Всем привет.
Вопрос возник такой: настроил НАТ, внутри 192.168.0.0/24, снаружи один адрес 80.х.х.х/30, внутрь пробросил 22 порт на 192.168.0.254. При попытке соединения с 80.х.х.х снаружи, порт пробрасывается, всё тип-то, но когда я пытаючь соединиться с 80.х.х.х с любого адреса из 192.168.0.х, то проброс не происходит. Не подскажете, плз, куда копать.
Спасибо.interface Ethernet0
ip address 80.х.х.х 255.255.255.252
ip nat outside
full-duplex
!
interface FastEthernet0
ip address 192.168.0.1 255.255.255.0
ip nat inside
!
ip nat inside source list NAT-ACC interface Ethernet0 overload
ip nat inside source static tcp 192.168.0.254 22 82.114.104.98 22 extendable no-alias
ip access-list standard NAT-ACC
permit 192.168.0.0 0.0.0.255
deny any
Попробовал вместо
ip nat inside source list NAT-ACC interface Ethernet0 overload
использовать
ip nat pool NAT-POOL 80.х.х.х 80.х.х.х prefix-length 30
ip nat inside source list NAT-ACC pool NAT-POOL overload
та же фигня :(
>Попробовал вместо
>ip nat inside source list NAT-ACC interface Ethernet0 overload
>использовать
>ip nat pool NAT-POOL 80.х.х.х 80.х.х.х prefix-length 30
>ip nat inside source list NAT-ACC pool NAT-POOL overload
>та же фигня :(
а зачем конектиться на внешний адрес изнутри?
как-то неправильно это...
>а зачем конектиться на внешний адрес изнутри?
>как-то неправильно это...
Мне надо настроить коннект к этой машинке 192.168.0.254:22 с ноутбука, который может быть как изнутри сети, так и снаружи.
Заметил вот еще что: при инициализации коннекта в sh ip nat translations не появляется записи об этом коннекте.
А если на машинке 192.168.0.254 прописать secondary адрес 80.x.x.x, а на маршрутизатореint fa 0
ip pol ro fuck
route-map fuck
match ip add 100
set ip next-h 192.168.0.254
access-l 100 perm ip an 80.x.x.x
>А если на машинке 192.168.0.254 прописать secondary адрес 80.x.x.x, а на маршрутизаторе
А зачем secondary прописывать?
>
>int fa 0
>ip pol ro fuck
>route-map fuck
>match ip add 100
>set ip next-h 192.168.0.254
>access-l 100 perm ip an 80.x.x.x
Если настроить роут-мап, то исходящий пакет на 80.х.х.х пойдет через циску на 192.168.0.254, а ответ вернется через Ethernet напрямую. Так будет работать?
>А зачем secondary прописывать?Чтобы работало...
>>А зачем secondary прописывать?
>
>Чтобы работало...
А с какой маской?
255.255.255.255
>255.255.255.255Сейчас попробую, а средствами ната это не решается?
>>255.255.255.255
>
>Сейчас попробую, а средствами ната это не решается?
решается.
запись статического ната с route-map`ом.
>>255.255.255.255
>
>Сейчас попробую, а средствами ната это не решается?
Не работает :(
#sh route-map fuck
route-map fuck, permit, sequence 10
Match clauses:
ip address (access-lists): 100
Set clauses:
ip next-hop 192.168.0.254
Policy routing matches: 0 packets, 0 bytes
#sh ip access-lists 100
Extended IP access list 100
10 permit ip 192.168.0.0 0.0.0.255 host 82.114.104.98
>>>255.255.255.255
>>
>>Сейчас попробую, а средствами ната это не решается?
>Не работает :(
>#sh route-map fuck
>route-map fuck, permit, sequence 10
> Match clauses:
> ip address (access-lists): 100
> Set clauses:
> ip next-hop 192.168.0.254
> Policy routing matches: 0 packets, 0 bytes
>#sh ip access-lists 100
>Extended IP access list 100
> 10 permit ip 192.168.0.0 0.0.0.255 host 82.114.104.98
конфиг?
>конфиг?
interface Ethernet0
ip address 80.x.x.x 255.255.255.252
ip nat outside
full-duplex
!
interface FastEthernet0
ip address 192.168.0.1 255.255.255.0
ip nat inside
ip policy route-map fuck
speed auto
!
ip nat inside source list NAT-ACC interface Ethernet0 overload
ip nat inside source static tcp 192.168.0.254 22 82.114.104.98 22 extendable no-alias
access-list 100 permit ip 192.168.0.0 0.0.0.255 host 80.x.x.x
route-map fuck permit 10
match ip address 100
set ip next-hop 192.168.0.254
!
>>конфиг?
>interface Ethernet0
> ip address 80.x.x.x 255.255.255.252
> ip nat outside
> full-duplex
>!
>interface FastEthernet0
> ip address 192.168.0.1 255.255.255.0
> ip nat inside
> ip policy route-map fuck
> speed auto
>!
>ip nat inside source list NAT-ACC interface Ethernet0 overload
>ip nat inside source static tcp 192.168.0.254 22 82.114.104.98 22 extendable no-alias
>
>access-list 100 permit ip 192.168.0.0 0.0.0.255 host 80.x.x.x
>route-map fuck permit 10
> match ip address 100
> set ip next-hop 192.168.0.254
^^^^^^^^^^^^^^^ тут нет ошибки? некст-хоп - удаленный хост а не лупбэк?
>!и имелось в виду немного другое
ip nat inside source static tcp 192.168.0.254 22 82.114.104.98 22 route-map <NAME>но прежде чем сделать эту трансляцию уберите полиси-роутинг.
и еще раз вопрос - почему месье хочет странного?
проблема с DNS? зачем такой мягко-говоря не совсем стандартное решение?
>В acl должны матчиться пакеты, идущие на 82.114.104.98.
To sh_: Издержки конспирации. матчится то что надо :)
>> set ip next-hop 192.168.0.254
>
> ^^^^^^^^^^^^^^^ тут нет ошибки?
>некст-хоп - удаленный хост а не лупбэк?
>>!
Это по совету предидущего оратора :) надо локальный лупбэк?
>
>и имелось в виду немного другое
>
>
>ip nat inside source static tcp 192.168.0.254 22 82.114.104.98 22 route-map <NAME>
>
>но прежде чем сделать эту трансляцию уберите полиси-роутинг.
Ща сделаем.
>
>и еще раз вопрос - почему месье хочет странного?
>проблема с DNS? зачем такой мягко-говоря не совсем стандартное решение?
Мсье хочет жаренную курицу. :) А вообще схема такова: есть SMTP/POP3 сервер mail.chto-to.ru по адресу 192.168.0.254. на него пробрасывается с 82.114.104.98 25 порт. Есть ноут, который бывает как внутри сетки так и с наружи. На нем в качестве SMTP/POP3 прописано mail.chto-to.ru(82.114.104.98) Так вот снаружи все работает просто супер, изнутри когда у ноута адрес 192.168.0.10 (например) нифига к серверу не коннектится. Если есть какие-то другие решения этой проблемы -- буду благодарен.
>>В acl должны матчиться пакеты, идущие на 82.114.104.98.
>To sh_: Издержки конспирации. матчится то что надо :)
>>> set ip next-hop 192.168.0.254
>>
>> ^^^^^^^^^^^^^^^ тут нет ошибки?
>>некст-хоп - удаленный хост а не лупбэк?
>>>!
>Это по совету предидущего оратора :) надо локальный лупбэк?
эм. обычно в полиси роутинге прописывается лупбэк (в подобных задачах)
хотя поищите на циске NAT Order of Operation
и подумайте будет ли оно работать...>>и имелось в виду немного другое
>>
>>
>>ip nat inside source static tcp 192.168.0.254 22 82.114.104.98 22 route-map <NAME>
>>
>>но прежде чем сделать эту трансляцию уберите полиси-роутинг.
>Ща сделаем.
>>
>>и еще раз вопрос - почему месье хочет странного?
>>проблема с DNS? зачем такой мягко-говоря не совсем стандартное решение?
>Мсье хочет жаренную курицу. :) А вообще схема такова: есть SMTP/POP3 сервер
>mail.chto-to.ru по адресу 192.168.0.254. на него пробрасывается с 82.114.104.98 25 порт.
>Есть ноут, который бывает как внутри сетки так и с наружи.
>На нем в качестве SMTP/POP3 прописано mail.chto-to.ru(82.114.104.98) Так вот снаружи все
>работает просто супер, изнутри когда у ноута адрес 192.168.0.10 (например) нифига
>к серверу не коннектится. Если есть какие-то другие решения этой проблемы
>-- буду благодарен.
дык есть конечно. недавно в форуме пробегала тема про разные зоны (или не зоны, не помню) для ДНС - для локальных пользователей выдается одни IP
для внешних - другие... соответственно прописываете не IP а днс-имя и ваша проблема должна решиться.
>[оверквотинг удален]
>>
>>и еще раз вопрос - почему месье хочет странного?
>>проблема с DNS? зачем такой мягко-говоря не совсем стандартное решение?
> Мсье хочет жаренную курицу. :) А вообще схема такова: есть SMTP/POP3 сервер
> mail.chto-to.ru по адресу 192.168.0.254. на него пробрасывается с 82.114.104.98 25 порт.
> Есть ноут, который бывает как внутри сетки так и с наружи.
> На нем в качестве SMTP/POP3 прописано mail.chto-to.ru(82.114.104.98) Так вот снаружи все
> работает просто супер, изнутри когда у ноута адрес 192.168.0.10 (например) нифига
> к серверу не коннектится. Если есть какие-то другие решения этой проблемы
> -- буду благодарен.На ноуте в hosts пропиши одно имя в две строки с двумя разными ip один внешний один внутренний и будет радость.
>[оверквотинг удален]
>>>проблема с DNS? зачем такой мягко-говоря не совсем стандартное решение?
>> Мсье хочет жаренную курицу. :) А вообще схема такова: есть SMTP/POP3 сервер
>> mail.chto-to.ru по адресу 192.168.0.254. на него пробрасывается с 82.114.104.98 25 порт.
>> Есть ноут, который бывает как внутри сетки так и с наружи.
>> На нем в качестве SMTP/POP3 прописано mail.chto-to.ru(82.114.104.98) Так вот снаружи все
>> работает просто супер, изнутри когда у ноута адрес 192.168.0.10 (например) нифига
>> к серверу не коннектится. Если есть какие-то другие решения этой проблемы
>> -- буду благодарен.
> На ноуте в hosts пропиши одно имя в две строки с двумя
> разными ip один внешний один внутренний и будет радость.Вопрос построю так:
Есть сайт в интернете, на котором идёт трансляция видео из моей локальной сети. Если я из своей же сети обращаюсь туда, то флэш говорит мне - видео брать с такого вот адреса (а это мой внешний адрес). Разумеется, видео я не вижу, потому что обращаюсь изнутри на свой внешний адрес. Как тут быть?
В acl должны матчиться пакеты, идущие на 82.114.104.98.
Не надо маяться дурью. Правильно пишут - надо использовать возможности DNS вместо того, чтобы мучить роутер (особенно когда клиент и так использует fqdn для общения с сервером).Данная схема применялась неоднократно и показала себя вполне работоспособной.
Существует два DNS сервера. Один из них находится во внешнем периметре (например, зона размещена у провайдера), а второй – в локальной сети. Оба сервера содержат зону «domain.com». Так как у регистратора будет указан IP только «внешнего» DNS, никаких проблем с обновлением зоны не будет.
DHCP сервер локальной сети в качестве nameserver передает клиенту адрес «внутреннего DNS» в результате чего, находясь в LAN, при обращении к mail.domain.com он попадает на 192.168.0.254. Находясь же вне периметра локальной сети, при обращении к mail.domain.com, клиент попадает на 82.114.104.98.Всё.
==============================================
Конфигурация «внешнего DNS»
@ IN SOA ns1.domain.com. noc.ns1.domain.com. (
2006051001 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS ns1.domain.com.
IN MX 10 mail.domain.com.@ A 82.114.104.98
ns1 A 82.114.104.98
mail CNAME ns1.domain.com.===============================================
Конфигурация «внутреннего DNS»
@ IN SOA ns1.domain.com. noc.ns1.domain.com. (
2006051001 ; Serial
3600 ; Refresh
900 ; Retry
3600000 ; Expire
3600 ) ; Minimum
IN NS ns1.domain.com.
IN MX 10 mail.domain.com.@ A 192.168.0.254
ns1 A 192.168.0.254
mail CNAME ns1.domain.com.
>Не надо маяться дурью. Правильно пишут - надо использовать возможности DNS вместо
>того, чтобы мучить роутер (особенно когда клиент и так использует fqdn
>для общения с сервером).
>
>Данная схема применялась неоднократно и показала себя вполне работоспособной.
>
>Существует два DNS сервера. Один из них находится во внешнем периметре (например,
>зона размещена у провайдера), а второй – в локальной сети. Оба
>сервера содержат зону «domain.com». Так как у регистратора будет указан IP
>только «внешнего» DNS, никаких проблем с обновлением зоны не будет.
>DHCP сервер локальной сети в качестве nameserver передает клиенту адрес «внутреннего DNS»
>в результате чего, находясь в LAN, при обращении к mail.domain.com он
>попадает на 192.168.0.254. Находясь же вне периметра локальной сети, при обращении
>к mail.domain.com, клиент попадает на 82.114.104.98.
>
>Всё.
Если есть bind9 проще view.
>>Не надо маяться дурью. Правильно пишут - надо использовать возможности DNS вместо
>>того, чтобы мучить роутер (особенно когда клиент и так использует fqdn
>>для общения с сервером).
>>
>>Данная схема применялась неоднократно и показала себя вполне работоспособной.
>>
>>Существует два DNS сервера. Один из них находится во внешнем периметре (например,
>>зона размещена у провайдера), а второй – в локальной сети. Оба
>>сервера содержат зону «domain.com». Так как у регистратора будет указан IP
>>только «внешнего» DNS, никаких проблем с обновлением зоны не будет.
>>DHCP сервер локальной сети в качестве nameserver передает клиенту адрес «внутреннего DNS»
>>в результате чего, находясь в LAN, при обращении к mail.domain.com он
>>попадает на 192.168.0.254. Находясь же вне периметра локальной сети, при обращении
>>к mail.domain.com, клиент попадает на 82.114.104.98.
>>
А если нет желания ставить внутри дополнительный ДНС-сервер , то можно его запустить на самом маршрутизаторе. Примерно так:ip dns server
ip domain name test.local
ip host vm-pdc.test.local 192.168.0.150
ip host vm-termserver.test.local 192.168.0.160
ip host www.test.ru 192.168.0.252
ip host gate.test.ru 192.168.0.90
ip host mail.test.ru 192.168.0.253
ip name-server 192.168.0.150
ip name-server 217.195.66.253
ip name-server 217.195.65.9Сначала lookup в hosts, далее запрос днс-серверов по порядку.
P.S. тоже долго мучился с policy-routing, оказалось что проще так сделать.
У вас получилось решить этот вопрос без использования DNS?
> У вас получилось решить этот вопрос без использования DNS?Присоединяюсь к вопросу!