у нас тут клиентский софт есть... Который из инета по порту 7777 должен попадать ТОЛЬКО на внутренний сервак с IP 192.168.0.2
Обратно порт генериться случайным образом.
рАньше была винда с RRAS . там настроен NAT, что если приходит запрос на порт 7777. он тупо шлет на опр. IP.
Решили винду пофиксить и поставили С2811.
ПО подключению:
interface FastEthernet0/0 - смотрит во внутр сеть
interface FastEthernet0/1 - подключен к провайдеруСделали по подобию http://www.ciscotaccc.com/iprout/showcase?case=K75019454
настройки(адреса в примере от балды. ессно):
interface FastEthernet0/0
ip address 192.168.0.1 255.255.255.0
ip nat inside
duplex auto
speed auto
no cdp enable
!
interface FastEthernet0/1
ip address 213.214.215.52 255.255.255.248
ip nat outside
duplex auto
speed auto
no cdp enable
!
!
ip nat outside source static tcp 213.214.215.52 7777 192.168.0.2 7777 extendable
______________даешь команду debug ip nat - вроде все нормально с виду переборасывается, но...
Софт не коннектится. В чем трабл?. Пособите, плз... :((((
Поподробнее на счет фразы: "Обратно порт генериться случайным образом."
Может нужно сделать PAT для сети 192.168.0.0/24?
>Поподробнее на счет фразы: "Обратно порт генериться случайным образом."как ответили программеры - обратку сама винда выдает, а не софт их
>Может нужно сделать PAT для сети 192.168.0.0/24?
а это как? на нашел в 2811 такого или не там искал
>>Поподробнее на счет фразы: "Обратно порт генериться случайным образом."
>
>как ответили программеры - обратку сама винда выдает, а не софт их
О как!
А винда то по своей сути тоже софт ;)>>Может нужно сделать PAT для сети 192.168.0.0/24?
>а это как? на нашел в 2811 такого или не там искал
Ухты а как это? ip pat inside|outside ?
>>>Поподробнее на счет фразы: "Обратно порт генериться случайным образом."
>>
>>как ответили программеры - обратку сама винда выдает, а не софт их
>О как!
>А винда то по своей сути тоже софт ;)это я в курсе...:))))
>>>Может нужно сделать PAT для сети 192.168.0.0/24?
>>а это как? на нашел в 2811 такого или не там искал
>Ухты а как это? ip pat inside|outside ?
ага, ятож так глядел
ip nat outside source static tcp А.а.а.а 7777 В.В.В.В 7777 extendable
винда иной раз выдает конфликт IP адресов почему-то...:(
>>>>Поподробнее на счет фразы: "Обратно порт генериться случайным образом."
>>>
>>>как ответили программеры - обратку сама винда выдает, а не софт их
>>О как!
>>А винда то по своей сути тоже софт ;)
>
>это я в курсе...:))))
>
>>>>Может нужно сделать PAT для сети 192.168.0.0/24?
>>>а это как? на нашел в 2811 такого или не там искал
>>Ухты а как это? ip pat inside|outside ?
>ага, ятож так глядел
>ip nat outside source static tcp А.а.а.а 7777 В.В.В.В 7777 extendable
>
>винда иной раз выдает конфликт IP адресов почему-то...:(no-alias допишите..
>Поподробнее на счет фразы: "Обратно порт генериться случайным образом."
>Может нужно сделать PAT для сети 192.168.0.0/24?PAT не нужен.
PAT не может быть использован для запросов из аутсайда в 192.168.0.0/24,
только наиборот.2 OldMadDog
PAT конфигурится так:ip nat inside source list XX pool <пул глобальных адресов для PAT> overload
или
ip nat inside source list XX interface <аутсайд интерфейс> overload
2 OldMadDogip nat inside source static tcp 192.168.0.2 7777 213.214.215.52 7777 extendable
>2 OldMadDog
>
>ip nat inside source static tcp 192.168.0.2 7777 213.214.215.52 7777 extendableзаработало лишь когда вписал
ip nat inside source static 192.168.0.2 213.214.215.52
Теперь покажи sh ip nat tr, чтобы посмотреть, по каким портам они реально общаются...
>>2 OldMadDog
>>
>>ip nat inside source static tcp 192.168.0.2 7777 213.214.215.52 7777 extendable
>
>
>
>заработало лишь когда вписал
>ip nat inside source static 192.168.0.2 213.214.215.52Ну дык...:)
так и надо ежели сервер в инсайде.
>>>2 OldMadDog
>>>
>>>ip nat inside source static tcp 192.168.0.2 7777 213.214.215.52 7777 extendable
>>
>>
>>
>>заработало лишь когда вписал
>>ip nat inside source static 192.168.0.2 213.214.215.52
>
>Ну дык...:)
>так и надо ежели сервер в инсайде.аааа....:)
сорри, не смикитил о чём речь,
да посмотрите sh ip nat tr - всякое бывает, может вы порты перепутали.
если на 192.168.0.2 7777 , то кинте сюда sh run
>>>>2 OldMadDog
>>>>
>>>>ip nat inside source static tcp 192.168.0.2 7777 213.214.215.52 7777 extendable
>>>
>>>
>>>
>>>заработало лишь когда вписал
>>>ip nat inside source static 192.168.0.2 213.214.215.52
>>
>>Ну дык...:)
>>так и надо ежели сервер в инсайде.
>
>аааа....:)
>сорри, не смикитил о чём речь,
>да посмотрите sh ip nat tr - всякое бывает, может вы
>порты перепутали.
>если на 192.168.0.2 7777 , то кинте сюда sh run
да фигня какая-то..
с портами программеры грят- чтотолько енти
но..
даешь конфиг
ip nat inside source static tcp 192.168.0.2 7777 213.214.215.52 7777 extне пашет клиент, не видет сервер
Cisco2811#sh ip nat tr
Pro Inside global Inside local Outside local Outside global
tcp 213.214.215.52:7777 192.168.0.2:7777 с.с.с.с:1698 с.с.с.с:1698
--- 213.214.215.52 192.168.0.2 --- ---
с.с.с.с - внешний адрес клиентапишешь ip nat inside source static 192.168.0.2 213.214.215.52
все работает как часы
>да фигня какая-то..
> с портами программеры грят- чтотолько енти
>но..
> даешь конфиг
>ip nat inside source static tcp 192.168.0.2 7777 213.214.215.52 7777 ext
>
>не пашет клиент, не видет сервер
>Cisco2811#sh ip nat tr
>Pro Inside global Inside local
> Outside local
>Outside global
>tcp 213.214.215.52:7777 192.168.0.2:7777 с.с.с.с:1698 с.с.с.с:1698
>--- 213.214.215.52 192.168.0.2
>---
> ---
>
>
>с.с.с.с - внешний адрес клиента
>
>пишешь ip nat inside source static 192.168.0.2 213.214.215.52
>
>все работает как часыНу тут два варианта - если айпишник не жалко один в один транслить,
то забейте :) , а если хочется сделать красиво, то надо потраблшутить,
если решите что нужен второй вариант, кидайте для начала sh run, не плохо было бы езериал на сервере запустить ещё...
И sh ver ещё!
>И sh ver ещё!
Cisco2811#sh ver
Cisco IOS Software, 2800 Software (C2800NM-IPBASE-M), Version 12.3(8)T7, RELEASE
SOFTWARE (fc3)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2005 by Cisco Systems, Inc.
Compiled Sat 12-Mar-05 10:28 by ccaiROM: System Bootstrap, Version 12.3(8r)T7, RELEASE SOFTWARE (fc1)
Cisco2811 uptime is 51 minutes
System returned to ROM by power-on
System image file is "flash:c2800nm-ipbase-mz.123-8.T7.bin"Cisco 2811 (revision 53.51) with 253952K/8192K bytes of memory.
Processor board ID FHK0916F1LN
2 FastEthernet interfaces
8 terminal lines
DRAM configuration is 64 bits wide with parity enabled.
239K bytes of non-volatile configuration memory.
62720K bytes of ATA CompactFlash (Read/Write)Configuration register is 0x2102
>>И sh ver ещё!
>
>
>Cisco2811#sh ver
>Cisco IOS Software, 2800 Software (C2800NM-IPBASE-M), Version 12.3(8)T7, RELEASE
> SOFTWARE (fc3)
>Technical Support: http://www.cisco.com/techsupport
>Copyright (c) 1986-2005 by Cisco Systems, Inc.
>Compiled Sat 12-Mar-05 10:28 by ccai
>
>ROM: System Bootstrap, Version 12.3(8r)T7, RELEASE SOFTWARE (fc1)
>
>Cisco2811 uptime is 51 minutes
>System returned to ROM by power-on
>System image file is "flash:c2800nm-ipbase-mz.123-8.T7.bin"
>
>Cisco 2811 (revision 53.51) with 253952K/8192K bytes of memory.
>Processor board ID FHK0916F1LN
>2 FastEthernet interfaces
>8 terminal lines
>DRAM configuration is 64 bits wide with parity enabled.
>239K bytes of non-volatile configuration memory.
>62720K bytes of ATA CompactFlash (Read/Write)
>
>Configuration register is 0x2102
Прошу прощения, почему-то проглядел ваши ответы..
Иос пробил, все натовские фичи, как и в ентерпрайз секурити,
пробуйте менять иос на более свежий релиз, может поможет.
Ещё момент, вы показывали нам sh ip nat tr , только после ip nat inside source static tcp...
а при ip nat inside source static..., можете сделать sh ip nat tr | include 192.168.0.2 ?
в сыром виде сейчас вот такой конфиг
Cisco2811#sh runn
Building configuration...Current configuration : 2004 bytes
!
version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Cisco2811
!
boot-start-marker
boot-end-marker
!
!
username cisco privilege 15 secret 5 $1$tz5C$Fxwah08i/tXvumtwFnzM3.
no network-clock-participate aim 0
no network-clock-participate aim 1
modem country smart_acf russia
aaa new-model
!
!
aaa authentication login default group radius local
aaa authentication login console local
aaa authentication login no_radius local
aaa authentication enable default enable
aaa authentication ppp default group radius local
aaa accounting network default start-stop group radius
aaa session-id common
ip subnet-zero
!
!
ip cef
!
!
ip domain name test.com
ip name-server a.a.a.a
no ftp-server write-enable
!
!
!
!
interface Loopback0
ip address 1.1.1.1 255.255.255.0
!
interface FastEthernet0/0
ip address b.b.0.2 255.255.0.0
ip nat inside
duplex auto
speed auto
no cdp enable
!
interface FastEthernet0/1
ip address c.c.c.52 255.255.255.248
ip nat outside
duplex auto
speed auto
no cdp enable
!
interface Group-Async1
ip unnumbered Loopback0
encapsulation ppp
dialer in-band
dialer-group 1
async mode interactive
peer default ip address pool RAS
ppp authentication ms-chap-v2
group-range 1/0 1/7
!
ip local pool RAS b.b.100.1 b.b.100.100
ip classless
ip route 0.0.0.0 0.0.0.0 FastEthernet0/1
ip route a.a.0.0 255.255.0.0 b.b.0.1
ip http server
ip http authentication local
ip nat inside source static b.b.b.5 c.c.c.52
!
!
dialer-list 1 protocol ip permit
snmp-server community public RW
snmp-server enable traps tty
no cdp run
radius-server host b.b.b.25 auth-port 1645 acct-port 1646
radius-server key 123
!
control-plane
!
!
line con 0
line aux 0
line 1/0 1/7
modem InOut
transport input all
autoselect ppp
line vty 0 4
privilege level 15
login authentication local
transport input telnet
!
scheduler allocate 20000 1000
!
endCisco2811#