Исходное сообщение
"Ограничение доступа по VLAN + NAT" Отправлено wizmo, 17-Ноя-11 16:03
Сеть поеделена на vlan, каждая сеть натится через свой пул внешних ip. Необходимо запретить трафик между vlan, и разрешить выходить в интернет. Вот конфиг interface FastEthernet0/0 description INTERNET ip address 193.*.*.17 255.255.255.224 ip nat outside ip virtual-reassembly in duplex auto speed auto ! interface FastEthernet0/1 description LAN ip virtual-reassembly in duplex auto speed auto ! interface FastEthernet0/1.2 encapsulation dot1Q 2 ip address 172.16.0.1 255.255.254.0 ip nat inside ip virtual-reassembly in ! interface FastEthernet0/1.3 encapsulation dot1Q 3 ip address 172.16.2.1 255.255.254.0 ip nat inside ip virtual-reassembly in ! ! ip nat pool first_ip 193.*.*.7 193.*.*.7 netmask 255.255.255.224 ip nat pool second_ip 193.*.*.21 193.*.*.21 netmask 255.255.255.224 ip nat inside source list 20 pool first_ip overload ip nat inside source list 30 pool second_ip overload ip route 0.0.0.0 0.0.0.0 193.*.*.1 ! logging esm config access-list 20 permit 172.16.0.0 0.0.1.255 access-list 30 permit 172.16.2.0 0.0.1.255 access-list 102 permit ip any host 193.*.*.7 access-list 103 permit ip any host 193.*.*.21 Если я делаю так ip access-list extended first_network permit ip any 172.16.0.0 0.0.1.255 interface FastEthernet0/1.2 encapsulation dot1Q 2 ip address 172.16.0.1 255.255.254.0 ip nat inside ip virtual-reassembly in ip access-group first_network out тогда хост из первой сети не пингует хост из второй, и наоборот, но соответственно в интернет выйти тоже не может. Или в этом случае не acl нужно делать?