Подключаемся к консоле CISCO:

1. входим в раздел администрирования: conf t

2. Войдите в режим конфигурации списка доступа под именем ADMIN-MGT и добавьте запись deny any в конец ACL-списка.

cisco(config)# ip access-list standard ADMIN-MGT 
cisco(config-std-nacl)#

3. добавьте доступ к устройству для определенного IP либо подсети

cisco(config-std-nacl)# permit host 192.168.77.77
( Доступ с IP 192.168.77.77 )

cisco(config-std-nacl)# permit 192.168.77.10 0.0.0.10
( Доступ с диапазона IP 192.168.77.10- 192.168.77.20 )

Создание запрещающей записи не требуется, поскольку в конце любого ACL-списка имеется косвенная запись deny any.

Теперь, когда вы создали именованный список ACL, примените его на каналах vty.

cisco(config)# line vty 0 4 
cisco(config-line)# access-class ADMIN-MGT in 
cisco(config-line)# exit

проверяем доступ к устройству с IP вне указаного диапазона, если все верно — сохраняем конфигурацию
copy running-config startup-config

R1(config-std-nacl)# exit

Имеется сеть: Основной Mikrotik (l2tp сервер+доступ в интернет) и Mikrotik в роли L3 коммутатора, необходимо сделать резерв l2tp сервера.

1. Настраиваем резервый Mikrotik под L2TP аналогично основному используя уникальные IP для PPP-Secrets, MTU на несколько значений выше и те же route

2. Со стороны клиента добавляет второе подключение L2TP (Interfaces — Add — L2TP Client)

IP — Route добавляем второй L2TP сервер.
со шлюзом на резервный L2TP сервер и большой
distance c комментом reserv

Для основного канала ставим коммент main

Переходим в Tools — Netwatch и добавляем правило блокировки второго канала в случае доступности основного:
IP — IP для l2tp канала данного офиса с основного Mikrotik

Если канал доступен:

/ip route set [find comment=»vpn-main»] disabled=no

/ip route set [find comment=»vpn-resern»] disabled=yes

Если канал недоступен то:

/ip route set [find comment=»vpn-main»] disabled=yes
/ip route set [find comment=»vpn-reserv»] disabled=no

3. На L3 Mikrotik дублируем route для l2tp подключений с указанием резервного шлюза с distance на 1 больше основного:

4. Добавляем автоматическое переключение шлюзов. Переходим в Tools — Netwatch и добавляем правило:

Где 10.20.20.30 IP адрес который пингуем для определения доступен ни канал (в моем случае это IP который получает клиент в качестве Pref.Source IP от основного Mukrotik)
Интервал 5 секунд, обычно достаточно 1 минуты.

UP: в случае доступности IP отключаем резерв и активируем основной канал:
/ip route set [find comment=»main-l2tp-user1″] disabled=no
/ip route set [find comment=»reserve-l2tp-user1″] disabled=yes

DOWN: в случае отсутствия пинга к IP отключаем основной канал и активируем резервный канал:
/ip route set [find comment=»main-l2tp-user1″] disabled=yes
/ip route set [find comment=»reserve-l2tp-user1″] disabled=no