URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 9961
[ Назад ]
Исходное сообщение
"Вопрос по VPDN"
Отправлено JK , 01-Мрт-06 14:47 
Господа,

на 1760 реализован VPDN.
Хочется подключиться к нему снаружи и продолжать выходить в инет, но уже под внешним айпишником циски.

В результате имеем - после подключения сеть локальная видна нормально, но наружу никак.
Это нормальная картина или что-то не доделано?

Спасибо.

Содержание
Сообщения в этом обсуждении
"Вопрос по VPDN"
Отправлено fantom , 01-Мрт-06 14:54 
>Господа,
>
>на 1760 реализован VPDN.
>Хочется подключиться к нему снаружи и продолжать выходить в инет, но уже
>под внешним айпишником циски.
>
>В результате имеем - после подключения сеть локальная видна нормально, но наружу
>никак.
>Это нормальная картина или что-то не доделано?
>
>Спасибо.

Посмотри таблицу маршрутов на клиентской машине.

"Вопрос по VPDN"
Отправлено JK , 01-Мрт-06 15:51 

>
>Посмотри таблицу маршрутов на клиентской машине.

Смотрел...

Соединение РРР, шлюз - тот адрес, который присваивается при установлении подключения. По идее машина должна считать, что весь мир - там.

"Вопрос по VPDN"
Отправлено denn , 01-Мрт-06 16:16 
>Господа,
>
>на 1760 реализован VPDN.
>Хочется подключиться к нему снаружи и продолжать выходить в инет, но уже
>под внешним айпишником циски.
>
>В результате имеем - после подключения сеть локальная видна нормально, но наружу
>никак.
>Это нормальная картина или что-то не доделано?
>
>Спасибо.

посмотри галку использовать основной шлюз удаленной сети, если ето вин клиент.
также проверь верное назначение адреса

"Вопрос по VPDN"
Отправлено JK , 01-Мрт-06 16:29 
>
>посмотри галку использовать основной шлюз удаленной сети, если ето вин клиент.
>также проверь верное назначение адреса

Галка стоит конечно.

Но выходить в инет (как все остальные родные машины в этой сети) не желает.

"Вопрос по VPDN"
Отправлено denn , 01-Мрт-06 16:33 
>>
>>посмотри галку использовать основной шлюз удаленной сети, если ето вин клиент.
>>также проверь верное назначение адреса
>
>Галка стоит конечно.
>
>Но выходить в инет (как все остальные родные машины в этой сети)
>не желает.

адрес верный присваевается?
с циски хост виден?
ну и настройки выводи

"Вопрос по VPDN"
Отправлено JK , 01-Мрт-06 17:32 

>адрес верный присваевается?
>с циски хост виден?
>ну и настройки выводи

route print:

0.0.0.0         0.0.0.0         192.168.1.154   192.168.1.154    1
0.0.0.0         0.0.0.0         192.168.10.1    192.168.10.51    2
x.x.x.x         255.255.255.255 192.168.10.1    192.168.10.51    1
127.0.0.0       255.0.0.0       127.0.0.1       127.0.0.1        1
192.168.1.154   255.255.255.255 127.0.0.1       127.0.0.1        1
192.168.1.255   255.255.255.255 192.168.1.154   192.168.1.154    1
192.168.10.0    255.255.255.0   192.168.10.51   192.168.10.51    1
192.168.10.51   255.255.255.255 127.0.0.1       127.0.0.1        1
192.168.10.255  255.255.255.255 192.168.10.51   192.168.10.51    1
224.0.0.0       224.0.0.0       192.168.1.154   192.168.1.154    1
224.0.0.0       224.0.0.0       192.168.10.51   192.168.10.51    1
255.255.255.255 255.255.255.255 192.168.1.154   2                1
Default Gateway:     192.168.1.154

x.x.x.x - паблик айпи циски
подсеть 1 - удаленная локалка
подсеть 10 - моя локалка
адрес 1.154 - адрес из пула адресов для VPDNщиков


tracert 192.168.1.1

Tracing route to 192.168.1.1 over a maximum of 30 hops

  1    74 ms    76 ms    73 ms  192.168.1.1

Trace complete.


конфиг циски тривиальный:

aaa authentication ppp default group radius local
aaa authorization network default if-authenticated
aaa session-id common
!
vpdn enable
!
vpdn-group 1
! Default PPTP VPDN group
accept-dialin
  protocol pptp
  virtual-template 1
!
radius-server host 192.168.1.250 auth-port 1645 acct-port 1646
radius-server key cisco
radius-server authorization permit missing Service-Type

"Вопрос по VPDN"
Отправлено denn , 01-Мрт-06 18:18 
ну ты выдал серые адреса. нат построил?
"Вопрос по VPDN"
Отправлено JK , 02-Мрт-06 10:39 
>ну ты выдал серые адреса. нат построил?


НАТ естесственно построен (и там, и тут), и все натится Ок.

Не желает натится только тот адрес, который присваивается при установлении туннеля. Т.е. снаружи внутрь меня пускают, а обратно (изнутри наружу) уже нет.

"Вопрос по VPDN"
Отправлено sh_ , 02-Мрт-06 12:28 
Покажи весь конфиг...
"Вопрос по VPDN"
Отправлено JK , 03-Мрт-06 13:08 
>Покажи весь конфиг...


!
version 12.2
!
aaa new-model
!
!
aaa authentication ppp default group radius local
aaa authorization network default if-authenticated
aaa session-id common
ip subnet-zero
no ip rcmd domain-lookup
!
vpdn enable
!
vpdn-group 1
! Default PPTP VPDN group
accept-dialin
  protocol pptp
  virtual-template 1
!
!
!
interface Ethernet0/0
ip address X.X.X.X 255.255.255.252
ip access-group 101 in
no ip redirects
no ip unreachables
no ip proxy-arp
ip nat outside
ip route-cache flow
no ip mroute-cache
half-duplex
no cdp enable
crypto map zzz
!
interface FastEthernet0/0
no ip address
ip accounting output-packets
speed auto
full-duplex
no cdp enable
!
interface FastEthernet0/0.1
encapsulation dot1Q 1 native
ip address 192.168.10.1 255.255.255.0
ip accounting output-packets
ip nat inside
no cdp enable
!
interface FastEthernet0/0.2
encapsulation dot1Q 2
ip address 192.168.20.1 255.255.255.0
ip access-group 120 in
ip accounting output-packets
ip nat inside
no cdp enable
!
interface Virtual-Template1
ip unnumbered Ethernet0/0
peer default ip address pool vpdnpool
compress mppc
ppp encrypt mppe auto required
ppp authentication ms-chap ms-chap-v2
!
ip local pool vpdnpool 192.168.10.150 192.168.10.160
ip nat inside source route-map nat interface Ethernet0/0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 X.X.X.Y
no ip http server
no ip http secure-server
ip flow-export version 5
ip flow-export destination 192.168.10.190 9996
!
route-map nat permit 10
match ip address 114
!
radius-server host 192.168.10.198 auth-port 1645 acct-port 1646
radius-server key cisco
radius-server authorization permit missing Service-Type
!
access-list 101 permit ip 192.168.0.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 101 permit ip 192.168.11.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 101 deny   ip 192.168.0.0 0.0.255.255 any
access-list 101 deny   ip host 0.0.0.0 any
access-list 101 deny   ip 10.0.0.0 0.255.255.255 any
access-list 101 deny   ip 172.16.0.0 0.15.255.255 any
access-list 101 deny   ip 127.0.0.0 0.255.255.255 any
access-list 101 permit ip any any
access-list 114 deny   ip 192.168.10.0 0.0.0.255 192.168.0.0 0.0.0.255
access-list 114 deny   ip 192.168.10.0 0.0.0.255 192.168.11.0 0.0.0.255
access-list 114 permit ip 192.168.10.0 0.0.0.255 any
access-list 114 permit ip 192.168.20.0 0.0.0.255 any
access-list 120 deny   ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
access-list 120 permit ip 192.168.20.0 0.0.0.255 any

В другом месте конфиг такой же, только внутри сетка 192.168.1.0/24

Адреса выдаются VPDN-щикам правильные, из указанного пула, внутренние подсети доступны без проблем, но натиться и выходить наружу эти адреса не хотят.

"Вопрос по VPDN"
Отправлено sh_ , 03-Мрт-06 13:16 
Может быть
interface Virtual-Template1
ip nat ins
"Вопрос по VPDN"
Отправлено JK , 03-Мрт-06 13:40 
>Может быть
>interface Virtual-Template1
>ip nat ins


Мда...

Во, блин, меня заклинило!

Спасибо!