypto ipsec profile PROF
 set transform-set TS
!
!
interface tunnel1
 ...
 tunnel destination x.x.x.
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile NHRP
!

>[оверквотинг удален]
>  router-id 172.25.3.3
>  redistribute static subnets metric 50
>  network 172.19.97.0 0.0.0.15 area 1
>  network 172.25.3.3 0.0.0.0 area 1
> !
> результат тот же, при обрыве канала на R2 роутеры R3 и R4
> не могут между собой договориться, при этом в дебаге OSPF отображается
> заданные мной при редистрибуции метрики для каждого из роутеров.
> Использование route-map для задания метрик приводит к аналогичному результату.
> Можно ли заставить работать указанную схему с тремя каналами?

Думаю можно,
metric-type 1 укажите OSPF-у, что бы он учитывал не только метрику редистрибуции, но  и цену "доставки".
Ну и правильно и расписать бэндвиз, чтоб таблицы у рутеров "сошлись"

> Здравствуйте на роутере 2951 поднят СМЕ 12.0
> ПОльзователи регистрируются по sip, звонят друг другу и во внешку через sip
> trunk. Но вот при постановке на удержание тишина у всех, настройки
> такие (стандартные)
> telephony-service
>  moh enable-g711 "flash0:music-on-hold.au"
>  multicast moh 239.23.4.10 port 2000
> файл лежит на флешке flash0
>   326  -rw-      496521  
>  Nov 8 2016 16:57:24 +04:00  music-on-hold.au

А сеть на мультик настроена?

https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucme/ad...

[quote]
Multicast MOH is not supported on SIP Phones.
[/quote]

> На замену пришла -ISR 4451.
> Влан добавить не могу. Команд нет.

Виланы могут быть только для свичевой платы. Собственные интерфейсы - routed.

show inventory

> Не могу найти в инете сведений, что этот коммутатор WS-C2960X-24TD-L вообще поддерживает
> iSCSI.
> Беру примеры настройки iscsi и не нахожу ни одной из этих команд
> у себя на коммутаторе ( ios C2960X-UNIVERSALK9-M), Version 15.2(2)E6)
> Если все же оно поддерживается, посоветуйте какие оптические модули купить? СХД HPE
> MSA 1040 2Prt 10G iSCSI DC SFF Strg (E7W04A)

iSCSI работает поверх IP. Коммутатор до уровня iSCSI не поднимается.
Максисимум поддержка Jumbo Frame для меньшего оверхеда.

> Не могу найти в инете сведений, что этот коммутатор WS-C2960X-24TD-L вообще поддерживает
> iSCSI.
> Беру примеры настройки iscsi и не нахожу ни одной из этих команд
> у себя на коммутаторе ( ios C2960X-UNIVERSALK9-M), Version 15.2(2)E6)
> Если все же оно поддерживается, посоветуйте какие оптические модули купить? СХД HPE
> MSA 1040 2Prt 10G iSCSI DC SFF Strg (E7W04A)

А про поддержку Одноклассников, Вконтакте, SIP, WarCraft и Battlefield в спеках коммутаторов должны писать? :)
iSCSI это SCSI поверх IP, ему фиолетово что там за коммутатор. Ну общем смысле, понятно. Конечно для максимальной производительности ищут коммутаторы с поддержкой JumboFrame, с низкой задержкой и т.п.

Спасибо,разобрался) Надо добавить правило НАТ.А вот куда копать по поводу того что не резолвятся dns имена компов?

> Здравствуйте.
> Есть старенькая cisco 1760, долгое время все работало корректно, некоторое время появилась
> следующая проблема - после сброса питания загружается с первого только до
> rommon. Если в rommon написать reset загрузится и будет работать корректно
> до очередного отключения электричества. Проблема решаема?

Для начала батарейку попробовать на плате заменить.

> Проблема решаема?

UPS ?

> Выявил место проблемы по графикам observium: на внутреннем интерфейсе роутера начинают
> копиться input errors прямо пропорционально трафику через него, если начинают качать/отдавать
> под 60Мбит/с, то на внутреннем интерфейсе, идущего к пользователям лавинообразно растут
> input errors, делал debug ip error detail, не вижу ошибок на
> консоли. Если трафик 60-80Мбит/с, то применять SPAN тяжело, будет куча мусора.
> Может еще какие-то дебаги помогут?
> В сети обычно говорят, что input errors чаще всего связаны с физическими
> проблемами в проводе, порту eth. Но я думаю это не тот
> случай.

Должны быть где-то типы ошибок:
Runt? CRC? Collision? giant?

> Выявил место проблемы по графикам observium: на внутреннем интерфейсе роутера начинают
> копиться input errors прямо пропорционально трафику через него, если начинают качать/отдавать
> под 60Мбит/с, то на внутреннем интерфейсе, идущего к пользователям лавинообразно растут
> input errors, делал debug ip error detail, не вижу ошибок на
> консоли. Если трафик 60-80Мбит/с, то применять SPAN тяжело, будет куча мусора.
> Может еще какие-то дебаги помогут?
> В сети обычно говорят, что input errors чаще всего связаны с физическими
> проблемами в проводе, порту eth. Но я думаю это не тот
> случай.

Поиграйтесь с MTU (он же jumbe frame)//////

> Выявил место проблемы по графикам observium: на внутреннем интерфейсе роутера начинают
> копиться input errors прямо пропорционально трафику через него, если начинают качать/отдавать
> под 60Мбит/с, то на внутреннем интерфейсе, идущего к пользователям лавинообразно растут
> input errors, делал debug ip error detail, не вижу ошибок на
> консоли. Если трафик 60-80Мбит/с, то применять SPAN тяжело, будет куча мусора.
> Может еще какие-то дебаги помогут?
> В сети обычно говорят, что input errors чаще всего связаны с физическими
> проблемами в проводе, порту eth. Но я думаю это не тот
> случай.

sh buffers

>[оверквотинг удален]
> Получается с коммутатора пакеты не проходят, а с компьютера проходят.
> Прошу помочь и подсказать, может что то не дописал? Возможно есть другие
> решения данной задачи?
> Core6509#sh ip access-lists education
> Extended IP access list education
> 10 permit ip 192.168.46.0 0.0.0.255 192.168.46.0 0.0.0.255 (5 matches)
> 20 permit ip 192.168.40.0 0.0.0.255 192.168.46.0 0.0.0.255
> 30 permit ip 192.168.43.0 0.0.0.255 192.168.46.0 0.0.0.255 (10 matches)
> 50 deny ip any any (28 matches)
> Заранее спасибо.

А не пробовали пинговать хосты за маршрутизатором? Routing срабатывает до проверки ACL на выходе из интерфейса. А попав на control-plane с адресатом этому control-plane оно и будет им обработано. В ACL оно не попадет никак.
Поищите в интернете "порядок обработки пакетов на Cisco", откиньте ненужные ipsec/encrypt/decrypt/nat и останется ваша схема чистой маршрутизации с input/output ACL.

Да и вешать один и тот-же ACL на вход и выход на одном интерфесе - это отвратительное решение.

Да так и будет. Почему уже выше написали.
Для полной изоляции лучше использовать vrf.

870я серия на барахолках занедорого. 877 так и с встроенным adsl2+.

> Добрый день,
> Подскажите, какую модельку от Циско можно приобрести для домашнего интернета по технологии
> телефон/ADSL.
> Вот к примеру Cisco 1801 там есть порт v.92 - он подойдет?
> Хотелось бы компактную модель с малым энергопотреблением, сеть примерно такая -
> маршрутизатор-свич-автономныеAP все одного производителя.

v.92 это dial-up, не ADSL.
Если смотреть 1800 серию на ADSL, то 1841 с модулем HWIC-1ADSL
Можете посмотреть из EoS - Cisco 887 (можно с суффикосом VA).
Свежие - Cisco 897VA тоже с ADSL, но уже с 1Gb свичем.
Подробные даташиты здесь: https://www.cisco.com/c/en/us/support/routers/887va-integrat...
Если на линии с ADSL есть сигнализация - нужно будет выбирать Annex B модель.

Спасибо,
один вопрос ещё, роутеры с заявленной технологией ADSL2/2+ будут ли поддерживать ADSL, или надо в спецификациях по модели смотреть?

> Добрый день,
> Подскажите, какую модельку от Циско можно приобрести для домашнего интернета

никакую
циске дома делать нечего
за вменяемые деньги купите только динозавра, который 10 мегабит с трудом вытащит

если хочется для изучения купить, купите отдельно, а на инет поставьте что нибудь современное для дома

> Маршрутизатор (C3825-ADVIPSERVICESK9-M), Version 15.1(4)M12a
> Два интерфейса gi0/0 и gi0/1 заняты транками на другое оборудование, их лучше
> не трогать.
> Есть еще 4 порта на модуле  HWIC-4ESW , они L2.
> Как из них сделать порт маршрутизатора?
> создать VLAN, дать ему ip, порту назначить этот vlan? прокатит так?

А проверить? Или это попытка переложить ответственность на интернет сообщество?
В конце-концов почитать сайт производителя на эту тему или погуглить.

> Есть еще 4 порта на модуле  HWIC-4ESW , они L2.
> Как из них сделать порт маршрутизатора?

В общем случае никак. Это switchport которому нужен SVI.

> создать VLAN, дать ему ip, порту назначить этот vlan? прокатит так?

Да.

>[оверквотинг удален]
> У 1-го поставил приоритет 15 , у второго 10.
> Соединяю их CAB-STACK и наблюдаю следующую ситуацию, оба коммутатора при загрузке пытаются
> стать Master, но при этом, после загрузке ws-c3750x-24p не поднимает порты.
> Удаленно доступен только ws-c3750v2-48ps, но в конфигах нет нигде данных от
> ws-c3750x-24p.
> У кого есть опыт объедения таких коммутаторв в Stack? В чем может
> быть проблема?
> В понедельник буду пробовать еще раз объединить и буду смотреть каждый из
> коммутаторов консольником.
> p.s. Однородные коммутаторы объединял в Stack много раз.

У вас на железках разные версии IOS. 15.0(2)SE и 15.0(2)SE4. Миграция IOS с между X и V2 невозможна. Синхронизируйте версии ИОС и пытайтесь взлететь. Только при обновлении (если оно будет), придется разбирать стек и обновлять устройчсва по одному.

> Подскажите пожалуйста из за чего могут быть такие проблемы при рисовании графиков
> портов 1-10G в МРТГ?Причем некоторые порты рисует правильно некоторые провально.  
> В логах ошибок нет SNMPv3. Спасибо
> http://transfiles.ru/y0o1g -ссылка на рисунки графиков примеры...

В использовании 32 битных OID.
На скоростных портах необходимо использовать 64bit SNMP Interface Counters

> Доброго времени суток.. Подскажите пожалуйста из за чего могут быть такие проблемы?
> В МРТГ и первой и второй версии графики с моментами без
> причин резко падают и через обновления опять нормально рисуют... В логах
> ничего нету да и в логах оборудований тоже чисто... Может кто
> столкнулся с  этим?

У меня и у многих других работает нормально. Учитывая, что второе значение графика у вас рисует нормально, без провалов, делаем вывод, что коллектор значений, в целом, отрабатывает. Могу предложить заменить временно скрипт коллектора, чтобы сбрасывать значения в доп.файл для последующего анализа. Чем собираете данные? Счётчик в фаерволе или snmp? Если второе, то картина немного (самым краешком) напоминает проблему 32/64-счётчиков. посмотрите в ту сторону для возможного решения.

> Доброго времени суток.. Подскажите пожалуйста из за чего могут быть такие проблемы?
> В МРТГ и первой и второй версии графики с моментами без
> причин резко падают и через обновления опять нормально рисуют... В логах
> ничего нету да и в логах оборудований тоже чисто... Может кто
> столкнулся с  этим? рисунок по ссылке: https://ru.files.fm/u/23x3vheg#/

а может он правильно рисует? может там действительно все так падает?

про-дублируйте другими средствами, посмотрите что реально происходит

voice service voip
sip
  bind all  source-interface GiX/X

https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/voice/sip/...

>[оверквотинг удален]
> [ CORE-1 ]<-----[ коммутатор Lv2 VLAN28 ]------>[CORE-2]
> [ CORE-1 ]<-----[ коммутатор Lv2 VLAN29 ]------>[CORE-2]
> [ CORE-1 ]<-----[ коммутатор Lv2 VLAN30 ]------>[CORE-2]
> ##############################################
> Сейчас все работает. Если CORE-1 отключается по питанию то, все юзверя переключаются
> на резервный и все прекрасно.
> Не знаю как настроить треки, что-бы если хотя-бы один линк отключается из
> VLAN 28,29,30 снизить priority коммутатора CORE-1 группы 5 и трафик переключать
> на CORE-2. т.е. при отключении хотя-бы одного линка добиться переключения всего
> трафика на CORE-2 понижением priority, подскажите идеи?

Свяжите Core-1 и Core-2 прямым линком и поднимите OSPF/EIGRP/BGP.
Зря что-ли во всех гайдах уровень Core представляет собой Full Mesh.