The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Нет пинга с внешнего интерфейса."
Вариант для распечатки  
Пред. тема | След. тема 
Форум Маршрутизаторы CISCO и др. оборудование. (Маршрутизация)
Изначальное сообщение [ Отслеживать ]

"Нет пинга с внешнего интерфейса."  +/–
Сообщение от PulsarBF email(ok) on 11-Июл-11, 17:40 
Доброго времени суток, господа.
Такая ситуация: Есть СISCO 2811 c HWIC-2FE.
Схема подключения:
                   FE 0/0/0    ---
                   (192.168.0.1) |
                   FE 0/0/0.9  ----> Router <---- FE 0/0   ----> ISP
                   (192.168.9.1) |                   (10.8.188.10)
                   FE 0/0/0.11 ---
                   (192.168.11.1)

При попытке пинговать DNS-сервер провайдера с внешнего интерфейса (10.8.188.10) полный облом. Однако с любого внутреннего (192.168.0.1, 192.168.9.1, 192.168.11.1) всё нормально. Не подскажете в чем проблема? Куда рыть?

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от VolanD (ok) on 12-Июл-11, 05:53 
>[оверквотинг удален]
>        (192.168.9.1) |  
>            
>      (10.8.188.10)
>            
>        FE 0/0/0.11 ---
>            
>        (192.168.11.1)
> При попытке пинговать DNS-сервер провайдера с внешнего интерфейса (10.8.188.10) полный
> облом. Однако с любого внутреннего (192.168.0.1, 192.168.9.1, 192.168.11.1) всё нормально.
> Не подскажете в чем проблема? Куда рыть?

Шлюз провайдера пингуется? ДНС пингуете по имени или по ИП? Трассировка до ДНС совсем не идет или проходит хотя бы шлюз? sh run можете показать?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от OvDP (ok) on 12-Июл-11, 06:40 
>[оверквотинг удален]
>        (192.168.9.1) |  
>            
>      (10.8.188.10)
>            
>        FE 0/0/0.11 ---
>            
>        (192.168.11.1)
> При попытке пинговать DNS-сервер провайдера с внешнего интерфейса (10.8.188.10) полный
> облом. Однако с любого внутреннего (192.168.0.1, 192.168.9.1, 192.168.11.1) всё нормально.
> Не подскажете в чем проблема? Куда рыть?

Пытаюсь угадать: у вас рутер работает без ната? если так, то 10.8.188.10 адрес транзитной сети, с которой доступ к DNS (и куда либо ещё) не нужен, но возможен после общения с провайдером. :)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от Shunt (ok) on 12-Июл-11, 08:13 
>[оверквотинг удален]
>>
>>        FE 0/0/0.11 ---
>>
>>        (192.168.11.1)
>> При попытке пинговать DNS-сервер провайдера с внешнего интерфейса (10.8.188.10) полный
>> облом. Однако с любого внутреннего (192.168.0.1, 192.168.9.1, 192.168.11.1) всё нормально.
>> Не подскажете в чем проблема? Куда рыть?
> Пытаюсь угадать: у вас рутер работает без ната? если так, то 10.8.188.10
> адрес транзитной сети, с которой доступ к DNS (и куда либо
> ещё) не нужен, но возможен после общения с провайдером. :)

Такая же проблема


Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от PulsarBF email(ok) on 12-Июл-11, 09:41 
To VolanD:
>Шлюз провайдера пингуется? ДНС пингуете по имени или по ИП? Трассировка до ДНС совсем >не идет или проходит хотя бы шлюз? sh run можете показать?

Шлюз пингуется с такимиже результатами как и DNS, т.е. если источник во внутрених сетях, всё ок, если источник адрес выданный ISP, то облом.
Понгую по IP, т.к. если нет пинга со внешнего адреса, то и резолвится не получается (это и есть основная проблема) все запросы DNS роутер отправляет с адреса ближайшего с адресату => с 10.8.188.10.
Трассировка аналогично пингу, из моих сетей нормально, с внешнего даже шлюз провайдера не проходит.

Конфиг:
version 15.1
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Router_GSZ
!
boot-start-marker
boot system flash c2800nm-adventerprisek9-mz.151-4.M.bin
boot-end-marker
!
logging buffered 51200 warnings
!
no aaa new-model
!
dot11 syslog
ip source-route
!
ip cef
!
ip dhcp excluded-address 192.168.9.1
ip dhcp excluded-address 192.168.10.1
ip dhcp excluded-address 192.168.11.1
ip dhcp excluded-address 192.168.12.1
!
ip dhcp pool Admin
network 192.168.9.0 255.255.255.0
default-router 192.168.9.1
netbios-name-server 192.168.0.14
dns-server 192.168.0.1
!
ip dhcp pool GSZ
network 192.168.10.0 255.255.255.0
default-router 192.168.10.1
dns-server 192.168.0.1
!
ip dhcp pool EGAIS
network 192.168.11.0 255.255.255.0
default-router 192.168.11.1
dns-server 192.168.0.1
!
ip dhcp pool ECO
network 192.168.12.0 255.255.255.0
default-router 192.168.12.1
dns-server 192.168.0.1
!
ip domain name yourdomain.com
ip name-server 79.173.80.1
no ipv6 cef
!
multilink bundle-name authenticated
!
voice-card 0
!
crypto pki token default removal timeout 0
!
license udi pid CISCO2811 sn ***********
username ******** privilege 15 secret 5 *******************
!
redundancy
!
interface FastEthernet0/0
description AstraOreol
ip address 10.8.188.10 255.255.255.0
ip nat outside
no ip virtual-reassembly in
duplex auto
speed auto
!
interface FastEthernet0/1
description PeterStar
ip address 109.124.*.194 255.255.255.248
ip nat outside
ip virtual-reassembly in
duplex auto
speed auto
!
interface FastEthernet0/0/0
ip address 192.168.0.1 255.255.255.0
ip nat inside
ip virtual-reassembly in
duplex auto
speed auto
!
interface FastEthernet0/0/0.9
description Admin
encapsulation dot1Q 9
ip address 192.168.9.1 255.255.255.0
ip nat inside
ip virtual-reassembly in
!
interface FastEthernet0/0/0.11
description EGAIS
encapsulation dot1Q 11
ip address 192.168.11.1 255.255.255.0
ip nat inside
ip virtual-reassembly in
!
interface FastEthernet0/0/1
ip address 192.168.1.1 255.255.255.0
duplex auto
speed auto
!
interface FastEthernet0/0/1.10
description GSZ
encapsulation dot1Q 10
ip address 192.168.10.1 255.255.255.0
ip nat inside
ip virtual-reassembly in
!
interface FastEthernet0/0/1.12
description ECO
encapsulation dot1Q 12
ip address 192.168.12.1 255.255.255.0
ip nat inside
ip virtual-reassembly in
!
ip forward-protocol nd
ip http server
ip http access-class 23
ip http authentication local
no ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
!
ip dns server
ip dns spoofing
ip nat inside source route-map AstraOreol interface FastEthernet0/0 overload
ip nat inside source route-map PeterStar interface FastEthernet0/1 overload
ip route 0.0.0.0 0.0.0.0 10.8.188.1
ip route 0.0.0.0 0.0.0.0 109.124.*.193 20
!
logging esm config
access-list 23 permit 10.10.10.0 0.0.0.7
access-list 23 permit 192.168.0.0 0.0.0.255
!
route-map AstraOreol permit 10
match interface FastEthernet0/0
!
route-map PeterStar permit 10
match interface FastEthernet0/1
!
control-plane
!
mgcp profile default
!
line con 0
login local
line aux 0
line vty 0 4
access-class 23 in
privilege level 15
login local
transport input telnet
line vty 5 15
access-class 23 in
privilege level 15
login local
transport input telnet
!
scheduler allocate 20000 1000
end

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от PulsarBF email(ok) on 12-Июл-11, 09:53 
To OvDP
>Пытаюсь угадать: у вас рутер работает без ната? если так, то 10.8.188.10 адрес >транзитной сети, с которой доступ к DNS (и куда либо ещё) не нужен, но возможен после >общения с провайдером. :)

NAT вроде как настроен (конфиг см. в предыдущем посте), 10.8.188.0 255.255.255.0 я так понимаю действительно транзитная сеть провайдера (адрес DNS 79.173.80.1). А как тогда получать адреса? И как без NAT'а будут хосты из внутренних сетей наружу ходить?

Пинг на DNS нужен для реализации DNS-proxy на маршрутизаторе, MultyHoming'а и SLA (динамическая смена маршрутов у разных VLAN'ов).

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

6. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от VolanD (ok) on 12-Июл-11, 10:50 
> To OvDP
>>Пытаюсь угадать: у вас рутер работает без ната? если так, то 10.8.188.10 адрес >транзитной сети, с которой доступ к DNS (и куда либо ещё) не нужен, но возможен после >общения с провайдером. :)
> NAT вроде как настроен (конфиг см. в предыдущем посте), 10.8.188.0 255.255.255.0 я
> так понимаю действительно транзитная сеть провайдера (адрес DNS 79.173.80.1). А как
> тогда получать адреса? И как без NAT'а будут хосты из внутренних
> сетей наружу ходить?
> Пинг на DNS нужен для реализации DNS-proxy на маршрутизаторе, MultyHoming'а и SLA
> (динамическая смена маршрутов у разных VLAN'ов).

Если нат, то сеть не транзитная, т.е. 192ая -это не сеть провайдера. Может когда вы делаете пинг, то соурс адрес не тот который ожидает увидеть провайдер? Может попробовать руками задать сорс при пинге? Хотя я в это слабо верю, но мало ли что бывает)))

ЗЫ: Еще может помочь debug ip packet (осторожно! из-за большой активности может повесить доступ к роутеру!)

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от PulsarBF email(ok) on 12-Июл-11, 11:02 
> Если нат, то сеть не транзитная, т.е. 192ая -это не сеть провайдера.
> Может когда вы делаете пинг, то соурс адрес не тот который
> ожидает увидеть провайдер? Может попробовать руками задать сорс при пинге? Хотя
> я в это слабо верю, но мало ли что бывает)))
> ЗЫ: Еще может помочь debug ip packet (осторожно! из-за большой активности может
> повесить доступ к роутеру!)

192.168.х.0 - это мои сети, 10.8.188.0 - сеть ISP, 10.8.188.10 - адрес выданный мне ISP, 79.173.80.1 - один из DNS провайдера.

Пинги:

Router_GSZ#ping 79.173.80.1 source 192.168.9.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 79.173.80.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.9.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/4/12 ms

Debug (1 repeat):
*Jul 12 07:02:41.547: IP: s=192.168.9.1 (local), d=79.173.80.1, len 100, local feature, NAT(2), rtype 0, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jul 12 07:02:41.547: IP: s=192.168.9.1 (local), d=79.173.80.1 (FastEthernet0/0), len 100, sending
*Jul 12 07:02:41.547: IP: s=10.8.188.10 (local), d=79.173.80.1 (FastEthernet0/0), len 100, output feature, Post-routing NAT Outside(24), rtype 1, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jul 12 07:02:41.547: IP: s=10.8.188.10 (local), d=79.173.80.1 (FastEthernet0/0), len 100, output feature, Stateful Inspection(27), rtype 1, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jul 12 07:02:41.547: IP: s=10.8.188.10 (local), d=79.173.80.1 (FastEthernet0/0), len 100, output feature, NAT ALG proxy(55), rtype 1, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jul 12 07:02:41.547: IP: s=10.8.188.10 (local), d=79.173.80.1 (FastEthernet0/0), len 100, sending full packet
*Jul 12 07:02:41.551: IP: s=79.173.80.1 (FastEthernet0/0), d=192.168.9.1, len 100, input feature, Stateful Inspection(5), rtype 0, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jul 12 07:02:41.551: IP: s=79.173.80.1 (FastEthernet0/0), d=192.168.9.1, len 100, input feature, Virtual Fragment Reassembly(25), rtype 0, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jul 12 07:02:41.551: IP: s=79.173.80.1 (FastEthernet0/0), d=192.168.9.1, len 100, input feature, Virtual Fragment Reassembly After IPSec Decryption(39), rtype 0, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jul 12 07:02:41.551: IP: s=79.173.80.1 (FastEthernet0/0), d=192.168.9.1, len 100, input feature, NAT Outside(66), rtype 0, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jul 12 07:02:41.551: IP: s=79.173.80.1 (FastEthernet0/0), d=192.168.9.1, len 100, input feature, MCI Check(80), rtype 0, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jul 12 07:02:41.551: IP: tableid=0, s=79.173.80.1 (FastEthernet0/0), d=192.168.9.1 (FastEthernet0/0/0.9), routed via RIB
*Jul 12 07:02:41.551: IP: s=79.173.80.1 (FastEthernet0/0), d=192.168.9.1 (FastEthernet0/0/0.9), len 100, output feature, NAT Inside(8), rtype 1, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jul 12 07:02:41.551: IP: s=79.173.80.1 (FastEthernet0/0), d=192.168.9.1 (FastEthernet0/0/0.9), len 100, output feature, Stateful Inspection(27), rtype 1, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jul 12 07:02:41.551: IP: s=79.173.80.1 (FastEthernet0/0), d=192.168.9.1, len 100, rcvd 4
*Jul 12 07:02:41.551: IP: s=79.173.80.1 (FastEthernet0/0), d=192.168.9.1, len 100, stop process pak for forus packet

Router_GSZ#ping 79.173.80.1 source 10.8.188.10
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 79.173.80.1, timeout is 2 seconds:
Packet sent with a source address of 10.8.188.10
.....
Success rate is 0 percent (0/5)

Debug (1 repeat):
*Jul 12 07:01:40.059: IP: s=10.8.188.10 (local), d=79.173.80.1, len 100, local feature, NAT(2), rtype 0, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jul 12 07:01:40.059: IP: s=10.8.188.10 (local), d=79.173.80.1 (FastEthernet0/0), len 100, sending
*Jul 12 07:01:40.059:  IP: s=10.8.188.10, d=79.173.80.1, pak 4963D63C consumed in output feature , packet consumed, Post-routing NAT Outside(24), rtype 1, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

8. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от VolanD (ok) on 12-Июл-11, 11:15 
>[оверквотинг удален]
> .....
> Success rate is 0 percent (0/5)
> Debug (1 repeat):
> *Jul 12 07:01:40.059: IP: s=10.8.188.10 (local), d=79.173.80.1, len 100, local feature,
> NAT(2), rtype 0, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
> *Jul 12 07:01:40.059: IP: s=10.8.188.10 (local), d=79.173.80.1 (FastEthernet0/0), len
> 100, sending
> *Jul 12 07:01:40.059:  IP: s=10.8.188.10, d=79.173.80.1, pak 4963D63C consumed in output
> feature , packet consumed, Post-routing NAT Outside(24), rtype 1, forus FALSE,
> sendself FALSE, mtu 0, fwdchk FALSE.

О_о Странно, попробуйте на время отключить нат на f0/0, скорее всего дело в нем

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

9. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от PulsarBF email(ok) on 12-Июл-11, 13:36 
> О_о Странно, попробуйте на время отключить нат на f0/0, скорее всего дело
> в нем

Согласен, странно. Ж-/
После отключения ip nat outside пинг с внешнего адреса пошел, как по ip так и по имени. Но внутренние сети потеряли выход во вне (как и следовало ожидать). Может как-то NAT специально надо настроить? Только как?

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

10. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от OvDP (ok) on 12-Июл-11, 13:40 
>> О_о Странно, попробуйте на время отключить нат на f0/0, скорее всего дело
>> в нем
> Согласен, странно. Ж-/
> После отключения ip nat outside пинг с внешнего адреса пошел, как по
> ip так и по имени. Но внутренние сети потеряли выход во
> вне (как и следовало ожидать). Может как-то NAT специально надо настроить?
> Только как?

оставить nat и по dhcp раздовать внешний dns не вариант?

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

11. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от PulsarBF email(ok) on 12-Июл-11, 14:07 
> оставить nat и по dhcp раздовать внешний dns не вариант?

При таком подходе возникаю следующие вопросы:
1. Как организовать раздачу 4 DNS от 2 ISP (по два на каждого)?
2. Будет ли работать SLA (пинг идет с ближайшего к адресату интерфейса т.е. внешнего, а он как раз становится нерабочим)?

Да и вообще, не находите странным, почему при включённом NAT'е перестаёт идти пинг, если в качестве источника указать внешний интерфейс? При пинге с внутренних интерфейсов после NAT'а ICMP-пакет всё равно отправляется с внешнего адреса и создаётся правило в таблице трасляции.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

12. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от VolanD (ok) on 12-Июл-11, 17:36 
>> оставить nat и по dhcp раздовать внешний dns не вариант?
> При таком подходе возникаю следующие вопросы:
> 1. Как организовать раздачу 4 DNS от 2 ISP (по два на
> каждого)?
> 2. Будет ли работать SLA (пинг идет с ближайшего к адресату интерфейса
> т.е. внешнего, а он как раз становится нерабочим)?
> Да и вообще, не находите странным, почему при включённом NAT'е перестаёт идти
> пинг, если в качестве источника указать внешний интерфейс? При пинге с
> внутренних интерфейсов после NAT'а ICMP-пакет всё равно отправляется с внешнего адреса
> и создаётся правило в таблице трасляции.

Я бы попробовал включить debug ip nat и пингануть (с включенным натом)... вдруг че-нить выдаст... Мне кажется, что при пинге каким-то образом нат менят сорс ИП...

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

13. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от VolanD (ok) on 13-Июл-11, 06:57 
>> оставить nat и по dhcp раздовать внешний dns не вариант?
> При таком подходе возникаю следующие вопросы:
> 1. Как организовать раздачу 4 DNS от 2 ISP (по два на
> каждого)?
> 2. Будет ли работать SLA (пинг идет с ближайшего к адресату интерфейса
> т.е. внешнего, а он как раз становится нерабочим)?
> Да и вообще, не находите странным, почему при включённом NAT'е перестаёт идти
> пинг, если в качестве источника указать внешний интерфейс? При пинге с
> внутренних интерфейсов после NAT'а ICMP-пакет всё равно отправляется с внешнего адреса
> и создаётся правило в таблице трасляции.

Если совсем ничего не помогает, то ставим ПК вместо провайдера и запускам снифер, дальше смотрим что приходит от вас (если вообще что-то приходит)

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

14. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от PulsarBF email(ok) on 13-Июл-11, 09:32 
>Я бы попробовал включить debug ip nat и пингануть (с включенным натом)... вдруг че-нить >выдаст... Мне кажется, что при пинге каким-то образом нат менят сорс ИП...

Вам не кажетется, а так оно и есть. Сам NAT на этом построен при трасляции в заголовке ip-пакета меняются адраса: во вне - источника, из вне - цели. Вот нормалный вывод NAT'а (это удачный пинг с внутреннего интерфейса):
*Jul 13 05:11:57.062: NAT: s=192.168.9.1->10.8.188.10, d=79.173.80.1 [51]
*Jul 13 05:11:57.062: NAT*: s=79.173.80.1, d=10.8.188.10->192.168.9.1 [41933]
*Jul 13 05:11:57.066: NAT: s=192.168.9.1->10.8.188.10, d=79.173.80.1 [52]
*Jul 13 05:11:57.066: NAT*: s=79.173.80.1, d=10.8.188.10->192.168.9.1 [41934]
*Jul 13 05:11:57.066: NAT: s=192.168.9.1->10.8.188.10, d=79.173.80.1 [53]
*Jul 13 05:11:57.066: NAT*: s=79.173.80.1, d=10.8.188.10->192.168.9.1 [41935]
*Jul 13 05:11:57.070: NAT: s=192.168.9.1->10.8.188.10, d=79.173.80.1 [54]
*Jul 13 05:11:57.070: NAT*: s=79.173.80.1, d=10.8.188.10->192.168.9.1 [41936]

>Если совсем ничего не помогает, то ставим ПК вместо провайдера и запускам снифер, >дальше смотрим что приходит от вас (если вообще что-то приходит)

Вот зеультат debug ip nat:
*Jul 13 05:12:55.394: NAT: translation failed (A), dropping packet s=10.8.188.10 d=79.173.80.1.
*Jul 13 05:12:57.394: NAT: translation failed (A), dropping packet s=10.8.188.10 d=79.173.80.1.
*Jul 13 05:12:59.394: NAT: translation failed (A), dropping packet s=10.8.188.10 d=79.173.80.1.
*Jul 13 05:13:01.394: NAT: translation failed (A), dropping packet s=10.8.188.10 d=79.173.80.1.
*Jul 13 05:13:03.394: NAT: translation failed (A), dropping packet s=10.8.188.10 d=79.173.80.1.

Сама циска отбрасывате пакеты, подключение компа на внешний интерфейс ничего не даст. А вот почему происходит отборс пакета? ACL одна и только на доступ к циске по http или через консоль. Да и вообще, зачем циска пытается странслировать внешний адрес? Я думаю надо что-то с настройками NAT'а делать.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

15. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от OvDP (ok) on 13-Июл-11, 09:39 
попробуйте в роутмап добавить асл с сорсами внутренних сетей, чтобы чётко указать каким пакетам можно попадать в нат
Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

16. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от PulsarBF email(ok) on 13-Июл-11, 12:44 
> попробуйте в роутмап добавить асл с сорсами внутренних сетей, чтобы чётко указать
> каким пакетам можно попадать в нат

Спасибо. Именно это и помогло. Был создан ACL:

ip access-list standard Test
permit 192.168.0.0 0.0.0.255
permit 192.168.9.0 0.0.0.255
permit 192.168.11.0 0.0.0.255

И добавлено соответсвие этому листу в route-map:

route-map AstraOreol permit 10
match ip address Test
match interface FastEthernet0/0

А теперь вопрос, смысл последней строчки в route-map?

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

18. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от OvDP (ok) on 13-Июл-11, 12:59 
>[оверквотинг удален]
> Спасибо. Именно это и помогло. Был создан ACL:
> ip access-list standard Test
>  permit 192.168.0.0 0.0.0.255
>  permit 192.168.9.0 0.0.0.255
>  permit 192.168.11.0 0.0.0.255
> И добавлено соответсвие этому листу в route-map:
> route-map AstraOreol permit 10
>  match ip address Test
>  match interface FastEthernet0/0
> А теперь вопрос, смысл последней строчки в route-map?

конструкция с мачением интерфейса мне самому не логична, но так решила cisco :)

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

19. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от PulsarBF email(ok) on 13-Июл-11, 13:43 
>>[оверквотинг удален]
>> И добавлено соответсвие этому листу в route-map:
>> route-map AstraOreol permit 10
>>  match ip address Test
>>  match interface FastEthernet0/0
>> А теперь вопрос, смысл последней строчки в route-map?
> конструкция с мачением интерфейса мне самому не логична, но так решила cisco
> :)

Соответствие списку доступа понятно. Соответствие интерфейсу тоже понятно. Но в данном случае указан интерфейс который ведёт к ISP. При том, что с этой строчкой, что без неё, всё работает. Так в чём её сокральный смысл? Я думал что она разрешает всё что придёт на сам FE0/0, вне зависимости от IP-адреса. Видимо ошибался... 8-\

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

17. "Нет пинга с внешнего интерфейса."  +/–
Сообщение от VolanD (ok) on 13-Июл-11, 12:44 
> попробуйте в роутмап добавить асл с сорсами внутренних сетей, чтобы чётко указать
> каким пакетам можно попадать в нат

+1

Интересно только почему так то! Там же ясно написано: ip nat outside

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру