IOS 15.0int fa4.10
ip addr 1.1.1.254 255.255.255.0
ip policy route-map testroute-map test permit 10
match ip address 10
set ip next-hop 1.1.1.250next-hop может быть доступен через тот же интерфейс из которого приходят пакетики? Проверил вроде работает, но не все.
А если так (собственно бадаюсь именно с этим вариантом):
int fa4.10
ip vrf forw VRF1
ip addr 1.1.1.254 255.255.255.0
ip policy route-map testroute-map test permit 10
match ip address 10
set ip next-hop 1.1.1.250 <<< -- или здесь нужны вариации set ip vrf XXX next-hop ?Есть 2 881, R1, R2 в одном сегменте 1.1.1.0/24, на каждой канал в Инет (NAT). Есть сеточка которую пускаем в инет 2.2.2.0/24. Как обычно нужно часть хостов выпустить через R1, часть через R2. На R1, R2 NAT. На обоих роутерах VRF-lite. GW для LAN 2.2.2.254, на нем default 1.1.1.254.
R1:
int fa4.10
desc *** to LAN ***
ip vrf forw VRF1
ip addr 1.1.1.251 255.255.255.0
standby 1 ip 1.1.1.254
ip nat insideint fa4.123
desc *** Internet ***
ip vrf forw VRF1
ip addr 172.1.1.1 255.255.255.0
ip nat outsideip ro vrf VRF1 0.0.0.0 0.0.0.0 172.1.1.254
ip ro vrf VRF1 2.2.2.0 0.0.0.255 1.1.1.250
R2 (HSRP active):
int fa4.10
desc *** to LAN ***
ip vrf forw VRF1
ip addr 1.1.1.252 255.255.255.0
standby 1 ip 1.1.1.254
ip nat enable
ip policy route-map testint fa4.123
desc *** Internet ***
ip vrf forw VRF1
ip addr 172.1.1.2 255.255.255.0ip ro vrf VRF1 0.0.0.0 0.0.0.0 172.1.1.254
ip ro vrf VRF1 2.2.2.0 0.0.0.255 1.1.1.250route-map test permit 10
match ip address HOST1
set ip next-hop 1.1.1.251ip access-li ext HOST1
permit icmp host 2.2.2.111 any
permit tcp host 2.2.2.111 anyip access-li ext nat-from-lan
permit 2.2.2.0 0.0.0.255 anyip nat source list nat-from-lan pool POOL1 vrf VRF1 overload
Вот в такой конфигурации (схематично, подробности при необходимости) c 2.2.2.111:
1) SSH на хост А в мир, на А наблюдаю коннект с R1, HTTP не работает пакетики вроде бегают но ... (бегло tcpdump, вроде ретрансмиты). Трасса с 2.2.2.111 2, 3 хоп - 1.1.1.252 1.1.1.251.
> Вот в такой конфигурации (схематично, подробности при необходимости) c 2.2.2.111:
> 1) SSH на хост А в мир, на А наблюдаю коннект с
> R1, HTTP не работает пакетики вроде бегают но ... (бегло tcpdump,
> вроде ретрансмиты). Трасса с 2.2.2.111 2, 3 хоп - 1.1.1.252 1.1.1.251.Причем вчера проде работали и HTTP и DNS, а сегодня нет работают. С другого хоста пробую (2.2.2.222) вчера и HTTP и DNS работали, сегодня уже нет.
уже не знаю куда копать.
>> Вот в такой конфигурации (схематично, подробности при необходимости) c 2.2.2.111:
>> 1) SSH на хост А в мир, на А наблюдаю коннект с
>> R1, HTTP не работает пакетики вроде бегают но ... (бегло tcpdump,
>> вроде ретрансмиты). Трасса с 2.2.2.111 2, 3 хоп - 1.1.1.252 1.1.1.251.Воткнул кхост с которого тестирую в 1.1.1.0/24 На R2 для него PBR с next-hop на (новый R3). На R3 для 1.1.1.111 NAT.
если в качестве default route HSRP virtual IP 1.1.1.254 (HSRP R1-R2), ping c 1.1.1.111 (тестовый хост) в мир чать успешные (3-4 пакета), т.е. ушли куда следует, а часть уходят на R1 (на нем специально для 1.1.1.111 не настроил нат) и в ответ ICMP unreachable - admin prohibited filter.
если в качестве default route IP R2 (1.1.1.252), то все отлично улетает на R3, там натится, вобщем пингается, и качается.
Вопрос почему вылазит при default выставленном на HSRP адрес часть пакетов уходит на HSRP active а часть на HSRP passive
те хосты которые попадают по дефолту на R2 и не попадают на нем под PBR нормально работают.На R1, R2 проброшены входящие (SMTP|HTTP), тоже работают.
Еще "непонятность" присутствует. mtr на любой хост в интернет через R2 всего 3 хопа. traceroute показыват много хопов, но после 3 у всех адрес одинаковый.
> Еще "непонятность" присутствует. mtr на любой хост в интернет через R2 всего
> 3 хопа. traceroute показыват много хопов, но после 3 у всех
> адрес одинаковый.это похоже особенность `ip nat source`
сделал через `ip nat inside source` трасса стала нормальной.
>> Еще "непонятность" присутствует. mtr на любой хост в интернет через R2 всего
>> 3 хопа. traceroute показыват много хопов, но после 3 у всех
>> адрес одинаковый.
> это похоже особенность `ip nat source`
> сделал через `ip nat inside source` трасса стала нормальной.ответ от cisco TAC: `ip nat source` следует использовать только в случае когда нужен NAT между VRF. Если все в пределах одной VRF, то пользуйтесь legasy NAT. http://www.cisco.com/en/US/tech/tk648/tk361/technologies_q_a...