URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 19113
[ Назад ]

Исходное сообщение
"Cisco 2611XM VLAN+NAT не работает"
Отправлено sgs , 23-Июн-09 08:48

Добрый день уважаемые!
Помогите разобраться с непокорной циской:
есть циска 2611хм на которой 2 езернета. один езернет смотрит в сторону локальных юзеров LAN1, другой одновременно в инет, и в другую локальную сеть LAN2. И в инет и в LAN2 нужно пускать юзеров через нат, соответствено разный. Задвоенный конец смотрит на хп-шный коммутатор где развиланены линки. с циски всё замечательно видится.
Вопрос: почему абоненты не видят лан2?

кусок конфига:
!
interface FastEthernet0/0
description LAN1
ip address xxx.xxx.81.1 255.255.255.0
ip access-group 100 in
ip nat inside
duplex auto
speed auto
!
interface FastEthernet0/1
no ip address
duplex auto
speed auto
!
interface FastEthernet0/1.1
description Internet
encapsulation dot1Q 1
ip address zzz.zzz.90.170 255.255.255.252
ip access-group 102 in
ip nat outside
!
interface FastEthernet0/1.2
description LAN2
encapsulation dot1Q 2
ip address 10.11.239.253 255.255.255.0
ip nat outside
!
ip nat inside source list 101 interface FastEthernet0/1.1 overload
ip nat inside source list 103 interface FastEthernet0/1.2 overload
ip classless
ip route 0.0.0.0 0.0.0.0 zzz.zzzz.90.169
ip route 10.11.0.0 255.255.0.0 10.11.239.254
ip route 10.100.0.0 255.255.0.0 xxx.xxx.81.53
!
access-list 101 permit ip 10.100.0.0 0.0.255.255 any
access-list 103 permit ip 10.100.0.0 0.0.255.255 any
!

Содержание

Cisco 2611XM VLAN+NAT не работает,dispay666, 10:56 , 23-Июн-09
- Cisco 2611XM VLAN+NAT не работает,john_32, 14:09 , 23-Июн-09
- Cisco 2611XM VLAN+NAT не работает,sgs, 05:01 , 24-Июн-09

Сообщения в этом обсуждении

"Cisco 2611XM VLAN+NAT не работает"
Отправлено dispay666 , 23-Июн-09 10:56

>[оверквотинг удален]
>ip nat inside source list 101 interface FastEthernet0/1.1 overload
>ip nat inside source list 103 interface FastEthernet0/1.2 overload
>ip classless
>ip route 0.0.0.0 0.0.0.0 zzz.zzzz.90.169
>ip route 10.11.0.0 255.255.0.0 10.11.239.254
>ip route 10.100.0.0 255.255.0.0 xxx.xxx.81.53
>!
>access-list 101 permit ip 10.100.0.0 0.0.255.255 any
>access-list 103 permit ip 10.100.0.0 0.0.255.255 any
>!
У тя два одинаковых акцесс листа, то есть когда пакет идет от 10.100.0.0 0.0.255.255 куданить всегда будет срабатывает: ip nat inside source list 101 interface FastEthernet0/1.1 overload
Попробуй запрети в 101 -ом акцессе пакеты идущие на 10.11.0.0 0.0.255.255 а потом разреши все остальное.

access-list 101 deny ip 10.100.0.0 0.0.255.255 10.11.0.0 0.0.255.255
access-list 101 permit ip 10.100.0.0 0.0.255.255 any
access-list 103 permit ip 10.100.0.0 0.0.255.255 10.11.0.0 0.0.255.255
а вообще наверное лучше правило для интернета опустить ниже чем правило для 10.11.0.0

"Cisco 2611XM VLAN+NAT не работает"
Отправлено john_32 , 23-Июн-09 14:09

непонятно, а зачем лан2 идет как ip nat outside? шлюз для интернета один?

"Cisco 2611XM VLAN+NAT не работает"
Отправлено sgs , 24-Июн-09 05:01

>[оверквотинг удален]
>потом разреши все остальное.
>
>
>access-list 101 deny ip 10.100.0.0 0.0.255.255 10.11.0.0 0.0.255.255
>access-list 101 permit ip 10.100.0.0 0.0.255.255 any
>
>access-list 103 permit ip 10.100.0.0 0.0.255.255 10.11.0.0 0.0.255.255
>
>а вообще наверное лучше правило для интернета опустить ниже чем правило для
>10.11.0.0
Проблема решена! Благодарствую за хелп, все было имено в АКЛ!
ЗЫ: Нат аутсайд для ЛАН2 нужен потому что для ЛАН1 он является зоной интернета, в которую нужно попадать с внешним айпишником (с ип ЛАН2).