前几年由于RouterOS的bug实在太多，我一怒之下把它们都换成了Cisco ISR1000和CSR1000v。换了以后我一直很怀念RouterOS的MAC Winbox、MAC Telnet的功能：无需console线，找个端口网线捅上去，打开Winbox就能自动发现，点击连接就能开始配置了。这个功能只需要二层通，所以甭管IP配没配，只要端口没关，路由器上没有奇怪的交换芯片ACL，这个功能总是可以用。虽然新路由器都逐渐配备了USB串口，并且我一直都随身带串口线，但是这个只需要网线就能配置的功能我还是很想要。
于是今天在互联网上闲逛的时候我发现，其实Cisco路由器（IOS和IOS XE）确实支持一个二层的远程终端功能。而且这个协议还不是什么新东西，它在八十年代就被设计出来了，IOS也是老早就有了支持，甚至很长一段时间以来它还是默认启用的。直至最新的IOS XE 17.2，这个协议仍然能用！
公司总部网关CCR1009上有固定公网IP地址。有一办公室网关需要通过隧道访问公司总部内网资源。办公室网关的互联网连接经过运营商设备的动态NAT（PAT），网关上只能分到内网IP，并且互联网出口IP会不定期变化。
2020-06更新：现在在不同路由表之间本地导入导出不一定需要启动MPBGP。在VRF里面设置route-replication也可以达到相同的效果。
首先要配置BGP（但是可以没有Peer）。要确保待导入的表在BGP的RIB里面；如果不在的话需要redistribute到BGP进程里。然后用route-map导入。示例：
|
1 2 3 4 5 6 7 8 9 10 11 12 |
! 除默认路由外 ip prefix-list NO_DEFAULT_ROUTE seq 5 deny 0.0.0.0/0 ip prefix-list NO_DEFAULT_ROUTE seq 10 permit 0.0.0.0/0 le 32 route-map GLOBAL_TO_PROXY_VRF permit 10 match ip address prefix-list NO_DEFAULT_ROUTE ip vrf PROXY rd 100:100 import ipv4 unicast 65535 map GLOBAL_TO_PROXY_VRF route-target export 100:100 route-target import 100:100 |
配置里的65535是导入数量上限，默认只有不到1000条，完全不够用。配置完成以后可能需要等几分钟才能看到效果，因为VRF之间路由泄露完全靠BGP进程来实现，BGP进程刷新还是挺慢的。
注意这样导入以后，如果路由上没有next hop interface信息，那么这条路由是无效的。所以要么手工设置一下recursive路由到interface上：
|
1 2 |
ip route vrf PROXY 192.0.2.100 255.255.255.255 Dialer1 10 ip route vrf PROXY 192.0.2.200 255.255.255.255 Dialer0 10 |
要么把connected路由也redistribute进VRF。（注意如果你有BGP peer尤其是隧道里面的peer的话，要记得filter掉这些路由。）
拉了两条不同运营商的宽带，想要有效利用两条线路的带宽，但是这时候单纯的负载均衡体验并不好，因为随机分配的出口并不一定速度最快。BGP全球路由表里正好有我们需要的信息——每个IP到哪个运营商距离最近（某种意义来说，速度也应当最快）。那么怎么利用它来优化网络的体验呢？
如果开了http server，需要改一下端口，它和AnyConnect不能开在同一个端口上，否则二者都不能正常使用。
|
1 |
ip http secure-port 8443 |