URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 18239
[ Назад ]
Исходное сообщение
"Ip default-network"
Отправлено momo , 13-Фев-09 17:07 
Пытаюсь прокинуть дефолтовый маршрут из центра на филиал. Маршрут по умолчанию появляется в филиале в sh ip route, но трафик в центр адресованных в инет, не идет.

Центр

p inspect name IPFW dns
ip inspect name IPFW http
ip inspect name IPFW tcp
ip inspect name IPFW udp
ip inspect name IPFW icmp
ip inspect name IPFW ftp

crypto map vpn 10 ipsec-isakmp
set peer 10.10.3.254
set transform-set temp
match address Center_to_Filial

interface Tunnel0
ip address 172.17.1.1 255.255.255.0
ip tcp adjust-mss 1460
tunnel source Vlan4
tunnel destination 10.10.3.254
!
!
interface FastEthernet0/0
description Local
ip address 192.168.10.1 255.255.255.0
ip access-group FUCK in
ip nat inside
ip virtual-reassembly
duplex auto
speed auto


ip default-network 192.168.10.0
ip route 0.0.0.0 0.0.0.0 1.1.1.1
ip route 10.0.0.0 255.0.0.0 10.10.1.1


router eigrp 10
network 172.17.1.0 0.0.0.255
network 172.17.2.0 0.0.0.255
network 192.168.0.0 0.0.15.255
network 192.168.254.0
distribute-list denylist out
no auto-summary

ip access-list standard denylist
permit 192.168.0.0 0.0.15.255
permit 192.168.254.0 0.0.0.255
!
ip access-list extended Center_to_Filial
permit gre host 10.10.1.254 host 10.10.3.254

ip nat pool Crack 1.1.1.1 1.1.1.1 netmask 255.255.255.248
ip nat inside source list new pool Crack overload


p access-list extended new
deny   ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255
permit ip 192.168.10.0 0.0.0.255 any


Sh ip route:

Gateway of last resort is 1.1.1.1 to network 0.0.0.0

C*   192.168.10.0/24 is directly connected, FastEthernet0/0
     1.1.1.1/29 is subnetted, 1 subnets
C       1.1.1.1 is directly connected, Vlan3
     172.17.0.0/24 is subnetted, 2 subnets
C       172.17.1.0 is directly connected, Tunnel0
C       10.0.0.0/8 [1/0] via 10.10.1.1
S*   0.0.0.0/0 [1/0] via 1.1.1.1
D    192.168.16.0/23 [90/297246976] via 172.17.1.2, 00:13:11, Tunnel0

Конфиг филиала


crypto map vpn 10 ipsec-isakmp
set peer 10.10.1.254
set transform-set temp
match address Filial_to_Center
!
!
!
interface Tunnel0
ip address 172.17.1.2 255.255.255.0
ip tcp adjust-mss 1460
tunnel source FastEthernet0/1
tunnel destination 10.10.1.254

interface FastEthernet0/0
ip address 192.168.16.1 255.255.254.0
duplex auto
speed auto

ip route 10.0.0.0 255.0.0.0 10.10.3.1

ip access-list extended Filial_to_Center
permit gre host 10.10.3.254 host 10.10.1.254


sh ip route:


Gateway of last resort is 172.17.1.1 to network 192.168.10.0

D*   192.168.10.0/24 [90/297246976] via 172.17.1.1, 00:24:26, Tunnel0
     172.17.0.0/24 is subnetted, 1 subnets
C       172.17.1.0 is directly connected, Tunnel0
C    192.168.16.0/23 is directly connected, FastEthernet0/0

Как видно марщрут появился на филиале но пропинговать что-либо в инете из филиала не получается..Что еще нужно сделать?

Содержание
Сообщения в этом обсуждении
"Ip default-network"
Отправлено momo , 15-Фев-09 15:16 
>[оверквотинг удален]
>D*   192.168.10.0/24 [90/297246976] via 172.17.1.1, 00:24:26, Tunnel0
>     172.17.0.0/24 is subnetted, 1 subnets
>C       172.17.1.0 is directly connected, Tunnel0
>
>C    192.168.16.0/23 is directly connected, FastEthernet0/0
>
>
>
>Как видно марщрут появился на филиале но пропинговать что-либо в инете из
>филиала не получается..Что еще нужно сделать?

вижу вопрос всех поставил в тупик...мне хотя бы инфу найти где подробно иожно почитать про распростронение дефолтового маршрута...

"Ip default-network"
Отправлено Myxa , 16-Фев-09 10:06 
>вижу вопрос всех поставил в тупик...мне хотя бы инфу найти где подробно
>иожно почитать про распростронение дефолтового маршрута...

Если я вас правильно понял, то курить в это сторону:
EIGRP does not redistribute the 0.0.0.0 0.0.0.0 default route by default. However, if the "network 0.0.0.0" command is added tо the EIGRP configuration, it redistributes a default route as a result of the "ip route 0.0.0.0 0.0.0.0 interface" command (but not as a result of the "ip route 0.0.0.0 0.0.0.0 address" or "ip default-network" command.

"Ip default-network"
Отправлено momo , 16-Фев-09 20:22 
>>вижу вопрос всех поставил в тупик...мне хотя бы инфу найти где подробно
>>иожно почитать про распростронение дефолтового маршрута...
>
>Если я вас правильно понял, то курить в это сторону:
>EIGRP does not redistribute the 0.0.0.0 0.0.0.0 default route by default. However,
>if the "network 0.0.0.0" command is added tо the EIGRP configuration,
>it redistributes a default route as a result of the "ip
>route 0.0.0.0 0.0.0.0 interface" command (but not as a result of
>the "ip route 0.0.0.0 0.0.0.0 address" or "ip default-network" command.

т.е нужно добавить команду network 0.0.0.0? если так то что значит as a result of the "ip
>route 0.0.0.0 0.0.0.0 interface" ???

т.е мне нужно прописать на ip route 0.0.0.0 0.0.0.0 1.1.1.1
а ip route 0.0.0.0 0.0.0.0 vlan4 (в моем случае?)

"Ip default-network"
Отправлено weris , 17-Фев-09 08:17 
>[оверквотинг удален]
>>it redistributes a default route as a result of the "ip
>>route 0.0.0.0 0.0.0.0 interface" command (but not as a result of
>>the "ip route 0.0.0.0 0.0.0.0 address" or "ip default-network" command.
>
>т.е нужно добавить команду network 0.0.0.0? если так то что значит as
>a result of the "ip
>>route 0.0.0.0 0.0.0.0 interface" ???
>
>т.е мне нужно прописать на ip route 0.0.0.0 0.0.0.0 1.1.1.1
>а ip route 0.0.0.0 0.0.0.0 vlan4 (в моем случае?)

default-information originate

"Ip default-network"
Отправлено Myxa , 17-Фев-09 10:33 
>default-information originate

Это в ospf, а не в eigrp

"Ip default-network"
Отправлено momo , 17-Фев-09 23:10 
>>default-information originate
>
>Это в ospf, а не в eigrp

прописав ip route 0.0.0.0 0.0.0.0 tunnel0 на филиале получилось закнать пакеты в туннель и потом на центр....вот что дает нат

*Feb 17 18:54:45.962: %SEC-6-IPACCESSLOGP: list new denied tcp 192.168.16.2(0) -
> 194.67.57.126(0), 2 packets

Center#

Center#sh  ip nat tr | begin 192.168.16.2
tcp 1.1.1.1:3187 192.168.16.2:3187  194.67.57.126:80   194.67.57.126:80

т.е якобы трансляция идет только вот странички все равно не открываются на по ип не по имени....


"Ip default-network"
Отправлено momo , 19-Фев-09 07:55 
>[оверквотинг удален]
>
>Center#
>
>
>
>Center#sh  ip nat tr | begin 192.168.16.2
>tcp 1.1.1.1:3187 192.168.16.2:3187  194.67.57.126:80   194.67.57.126:80
>
>т.е якобы трансляция идет только вот странички все равно не открываются на
>по ип не по имени....

какой еще информации не хватает?

"Ip default-network"
Отправлено momo , 23-Фев-09 21:41 
>[оверквотинг удален]
>>
>>
>>
>>Center#sh  ip nat tr | begin 192.168.16.2
>>tcp 1.1.1.1:3187 192.168.16.2:3187  194.67.57.126:80   194.67.57.126:80
>>
>>т.е якобы трансляция идет только вот странички все равно не открываются на
>>по ип не по имени....
>
>какой еще информации не хватает?

все таки зашел в тупик с данной траблой........

как я уже говорил траффик из 192.168.16.0/23 попадает на центр и это можно увидеть через нат
Center#sh  ip nat tr | begin 192.168.16.2
>>tcp 1.1.1.1:3187 192.168.16.2:3187  194.67.57.126:80   194.67.57.126:80

но пакеты обратно видимо не возвращаются хотя никаких спсиков досутупа нет ни на филиале ни на центре (убрал временно для теста)

кто может навести на мысль где пакеты дропаются и почему обратно в туннель не идут?

"Ip default-network"
Отправлено AlexT , 24-Фев-09 11:26 
>[оверквотинг удален]
>как я уже говорил траффик из 192.168.16.0/23 попадает на центр и это
>можно увидеть через нат
>Center#sh  ip nat tr | begin 192.168.16.2
>>>tcp 1.1.1.1:3187 192.168.16.2:3187  194.67.57.126:80   194.67.57.126:80
>
>но пакеты обратно видимо не возвращаются хотя никаких спсиков досутупа нет ни
>на филиале ни на центре (убрал временно для теста)
>
>кто может навести на мысль где пакеты дропаются и почему обратно в
>туннель не идут?

Обратный маршрут есть?
Покажите новые конфиги центра и филиала.

"Ip default-network"
Отправлено momo , 24-Фев-09 14:00 
>[оверквотинг удален]
>>>>tcp 1.1.1.1:3187 192.168.16.2:3187  194.67.57.126:80   194.67.57.126:80
>>
>>но пакеты обратно видимо не возвращаются хотя никаких спсиков досутупа нет ни
>>на филиале ни на центре (убрал временно для теста)
>>
>>кто может навести на мысль где пакеты дропаются и почему обратно в
>>туннель не идут?
>
>Обратный маршрут есть?
>Покажите новые конфиги центра и филиала.

вот все что есть....

Центр

crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
group 2
crypto isakmp key 6 xxxxxxxxxxxx address 10.10.3.254


crypto ipsec transform-set temp esp-3des esp-md5-hmac
!
!
crypto map vpn 10 ipsec-isakmp
set peer 10.10.3.254
set transform-set temp
match address Center_to_Filial

interface Tunnel0
ip address 172.17.1.1 255.255.255.0
ip tcp adjust-mss 1460
tunnel source Vlan4
tunnel destination 10.10.3.254
!
interface FastEthernet0/0
description Local
ip address 192.168.10.1 255.255.255.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto

!
interface Vlan3
ip address 1.1.1.1 255.255.255.248
ip nat outside
ip virtual-reassembly
crypto map mode
!
interface Vlan4
description VPN
ip address 10.10.1.254 255.255.255.0
crypto map vpn

router eigrp 10
redistribute static
network 172.17.1.0 0.0.0.255
network 172.17.2.0 0.0.0.255
network 172.17.3.0 0.0.0.255
network 172.17.0.0
network 192.168.0.0
network 192.168.10.0
network 192.168.254.0
distribute-list denylist out
no auto-summary
!
ip local pool local 192.168.30.0 192.168.30.255
ip route 0.0.0.0 0.0.0.0 1.1.1.2
ip route 10.0.0.0 255.0.0.0 10.10.1.1
ip route 192.168.3.0 255.255.255.0 192.168.10.11
ip route 192.168.200.0 255.255.252.0 192.168.254.2
!
!
ip http server
no ip http secure-server
ip nat pool Comstar_2 1.1.1.1 1.1.1.1 netmask 255.255.255.248
ip nat inside source list new pool Comstar_2 overload

ip access-list standard denylist
permit 192.168.0.0 0.0.15.255
permit 192.168.254.0 0.0.0.255
!

ip access-list extended Center_to_Filial
permit gre host 10.10.1.254 host 10.10.3.254

ip access-list extended new
deny ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255
deny ip 192.168.10.0 0.0.0.255 192.168.12.0 0.0.0.255
permit ip 192.168.10.0 0.0.0.255 any
permit ip 192.168.0.0 0.0.0.255 any
permit ip 192.168.16.0 0.0.1.255 any


Таблица маршрутизации на центре

Gateway of last resort is 1.1.1.2 to network 0.0.0.0

192.168.30.0/32 is subnetted, 2 subnets
S 192.168.30.3 [1/0] via 79.120.43.3
S 192.168.30.0 [1/0] via 79.120.45.134
C 192.168.10.0/24 is directly connected, FastEthernet0/0
1.1.1.0/29 is subnetted, 1 subnets
C 212.248.90.48 is directly connected, Vlan3
172.17.0.0/24 is subnetted, 3 subnets
C 172.17.1.0 is directly connected, Tunnel0
C 172.17.3.0 is directly connected, Tunnel2
C 172.17.2.0 is directly connected, Tunnel1
D 192.168.11.0/24 [90/297246976] via 172.17.1.2, 00:24:16, Tunnel0
10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C 10.10.1.0/24 is directly connected, Vlan4
S 10.0.0.0/8 [1/0] via 10.10.1.1
C 192.168.0.0/24 is directly connected, Vlan2
C 192.168.254.0/24 is directly connected, FastEthernet0/1
S 192.168.3.0/24 [1/0] via 192.168.10.11
S* 0.0.0.0/0 [1/0] via 212.248.90.49
S 192.168.200.0/22 [1/0] via 192.168.254.2
D 192.168.16.0/23 [90/297246976] via 172.17.1.2, 00:24:16, Tunnel0
D 192.168.18.0/23 [90/297246976] via 172.17.2.2, 00:50:33, Tunnel1
Center#
Center#

На филиале


crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
group 2
crypto isakmp key 6 xxxxxxxxxx address 10.10.1.254
!
!
crypto ipsec transform-set temp esp-3des esp-md5-hmac
!
crypto map vpn 10 ipsec-isakmp
set peer 10.10.1.254
set transform-set temp
match address Filial_to_Center
!
!
!
interface Tunnel0
ip address 172.17.1.2 255.255.255.0
ip tcp adjust-mss 1460
tunnel source FastEthernet0/1
tunnel destination 10.10.1.254
!
interface FastEthernet0/0
ip address 192.168.11.254 255.255.255.0 secondary
ip address 192.168.16.1 255.255.254.0
duplex auto
speed auto
!
interface FastEthernet0/1
description VPN
ip address 10.10.3.254 255.255.255.0
duplex auto
speed auto
crypto map vpn
!
router eigrp 10
network 172.17.0.0
network 192.168.11.0
network 192.168.16.0 0.0.1.255
no auto-summary
!
ip route 10.0.0.0 255.0.0.0 10.10.3.1
ip route 192.168.200.0 255.255.252.0 192.168.254.2
!
ip http server
no ip http secure-server
!
ip access-list extended Filial_to_Center
permit gre host 10.10.3.254 host 10.10.1.254

Таблица маршрутизации

Gateway of last resort is 172.17.1.1 to network 0.0.0.0

D 192.168.10.0/24 [90/297246976] via 172.17.1.1, 00:25:36, Tunnel0
172.17.0.0/24 is subnetted, 3 subnets
C 172.17.1.0 is directly connected, Tunnel0
D 172.17.3.0 [90/310044416] via 172.17.1.1, 00:25:36, Tunnel0
D 172.17.2.0 [90/310044416] via 172.17.1.1, 00:25:36, Tunnel0
C 192.168.11.0/24 is directly connected, FastEthernet0/0
10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C 10.10.3.0/24 is directly connected, FastEthernet0/1
S 10.0.0.0/8 [1/0] via 10.10.3.1
D 192.168.0.0/24 [90/297246976] via 172.17.1.1, 00:25:36, Tunnel0
D 192.168.254.0/24 [90/297246976] via 172.17.1.1, 00:25:36, Tunnel0
D EX 192.168.3.0/24 [170/297246976] via 172.17.1.1, 00:25:36, Tunnel0
D*EX 0.0.0.0/0 [170/297246976] via 172.17.1.1, 00:25:36, Tunnel0
S 192.168.200.0/22 [1/0] via 192.168.254.2
C 192.168.16.0/23 is directly connected, FastEthernet0/0
D 192.168.18.0/23 [90/310046976] via 172.17.1.1, 00:25:36, Tunnel0


Как вы видите маршрут по умолчанию в туннель есть ...Также видно что списков которые могли бы ограничить траффик нет вообще....

"Ip default-network"
Отправлено AlexT , 24-Фев-09 15:57 
А вот это Вам зачем?

>ip route 10.0.0.0 255.0.0.0 10.10.1.1
>S 10.0.0.0/8 [1/0] via 10.10.1.1
>ip route 10.0.0.0 255.0.0.0 10.10.3.1
>S 10.0.0.0/8 [1/0] via 10.10.3.1

"Ip default-network"
Отправлено momo , 24-Фев-09 16:56 
>А вот это Вам зачем?
>
>>ip route 10.0.0.0 255.0.0.0 10.10.1.1
>>S 10.0.0.0/8 [1/0] via 10.10.1.1
>>ip route 10.0.0.0 255.0.0.0 10.10.3.1
>>S 10.0.0.0/8 [1/0] via 10.10.3.1

это внутренния сеть предоставленная провайдером..закрытый VPN 3 уровня

10.10.3.1 - это шлюз в сторону Комстара

"Ip default-network"
Отправлено AlexT , 24-Фев-09 23:13 
ладно...
а трассировки не покажете из центра в филиал и обратно?
"Ip default-network"
Отправлено momo , 25-Фев-09 00:04 
>ладно...
>а трассировки не покажете из центра в филиал и обратно?
"Ip default-network"
Отправлено momo , 25-Фев-09 00:09 
>>ладно...
>>а трассировки не покажете из центра в филиал и обратно?

из филиальной циски в сторону компа 192.168.16.2

Center#traceroute 192.168.16.2

Type escape sequence to abort.
Tracing the route to 192.168.16.2

  1 172.17.1.2 8 msec 4 msec 4 msec
  2 192.168.16.2 4 msec 12 msec 8 msec
Center#

Из филиального компа 192.168.16.2 в интернет на mail.ru (194.67.57.126)

C:\Documents and Settings\admin>tracert 194.67.57.126

Трассировка маршрута к mail.ru [194.67.57.126]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  192.168.16.1
  2     6 ms     6 ms     6 ms  172.17.1.1
  3     7 ms     6 ms     6 ms  172.17.1.1
  4     *        *        *     Превышен интервал ожидания для запроса.
  5     *        *        *     Превышен интервал ожидания для запроса.
  6     *        *        *     Превышен интервал ожидания для запроса.
  7     *        *        *     Превышен интервал ожидания для запроса.
  8     *        *        *     Превышен интервал ожидания для запроса.
  9  ^C
C:\Documents and Settings\admin>