The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]




Версия для распечатки Пред. тема | След. тема
Новые ответы [ Отслеживать ]
Cisco 3825 проблемы с маршрутизацией, !*! Дмитрий, 31-Июл-14, 07:01  [смотреть все]
День добрый!
Есть Cisco 3825, с настроенной AS и DMZ. Некоторые сервисы вынесенные в DMZ до последних пор были доступны из локальной сети, теперь - нет.
Вопрос - что такое могло произойти?
Конфигурация маршрутизатора не менялась...
Симптомы: снаружи сервисы из DMZ доступны - всё работает, из локальной сети ping не работает, tracert - может выдавать искомый сервис на 2 хопе, может на 8-м.
DMZ имеет адреса из AS.

Прошу помощи, может кто-то сталкивался с подобной проблемой?

  • Cisco 3825 проблемы с маршрутизацией, !*! rusadmin, 09:01 , 31-Июл-14 (1)
    >[оверквотинг удален]
    > Есть Cisco 3825, с настроенной AS и DMZ. Некоторые сервисы вынесенные в
    > DMZ до последних пор были доступны из локальной сети, теперь -
    > нет.
    > Вопрос - что такое могло произойти?
    > Конфигурация маршрутизатора не менялась...
    > Симптомы: снаружи сервисы из DMZ доступны - всё работает, из локальной сети
    > ping не работает, tracert - может выдавать искомый сервис на 2
    > хопе, может на 8-м.
    > DMZ имеет адреса из AS.
    > Прошу помощи, может кто-то сталкивался с подобной проблемой?

    Конфиги? Логи?
    Отпускной период ныче...

    • Cisco 3825 проблемы с маршрутизацией, !*! star117, 09:41 , 31-Июл-14 (2)
      Конфиг прилагаю, а лог... что именно нужно отобразить?


      !
      ! Last configuration change at 12:40:21 NOVST Wed Jul 30 2014 by star
      ! NVRAM config last updated at 12:40:38 NOVST Wed Jul 30 2014 by star
      !
      version 12.4
      service timestamps debug datetime msec
      service timestamps log datetime msec localtime show-timezone
      service password-encryption
      !
      hostname main-gw
      !
      boot-start-marker
      boot-end-marker
      !
      logging message-counter syslog
      !
      aaa new-model
      !
      !
      aaa group server radius XXXX
      server-private 10.x.x.11 auth-port 1812 acct-port 1813 key 7 ghghghghghghghghgghghgh
      !
      aaa authentication login default local
      aaa authentication ppp default group XXXX
      aaa authorization exec default local
      aaa authorization network pptp group XXXX
      !
      !
      aaa session-id common
      clock timezone NOVST 7
      clock calendar-valid
      !
      dot11 syslog
      ip source-route
      ip cef
      !
      !
      !
      !
      ip domain name xxxx.ru
      ip name-server 8.8.8.8
      ip name-server 8.8.4.4
      login on-failure log
      login on-success log
      no ipv6 cef
      !
      multilink bundle-name authenticated
      !
      !
      !
      !
      vpdn enable
      !
      vpdn-group XXXX_VPN
      ! Default PPTP VPDN group
      accept-dialin
        protocol pptp
        virtual-template 1
      ip mtu adjust
      !
      !
      voice-card 0
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      username star privilege 15 secret 5 $1$sb2w$VHqYQ.9uOani3vXmB3V061
      archive
      log config
        logging enable
        notify syslog contenttype plaintext
        hidekeys
      path tftp://10.x.x.5/config/cisco/3825/$h
      write-memory
      !
      !
      crypto isakmp policy 10
      hash md5
      authentication pre-share
      group 2
      lifetime 28800
      crypto isakmp key cONNEcTOr address 85.x.x.206 no-xauth
      !
      !
      crypto ipsec transform-set COT esp-des esp-md5-hmac
      no crypto ipsec nat-transparency udp-encaps
      !
      crypto map DFL260E local-address Loopback0
      crypto map DFL260E 10 ipsec-isakmp
      set peer 85.x.x.206
      set security-association lifetime seconds 28800
      set transform-set COT
      set pfs group2
      match address KTI_ADDRESS
      !
      !
      !
      ip ssh port 3215 rotary 1
      ip ssh version 2
      !
      !
      !
      !
      interface Loopback0
      description KTI_IPSec
      ip address 92.x.x.64 255.255.255.255
      !
      interface GigabitEthernet0/0
      no ip address
      duplex auto
      speed auto
      media-type rj45
      !
      interface GigabitEthernet0/0.20
      description Link_for_AS_91.x.x4.0/22
      encapsulation dot1Q 20
      ip address 91.x.x5.162 255.255.255.252
      no ip redirects
      no ip proxy-arp
      no cdp enable
      !
      interface GigabitEthernet0/0.25
      description AS_DMZ
      encapsulation dot1Q 25
      ip address 10.90.90.111 255.255.0.0 secondary
      ip address 92.x.x.1 255.255.255.192
      ip access-group port22dis in
      no ip redirects
      no ip unreachables
      no ip proxy-arp
      ip nat outside
      ip virtual-reassembly
      ntp disable
      no cdp enable
      !
      interface GigabitEthernet0/0.55
      description ISP1
      encapsulation dot1Q 55
      ip address 85.x.x.146 255.255.255.252
      ip nat outside
      ip virtual-reassembly
      no cdp enable
      crypto map DFL260E
      !
      interface GigabitEthernet0/0.60
      description ISP2 encapsulation dot1Q 60
      ip address 95.x.x.70 255.255.255.252
      ip access-group port22dis in
      no ip redirects
      no ip unreachables
      ip nat outside
      ip virtual-reassembly
      no cdp enable
      crypto map DFL260E
      !
      interface GigabitEthernet0/0.77
      description ISP3 encapsulation dot1Q 77
      ip address 178.x.x.38 255.255.255.252
      ip access-group port22dis in
      ip nat outside
      ip virtual-reassembly
      no cdp enable
      crypto map DFL260E
      !
      interface GigabitEthernet0/1
      no ip address
      duplex auto
      speed auto
      media-type rj45
      !
      interface GigabitEthernet0/1.1
      description LAN
      encapsulation dot1Q 1 native
      ip address 10.11.13.1 255.255.255.0 secondary
      ip address 10.x.x.1 255.255.255.0
      ip flow ingress
      ip flow egress
      ip nat inside
      ip virtual-reassembly
      !
      interface Virtual-Template1
      ip unnumbered GigabitEthernet0/0.25
      peer default ip address pool VPN_POOL
      ppp encrypt mppe auto required
      ppp authentication ms-chap-v2
      ppp authorization pptp
      ppp eap refuse
      ppp chap refuse
      ppp pap refuse
      ppp ipcp dns 10.x.x.22
      !
      router bgp 62036
      bgp router-id 92.x.x.1
      bgp log-neighbor-changes
      neighbor 85.x.x.145 remote-as <asnum>
      neighbor 85.x.x.145 description ISP1_fullview
      neighbor 91.x.x5.161 remote-as <asnum>
      neighbor 91.x.x5.161 description Max_La
      neighbor 95.x.x.69 remote-as <asnum>
      neighbor 95.x.x.69 description ISP2_fullview
      neighbor 178.x.x.37 remote-as <asnum>
      neighbor 178.x.x.37 description ISP3_fullview
      !
      address-family ipv4
        neighbor 85.x.x.145 activate
        neighbor 85.x.x.145 next-hop-self
        neighbor 85.x.x.145 soft-reconfiguration inbound
        neighbor 85.x.x.145 prefix-list BGP_ADVERT out
        neighbor 91.x.x5..161 activate
        neighbor 91.x.x5..161 next-hop-self
        neighbor 91.x.x5..161 soft-reconfiguration inbound
        neighbor 91.x.x5..161 prefix-list BGP_ADVERT out
        neighbor 95.x.x.69 activate
        neighbor 95.x.x.69 next-hop-self
        neighbor 95.x.x.69 soft-reconfiguration inbound
        neighbor 95.x.x.69 prefix-list BGP_ADVERT out
        neighbor 178.x.x.37 activate
        neighbor 178.x.x.37 next-hop-self
        neighbor 178.x.x.37 soft-reconfiguration inbound
        neighbor 178.x.x.37 prefix-list BGP_ADVERT out
        no auto-summary
        no synchronization
        network 92.x.x.0 mask 255.255.255.0
      exit-address-family
      !
      ip local pool VPN_POOL 10.x.x.101 10.x.x.110
      ip forward-protocol nd
      ip route 92.x.x.0 255.255.255.0 Null0
      ip route 172.16.0.0 255.240.0.0 Null0
      no ip http server
      no ip http secure-server
      !
      ip flow-export source GigabitEthernet0/1.1
      ip flow-export version 5
      ip flow-export destination 10.x.x.16 10001
      !
      ip nat pool NATPOOL 92.x.x.2 92.x.x.2 prefix-length 26
      ip nat inside source list LAN_TO_INET pool NATPOOL overload
      ip nat inside source static tcp 10.x.x.11 3389 92.x.x.2 3389 extendable
      ip nat inside source static tcp 10.x.x.127 1111 178.x.x.38 1111 extendable
      ip nat inside source static udp 10.x.x.127 1111 178.x.x.38 1111 extendable
      !
      ip access-list extended KTI_ADDRESS
      permit ip 10.x.x.0 0.0.0.255 192.168.10.0 0.0.0.255
      ip access-list extended LAN_TO_INET
      deny   ip 10.x.x.0 0.0.0.255 192.168.10.0 0.0.0.255
      permit ip 10.x.x.0 0.0.0.255 any
      ip access-list extended ntp_clients
      permit udp 10.x.x.0 0.0.0.255 host 10.x.x.1 eq ntp log-input
      deny   ip any any log-input
      ip access-list extended ntp_servers
      permit udp host 31.135.95.60 any log-input
      permit udp host 78.140.251.2 any log-input
      permit udp host 91.207.136.50 any log-input
      permit udp host 194.33.191.69 any log-input
      deny   ip any any log-input
      ip access-list extended port22dis
      deny   tcp any host 92.x.x.1 eq 22
      deny   tcp any host 91.x.x5..14 eq 22
      deny   tcp any host 85.x.x.146 eq 22
      deny   tcp any host 95.x.x.70 eq 22
      deny   tcp any host 178.x.x.38 eq 22
      deny   tcp any host 89.31.114.162 eq 22
      permit ip any any
      !
      !
      ip prefix-list BGP_ADVERT seq 10 permit 92.x.x.0/24
      ip radius source-interface GigabitEthernet0/1.1
      logging trap debugging
      logging 10.x.x.127
      access-list 101 permit icmp any any
      access-list 101 deny   ip any any
      access-list 110 permit tcp any host 91.x.x5..17
      access-list 110 deny   ip any host 91.x.x5..17
      !
      !
      !
      !
      !
      !
      control-plane
      !
      !
      !
      !
      !
      !
      !
      !
      !
      !
      line con 0
      line aux 0
      line vty 0 4
      exec-timeout 20 0
      privilege level 15
      logging synchronous
      rotary 1
      transport input ssh
      line vty 5 15
      exec-timeout 5 0
      privilege level 15
      logging synchronous
      rotary 1
      transport input ssh
      !
      scheduler allocate 20000 1000
      ntp logging
      ntp source GigabitEthernet0/0.25
      ntp access-group peer ntp_servers kod
      ntp access-group serve ntp_clients kod
      ntp master 2
      ntp update-calendar
      ntp server 78.140.251.2 source GigabitEthernet0/0.25
      ntp server 91.207.136.50 source GigabitEthernet0/0.25
      ntp server 31.135.95.60 prefer source GigabitEthernet0/0.25
      ntp server 194.33.191.69 source GigabitEthernet0/0.25
      end

      • Cisco 3825 проблемы с маршрутизацией, !*! rusadmin, 10:01 , 31-Июл-14 (3)
        >>interface GigabitEthernet0/0.25
        >>description AS_DMZ
        >>encapsulation dot1Q 25
        >>ip address 10.90.90.111 255.255.0.0 secondary
        >>ip address 92.x.x.1 255.255.255.192
        >>ip access-group port22dis in

        Из какой в какую сеть попасть пытаетесь? часом не в 10.90.0.0/16?
        У вас еще access-list port22dis  отсутствует в конфиге...

        • Cisco 3825 проблемы с маршрутизацией, !*! star117, 05:47 , 01-Авг-14 (4)
          >>>interface GigabitEthernet0/0.25
          >>>description AS_DMZ
          >>>encapsulation dot1Q 25
          >>>ip address 10.90.90.111 255.255.0.0 secondary
          >>>ip address 92.x.x.1 255.255.255.192
          >>>ip access-group port22dis in
          > Из какой в какую сеть попасть пытаетесь? часом не в 10.90.0.0/16?
          > У вас еще access-list port22dis  отсутствует в конфиге...

          Нет. Пытаюсь попасть из 10.x.x.0/24(LAN) в 92.x.x.0/26(AS).
          access-list port22dis в конфиге присутствует.

          • Cisco 3825 проблемы с маршрутизацией, !*! kd, 12:33 , 01-Авг-14 (5)
            >>>>interface GigabitEthernet0/0.25
            >>>>description AS_DMZ
            >>>>encapsulation dot1Q 25
            >>>>ip address 10.90.90.111 255.255.0.0 secondary
            >>>>ip address 92.x.x.1 255.255.255.192
            >>>>ip access-group port22dis in
            >> Из какой в какую сеть попасть пытаетесь? часом не в 10.90.0.0/16?
            >> У вас еще access-list port22dis  отсутствует в конфиге...
            > Нет. Пытаюсь попасть из 10.x.x.0/24(LAN) в 92.x.x.0/26(AS).
            > access-list port22dis в конфиге присутствует.

            Зачем NAT-ит из LAN в AS_DMZ?

            Сделаите ACL для НАТ-а так.

            ip access-list extended LAN_TO_INET
            deny   ip 10.x.x.0 0.0.0.255 192.168.10.0 0.0.0.255
            deny   ip 10.x.x.0 0.0.0.255 92.x.x.1 255.255.255.192
            permit ip 10.x.x.0 0.0.0.255 any

            • Cisco 3825 проблемы с маршрутизацией, !*! kd, 15:34 , 01-Авг-14 (6)
              >[оверквотинг удален]
              >>> Из какой в какую сеть попасть пытаетесь? часом не в 10.90.0.0/16?
              >>> У вас еще access-list port22dis  отсутствует в конфиге...
              >> Нет. Пытаюсь попасть из 10.x.x.0/24(LAN) в 92.x.x.0/26(AS).
              >> access-list port22dis в конфиге присутствует.
              > Зачем NAT-ит из LAN в AS_DMZ?
              > Сделаите ACL для НАТ-а так.
              > ip access-list extended LAN_TO_INET
              > deny   ip 10.x.x.0 0.0.0.255 192.168.10.0 0.0.0.255
              > deny   ip 10.x.x.0 0.0.0.255 92.x.x.1 255.255.255.192
              > permit ip 10.x.x.0 0.0.0.255 any

              имею ввиду:
              ip access-list extended LAN_TO_INET
              deny   ip 10.x.x.0 0.0.0.255 192.168.10.0 0.0.0.255
              deny   ip 10.x.x.0 0.0.0.255 92.x.x.0 0.0.0.63
              permit ip 10.x.x.0 0.0.0.255 any

              • Cisco 3825 проблемы с маршрутизацией, !*! star117, 11:15 , 02-Авг-14 (7)
                >[оверквотинг удален]
                >> Сделаите ACL для НАТ-а так.
                >> ip access-list extended LAN_TO_INET
                >> deny   ip 10.x.x.0 0.0.0.255 192.168.10.0 0.0.0.255
                >> deny   ip 10.x.x.0 0.0.0.255 92.x.x.1 255.255.255.192
                >> permit ip 10.x.x.0 0.0.0.255 any
                > имею ввиду:
                > ip access-list extended LAN_TO_INET
                > deny   ip 10.x.x.0 0.0.0.255 192.168.10.0 0.0.0.255
                > deny   ip 10.x.x.0 0.0.0.255 92.x.x.0 0.0.0.63
                > permit ip 10.x.x.0 0.0.0.255 any

                Спасибо kd - заработало!
                У меня к тебе 2 вопроса. Сам я небольшой спец по Cisco, поэтому:
                1. Почему запрет на прохождение пакетов в ACL дал эффект прохождения пакетов в моей ситуации?
                2. NAT не нужен, но я не совсем понимаю как сделать иначе, чтобы пакеты бегали из LAN в DMZ и обратно?

                Заранее спасибо


                • Cisco 3825 проблемы с маршрутизацией, !*! karen durinyan, 16:13 , 02-Авг-14 (8)
                  >[оверквотинг удален]
                  >> deny   ip 10.x.x.0 0.0.0.255 92.x.x.0 0.0.0.63
                  >> permit ip 10.x.x.0 0.0.0.255 any
                  > Спасибо kd - заработало!
                  > У меня к тебе 2 вопроса. Сам я небольшой спец по Cisco,
                  > поэтому:
                  > 1. Почему запрет на прохождение пакетов в ACL дал эффект прохождения пакетов
                  > в моей ситуации?
                  > 2. NAT не нужен, но я не совсем понимаю как сделать иначе,
                  > чтобы пакеты бегали из LAN в DMZ и обратно?
                  > Заранее спасибо

                  Рад помочь.
                  ACL LAN_TO_INET связан именно с NAT:
                  ip nat inside source list LAN_TO_INET pool NATPOOL overload

                  Запретив в ACL доступ из 10.x.x.0/24 в 92.x.x.0/26 вы именно запрещаете NAT из LAN в AS_DMZ.
                  Можно было удалить ip nat outside из под AS_DMZ интерфейса, эффект был бы тот же самый, но это зависит от конкретной цели и задачи.

                  • Cisco 3825 проблемы с маршрутизацией, !*! star117, 20:54 , 02-Авг-14 (9)
                    >[оверквотинг удален]
                    >> чтобы пакеты бегали из LAN в DMZ и обратно?
                    >> Заранее спасибо
                    > Рад помочь.
                    > ACL LAN_TO_INET связан именно с NAT:
                    > ip nat inside source list LAN_TO_INET pool NATPOOL overload
                    > Запретив в ACL доступ из 10.x.x.0/24 в 92.x.x.0/26 вы именно запрещаете NAT
                    > из LAN в AS_DMZ.
                    > Можно было удалить ip nat outside из под AS_DMZ интерфейса, эффект был
                    > бы тот же самый, но это зависит от конкретной цели и
                    > задачи.

                    Понял, спасибо.
                    Удачи




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру