форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[ Отслеживать ]

"Не получается nat при поднятом IPSec"

Сообщение от RomA on 15-Апр-08, 23:41

Доброго времени суток. Может кто чего подскажет, а то свои идеи кончились... Ситуация такая. В филиале стоит cisco 877 которая устанавливает IPSec с cisco в головном офисе, тем самым соединяя сеть филиала с сетью офиса. Это всё поднято и работает исправно. Теперь захотелось что бы в филиале ходили в internet через свой инет. Пытаюсь поднять на cisco 877 ip nat, но в инет локальная машина не выходит. Такая ситуация описана тут http://www.cisco.com/en/US/tech/tk583/tk372/technologies_con... , но настройка по этому манулу не помогает. debug ip nat показывает следующее: Apr 15 17:57:50.422: NAT: GRE port: 2216420608 - [1100] Apr 15 17:57:50.542: NAT: GRE port: 2200519640 - [1101] Apr 15 17:57:50.898: NAT: GRE port: 2216420608 - [1103] Apr 15 17:57:50.974: NAT: GRE port: 2216420608 - [1104] Собстно это он начинает показывать как только включаю nat и дальше никакие мои действия не меняют этот текст. При этом в статистике ната вообще пусто: Total active translations: 0 (0 static, 0 dynamic; 0 extended) Outside interfaces:   Loopback0 Inside interfaces:   Vlan11 Hits: 0  Misses: 0 CEF Translated packets: 0, CEF Punted packets: 0 Expired translations: 0 Dynamic mappings: -- Inside Source [Id: 1] access-list 122 interface Loopback0 refcount 0 Appl doors: 0 Normal doors: 0 Queued Packets: 0

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Не получается nat при поднятом IPSec"

Сообщение от CrAzOiD (ok) on 16-Апр-08, 00:33

>[оверквотинг удален] >  Vlan11 >Hits: 0  Misses: 0 >CEF Translated packets: 0, CEF Punted packets: 0 >Expired translations: 0 >Dynamic mappings: >-- Inside Source >[Id: 1] access-list 122 interface Loopback0 refcount 0 >Appl doors: 0 >Normal doors: 0 >Queued Packets: 0 без конфигов получается сплошная телепатия...

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "Не получается nat при поднятом IPSec"
	Сообщение от RomA on 16-Апр-08, 09:54
	>без конфигов получается сплошная телепатия... Конфиг cisco 877 малость урезаный (IP адрес компа который должен ходить в инет 172.16.1.2): crypto isakmp policy 10 authentication pre-share crypto isakmp key keypass address 0.0.0.0 0.0.0.0 crypto isakmp keepalive 30 5 ! ! crypto ipsec transform-set mySet esp-3des esp-sha-hmac ! crypto ipsec profile myProfile set security-association lifetime seconds 120 set transform-set mySet ! ! crypto map myvpn 10 ipsec-isakmp set peer 83.XX.XXX.1 set transform-set mySet match address 101 ! archive log config   hidekeys ! ! ! ! ! interface Loopback0 ip address 82.XX.XXX.2 255.255.255.255 ip nat outside ip virtual-reassembly crypto map myvpn ! interface Tunnel0 ip unnumbered Loopback0 ! interface Tunnel1 ip address 10.XX.XXX.3 255.255.255.0 no ip redirects ip mtu 1400 ip nhrp authentication keypass ip nhrp map multicast dynamic ip nhrp map multicast 83.XX.XXX.2 ip nhrp map 10.XX.XXX.1 83.XX.XXX.1 ip nhrp network-id 2 ip nhrp nhs 10.XX.XXX.1 ip nhrp nhs 83.XX.XXX.1 tunnel source ATM0.1 tunnel mode gre multipoint tunnel key 1 tunnel protection ipsec profile myProfile ! interface ATM0 no ip address no atm ilmi-keepalive dsl operating-mode auto ! interface ATM0.1 point-to-point ip unnumbered Loopback0 atm route-bridged ip pvc 0/35   encapsulation aal5snap ! ! interface FastEthernet0 ! interface FastEthernet1 switchport access vlan 11 ! interface FastEthernet2 switchport access vlan 12 ! interface FastEthernet3 switchport access vlan 13 ! interface Vlan1 description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$ ip address 172.16.1.1 255.255.255.252 ip nat inside ip virtual-reassembly ! interface Vlan11 ip address 192.168.15.1 255.255.255.0 ! interface Vlan12 ip address 10.201.107.1 255.255.255.0 ! interface Vlan13 ip address 10.201.207.1 255.255.255.0 ! router eigrp 90 network 10.200.254.0 0.0.0.255 network 10.201.107.0 0.0.0.255 network 10.201.207.0 0.0.0.255 network 192.168.15.0 auto-summary ! no ip forward-protocol nd ip route 0.0.0.0 0.0.0.0 82.151.117.193 ip route 10.200.100.0 255.255.255.0 10.XX.XXX.1 ip route 82.XX.XXX.XXX 255.255.255.255 ATM0.1 ! ! ip nat inside source list 122 interface Loopback0 overload ! access-list 101 permit ip 192.168.0.0 0.0.0.255 192.168.15.0 0.0.0.255 access-list 122 deny   ip 172.16.1.0 0.0.0.255 192.168.0.0 0.0.255.255 access-list 122 permit ip 172.16.1.0 0.0.0.255 any no cdp run
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "Не получается nat при поднятом IPSec"
	Сообщение от RomA on 16-Апр-08, 14:25
	ничего не присоветуете?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "Не получается nat при поднятом IPSec"
	Сообщение от Изгой (??) on 16-Апр-08, 14:40
	>ничего не присоветуете? Прописаны маршруты правильно ?? Опишите все маршруты написанные вами в конфиге ..
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "Не получается nat при поднятом IPSec"
	Сообщение от RomA on 16-Апр-08, 14:47
	>Прописаны маршруты правильно ?? >Опишите все маршруты написанные вами в конфиге .. в части маршрутов это полный конфиг cisco - я только шапку удалил и всё, а так конфиг полностью актуальный. Всё сто связано с моими локалками и тунелями - оно отлично работает - филиал видит офис, и наоборот - тут всё работает. Не удаётся только добиться того, что бы с филиала выйти в инет через свою циску. Сейчас им приходится идти по каналу до офиса и там выходитьь в инет через сервер офиса.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "Не получается nat при поднятом IPSec"
	Сообщение от Изгой (??) on 16-Апр-08, 14:54
	>>Прописаны маршруты правильно ?? >>Опишите все маршруты написанные вами в конфиге .. > >в части маршрутов это полный конфиг cisco - я только шапку удалил >и всё, а так конфиг полностью актуальный. Всё сто связано с >моими локалками и тунелями - оно отлично работает - филиал видит >офис, и наоборот - тут всё работает. Не удаётся только добиться >того, что бы с филиала выйти в инет через свою циску. >Сейчас им приходится идти по каналу до офиса и там выходитьь >в инет через сервер офиса. interface Vlan1 ip address 192.168.1.1 255.255.255.0 ip nat inside ip virtual-reassembly (default) ! interface ATM0 no ip address ip nat outside ip virtual-reassembly no atm ilmi-keepalive pvc 8/35   encapsulation aal5mux ppp dialer   dialer pool-member 1 ! dsl operating-mode auto ! interface Dialer0 ip address negotiated ip mtu 1492 encapsulation ppp dialer pool 1 dialer-group 1 ppp authentication chap ! ip classless (default) ! ip nat pool pool1 192.168.1.0 192.168.2.0 netmask 0.0.0.255 ip nat inside source list 1 interface Dialer0 overload ! access-list 1 permit 192.168.1.0 0.0.0.255 dialer-list 1 protocol ip permit ip route 10.10.25.2 0.255.255.255 dialer 0 Может отсюда чего ..может лупбек не так нужен ?? хотя с туннелем
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "Не получается nat при поднятом IPSec"
	Сообщение от Изгой (??) on 16-Апр-08, 14:58
	ip route 0.0.0.0 0.0.0.0 82.151.117.193 - вот это ссылка на прова ..так ?? Это следующий хоп ?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "Не получается nat при поднятом IPSec"
	Сообщение от RomA on 16-Апр-08, 15:08
	>ip route 0.0.0.0 0.0.0.0 82.151.117.193 - вот это ссылка на прова ..так >?? Это следующий хоп ? Да - это шлюз филиала по умолчанию. Маска у была 255.255.255.224 - но когда я Лупбеку прописывал такую маску - провайдер громко ругался, что я работаю от всего диапазона IP в итоге пришлось поставить маску 255.255.255.255. маршрут к шлюзу через ATM0.1 у меня уже был прописан
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "Не получается nat при поднятом IPSec"
	Сообщение от RomA on 16-Апр-08, 15:02
	>Может отсюда чего ..может лупбек не так нужен ?? хотя с туннелем у меня статический IP адрес. Если лупбек не так, то как по другому. Просто так получилось настроиться и поднять тунель - так и осталось ;-) если я обзову интерфейс BVI1, как тут http://forums.whirlpool.net.au/forum-replies.cfm?t=416210&p=... , неужели что-то кардинально изменится?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "Не получается nat при поднятом IPSec"
	Сообщение от Изгой (??) on 16-Апр-08, 15:35
	>>Может отсюда чего ..может лупбек не так нужен ?? хотя с туннелем > >у меня статический IP адрес. Если лупбек не так, то как по >другому. Просто так получилось настроиться и поднять тунель - так и >осталось ;-) если я обзову интерфейс BVI1, как тут http://forums.whirlpool.net.au/forum-replies.cfm?t=416210&p=... , >неужели что-то кардинально изменится? А какая сеть должна натиться 172.16 только ? просто у вас несколько вланов с разными сетями ..
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	11. "Не получается nat при поднятом IPSec"
	Сообщение от RomA on 16-Апр-08, 15:39
	>А какая сеть должна натиться 172.16 только ? просто у вас несколько >вланов с разными сетями .. Просто уже как только не пробовал. Мне главное что бы хоть что нить натилось - там за циской стоит сервер на freeBSD на котором прокси поднят. Так что мне главное что бы хоть какой нить один IP натился. Сначало пробовал сделать nat для 192.168.15.2 - не получилось. тогда вставил второую сетевую в сервер и решил физически уже с другой сетью работать - так родилась 172.16.1.0 сетка
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	12. "Не получается nat при поднятом IPSec"
	Сообщение от Изгой (??) on 16-Апр-08, 15:46
	>>А какая сеть должна натиться 172.16 только ? просто у вас несколько >>вланов с разными сетями .. > >Просто уже как только не пробовал. Мне главное что бы хоть что >нить натилось - там за циской стоит сервер на freeBSD на >котором прокси поднят. Так что мне главное что бы хоть какой >нить один IP натился. Сначало пробовал сделать nat для 192.168.15.2 - >не получилось. тогда вставил второую сетевую в сервер и решил физически >уже с другой сетью работать - так родилась 172.16.1.0 сетка С луппбека поставте на ATM outside. пробовали ?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	14. "Не получается nat при поднятом IPSec"
	Сообщение от RomA on 16-Апр-08, 16:18
	>С луппбека поставте на ATM outside. пробовали ? Ваша правда. Перевесил на ATM0.1 сетка 172.16.1.0 вышла в мир. огромное Спасибо
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	15. "Не получается nat при поднятом IPSec"
	Сообщение от RomA on 16-Апр-08, 17:18
	>Ваша правда. Перевесил на ATM0.1 сетка 172.16.1.0 вышла в мир. огромное Спасибо при этом эта строка не изменилась... ip nat inside source list 122 interface Loopback0 overload
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	13. "Не получается nat при поднятом IPSec"
	Сообщение от CrAzOiD (ok) on 16-Апр-08, 15:50
	>ничего не присоветуете? почему бы вам не воспользоваться этим: c3825(config-if)#tunnel protection ipsec ?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	16. "Не получается nat при поднятом IPSec"
	Сообщение от RomA on 16-Апр-08, 17:19
	>почему бы вам не воспользоваться этим: >c3825(config-if)#tunnel protection ipsec ? 877(config-if)#tunnel protection ipsec ? % Unrecognized command
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	17. "Не получается nat при поднятом IPSec"
	Сообщение от stitch636 on 24-Апр-08, 14:31
	c3825(config)#int t0 c3825(config-if)#tunnel mode ipsec ipv4 c3825(config-if)#tunnel protection ipsec profile ? 877(config)#int t0 877(config-if)#tunnel mode ipsec ipv4 877(config-if)#tunnel protection ipsec profile ? Предварительно сделать keyring, профили для isakmp и ipsec.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]