форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Архивированная нить - только для чтения!  Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[Проследить за развитием треда]

"NAT на PIX-506E"
Сообщение от Alexander Legunov on 14-Июл-03, 18:30  (MSK)
Такая проблема возникла: Со стороны inside-интерфейса есть сервер с адресом 10.0.216.6. Нужно, чтобы он был виден со стороны outside-интерфейса под адресом 10.0.2.22. При этом все остальные адреса со стороны inside должны быть недоступны. пишу: ip address inside 10.0.216.4 255.255.255.0 ip address outside 10.0.2.21 255.255.255.0 global (outside) 1 10.0.2.22 255.255.255.255 nat (inside) 1 10.0.216.6 255.255.255.255 static (inside, outside) tcp 10.0.2.22 www 10.0.216.6 www netmask 255.255.255.255 access-list 101 permit tcp any host 10.0.2.22 eq www access-list 100 permit tcp host 10.0.216.6 any eq www access-group 101 in interface outside access-group 100 in interface inside не работает :(( Пытаюсь браузером залезть на сайт - таймаут. Телнетом на 80 порт - то же самое. На PIX'е срабатывает hitcount access-list'a. Но в логах сервера ничего... :( Подскажите, в чем ошибаюсь. Заранее спасибо.
	Рекомендовать в FAQ | Cообщить модератору | Наверх

Индекс форумов | Темы | Пред. тема | След. тема

Сообщения по теме

1. "NAT на PIX-506E"
Сообщение от ВОЛКА on 14-Июл-03, 19:24  (MSK)
cl xl делал?
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	2. "NAT на PIX-506E"
	Сообщение от Alexander Legunov on 14-Июл-03, 19:57  (MSK)
	>cl xl >делал? нет... а что это? Можно поподробнее? Или ссылку?
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	3. "NAT на PIX-506E"
	Сообщение от ВОЛКА on 14-Июл-03, 20:04  (MSK)
	команда на пиксе, очицает таблицу трансляций...
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	4. "NAT на PIX-506E"
	Сообщение от Alexander Legunov on 15-Июл-03, 11:20  (MSK)
	>команда на пиксе, очицает таблицу трансляций... Попробую сделать. А таблица трансляций не очищается автоматически после перезагрузки Пикса?
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	6. "NAT на PIX-506E"
	Сообщение от ВОЛКА on 15-Июл-03, 11:42  (MSK)
	очищается...
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	7. "NAT на PIX-506E"
	Сообщение от Alexander Legunov on 15-Июл-03, 12:06  (MSK)
	>очищается... Тогда проблема не в этом. Я делал reload (естественно, сохранив конфигурацию). Высылаю конфиг, может по нему что-то видно будет: Building configuration... : Saved : PIX Version 6.2(2) nameif ethernet0 outside security0 nameif ethernet1 inside security100 enable password 8Ry2YjIyt7RRXU24 encrypted passwd 2KFQnbNIdI.2KYOU encrypted hostname pixfirewall fixup protocol ftp 21 fixup protocol http 80 fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol ils 389 fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol smtp 25 fixup protocol sqlnet 1521 fixup protocol sip 5060 fixup protocol skinny 2000 names access-list 100 permit tcp host 10.0.216.6 any access-list 101 permit tcp any host 10.0.2.22 eq www pager lines 24 interface ethernet0 auto interface ethernet1 auto mtu outside 1500 mtu inside 1500 ip address outside 10.0.2.21 255.255.255.0 ip address inside 10.0.216.4 255.255.255.0 ip audit info action alarm ip audit attack action alarm pdm history enable arp timeout 14400 global (outside) 1 10.0.2.22 nat (inside) 1 10.0.216.6 255.255.255.255 0 0 static (inside,outside) tcp 10.0.2.22 www 10.0.216.6 www netmask 255.255.255.25 access-group 101 in interface outside access-group 100 in interface inside timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 s0 timeout uauth 0:05:00 absolute aaa-server TACACS+ protocol tacacs+ aaa-server RADIUS protocol radius aaa-server LOCAL protocol local no snmp-server location no snmp-server contact snmp-server community public no snmp-server enable traps floodguard enable no sysopt route dnat telnet timeout 5 ssh timeout 5 terminal width 80 Cryptochecksum:8c76b3455768e65315d72444fafe1a2e : end [OK]
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	9. "NAT на PIX-506E"
	Сообщение от admpaul on 15-Июл-03, 12:18  (MSK)
	>global (outside) 1 10.0.2.22 >nat (inside) 1 10.0.216.6 255.255.255.255 0 0 >static (inside,outside) tcp 10.0.2.22 www 10.0.216.6 www netmask 255.255.255.25 nat и global адреса поменяйте. У вас, получается, пытается создатся как динамическая, так и статическая трансляция одновременно. Если вам выход наружу вообще не нужен, тогда nat и global тоже не требуется.
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	11. "NAT на PIX-506E"
	Сообщение от ВОЛКА on 15-Июл-03, 12:59  (MSK)
	>>очищается... > >Тогда проблема не в этом. Я делал reload (естественно, сохранив конфигурацию). > >Высылаю конфиг, может по нему что-то видно будет: > >Building configuration... >: Saved >: >PIX Version 6.2(2) >nameif ethernet0 outside security0 >nameif ethernet1 inside security100 >enable password 8Ry2YjIyt7RRXU24 encrypted >passwd 2KFQnbNIdI.2KYOU encrypted >hostname pixfirewall >fixup protocol ftp 21 >fixup protocol http 80 >fixup protocol h323 h225 1720 >fixup protocol h323 ras 1718-1719 >fixup protocol ils 389 >fixup protocol rsh 514 >fixup protocol rtsp 554 >fixup protocol smtp 25 >fixup protocol sqlnet 1521 >fixup protocol sip 5060 >fixup protocol skinny 2000 >names no access-list 100 permit tcp host 10.0.216.6 any access-list 101 permit tcp any host 10.0.2.22 eq www >pager lines 24 >interface ethernet0 auto >interface ethernet1 auto >mtu outside 1500 >mtu inside 1500 >ip address outside 10.0.2.21 255.255.255.0 >ip address inside 10.0.216.4 255.255.255.0 >ip audit info action alarm >ip audit attack action alarm >pdm history enable >arp timeout 14400 global (outside) 1 10.0.2.22 nat (inside) 1 10.0.216.0 255.255.255.0 0 0 static (inside,outside) tcp 10.0.2.22 www 10.0.216.6 www netmask 255.255.255.255 >access-group 101 in interface outside no access-group 100 in interface inside >timeout xlate 3:00:00 >timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 s0 > >timeout uauth 0:05:00 absolute >aaa-server TACACS+ protocol tacacs+ >aaa-server RADIUS protocol radius >aaa-server LOCAL protocol local >no snmp-server location >no snmp-server contact >snmp-server community public >no snmp-server enable traps >floodguard enable >no sysopt route dnat >telnet timeout 5 >ssh timeout 5 >terminal width 80 >Cryptochecksum:8c76b3455768e65315d72444fafe1a2e >: end >[OK]
		Рекомендовать в FAQ | Cообщить модератору | Наверх

5. "NAT на PIX-506E"
Сообщение от am on 15-Июл-03, 11:38  (MSK)
Вообще, кажется, нужно access-list 100 permit tcp host 10.0.216.6 eq www any
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	8. "NAT на PIX-506E"
	Сообщение от Alexander Legunov on 15-Июл-03, 12:12  (MSK)
	>Вообще, кажется, нужно >access-list 100 permit tcp host 10.0.216.6 eq www any Да нет, с синтаксисом все в порядке. Иначе бы пикс не проглотил, ошибку бы выдал.
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	10. "NAT на PIX-506E"
	Сообщение от am on 15-Июл-03, 12:58  (MSK)
	>>Вообще, кажется, нужно >>access-list 100 permit tcp host 10.0.216.6 eq www any > > >Да нет, с синтаксисом все в порядке. Иначе бы пикс не проглотил, >ошибку бы выдал. Дело не в синтаксисе. Просто в Вашем случае eq www указывает порт приемника, а нужно источника.
		Рекомендовать в FAQ | Cообщить модератору | Наверх

12. "NAT на PIX-506E"
Сообщение от Alexander Legunov on 31-Июл-03, 13:27  (MSK)
Всем спасибо за помощь. Поборол проблему. Рассказываю, что было (будете смеяться). С конфигом пикса все нормально. Разобрал траффик сниффером, и увидел: Запросы на соединение на сервер приходят, сервер отвечает, но пикс ответ не передает. Оказывается, на сервере default gateway был 10.0.216.1 вместо 10.0.216.4. Исправил - все заработало.
	Рекомендовать в FAQ | Cообщить модератору | Наверх

Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.