Новые ответы

Проброс порта Cicso 881,

motok, 15-Янв-13, 16:19 [смотреть все]

Добрый день. Cisco настраиваю впервые. Не могу добиться проброс порта из глобальной сети (порт 7717) в локальный компьютер (порт 3389).

Building configuration...
Current configuration : 6245 bytes
!
! Last configuration change at 15:08:29 Moscow Tue Jan 15 2013 by denis
! NVRAM config last updated at 14:48:29 Moscow Tue Jan 15 2013 by denis
! NVRAM config last updated at 14:48:29 Moscow Tue Jan 15 2013 by denis
version 15.1
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname cisco
!
boot-start-marker
boot-end-marker
!
!
logging buffered 52000
enable secret 4 WIt8jvB9k8OmgaoqfrYwU//PXImqYGmcAxH9SvUrP.Q
!
no aaa new-model
!
memory-size iomem 10
clock timezone Moscow 3 0
clock summer-time Moscow date Mar 30 2003 2:00 Oct 26 2003 3:00
crypto pki token default removal timeout 0
!
crypto pki trustpoint TP-self-signed-3162754647
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-3162754647
revocation-check none
rsakeypair TP-self-signed-3162754647
!
crypto pki trustpoint test_trustpoint_config_created_for_sdm
subject-name e=sdmtest@sdmtest.com
revocation-check crl
!
!
crypto pki certificate chain TP-self-signed-3162754647
certificate self-signed 01
  3082022B 30820194 A0030201 02020101 300D0609 2A864886 F70D0101 05050030
  31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274
  69666963 6174652D 33313632 37353436 3437301E 170D3133 30313130 31343431
  31395A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649
  4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D33 31363237
  35343634 3730819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281
  8100B2D2 C2132BB4 0CE3E735 F98DADB4 E1A33E70 097D149D DED2FB23 359167B7
  766179E3 316B35BB 76E199F5 6E55B5D1 30696D45 4C98B981 F1D4F804 29976B13
  29D1CF69 7E93DA63 34837278 4C62796D 5DEE8070 9F4C671B AC59DE2A F4938291
  0F2BFD2A 073DBBBF 415FC921 998CF530 AE1F5621 8DC5C0A4 18976F3D CF3562C3
  8D710203 010001A3 53305130 0F060355 1D130101 FF040530 030101FF 301F0603
  551D2304 18301680 145F0902 D236DDD0 C1720D17 5EA2CCF0 7F39BBBA 6E301D06
  03551D0E 04160414 5F0902D2 36DDD0C1 720D175E A2CCF07F 39BBBA6E 300D0609
  2A864886 F70D0101 05050003 818100A0 601D9C49 7EF206A4 86DE880E 58B8F145
  E2E84539 C25B93F7 CA25AF42 C26E4654 D925DF19 523CBC2A 1466F7BD C9ADF8B5
  9D4FC19C 2D1116E0 88208820 1A1FDD7E 41DD6E59 40D4EB36 EEE3900F FC7CCF76
  2E30EA6F 1450031B 5F5A451A 5901E7A1 D35A0C20 EF407187 D899074D BFFA16FB
  FBFBA3FF A132C7F9 E23783AB 2BEF15
      quit
crypto pki certificate chain test_trustpoint_config_created_for_sdm
ip source-route
!
!
!
ip dhcp excluded-address 192.168.5.1 192.168.5.4
ip dhcp excluded-address 192.168.5.21 192.168.5.254
!
ip dhcp pool ccp-pool
import all
network 192.168.5.0 255.255.255.0
default-router 192.168.5.1
dns-server 192.168.5.1
lease 0 2
!
!
ip cef
ip domain name domain.metiz.ru
ip name-server 84.47.177.77
ip name-server 85.91.99.99
no ipv6 cef
!
!
multilink bundle-name authenticated
license udi pid CISCO881-PCI-K9 sn .........
license boot module c880-data level advipservices
!
!
username denis privilege 15 secret 4 WIt8jvB9k8OmgaoqfrYwU//PXImqYGmcAxH9SvUrP.Q
!
!
!
!
!
crypto isakmp fragmentation
crypto isakmp keepalive 10 periodic
!
!
!
!
!
!
interface FastEthernet0
no ip address
!
interface FastEthernet1
no ip address
!
interface FastEthernet2
no ip address
!
interface FastEthernet3
no ip address
!
interface FastEthernet4
description Link to Internet
ip address 84.47.X.X 255.255.255.248
ip access-group 150 in
ip nat outside
ip virtual-reassembly in
duplex auto
speed auto
!
interface Vlan1
description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$
ip address 192.168.5.1 255.255.255.0
ip nat inside
ip virtual-reassembly in
ip tcp adjust-mss 1452
!
ip forward-protocol nd
ip http server
ip http access-class 23
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
!
!
ip dns server
ip nat inside source static tcp 192.168.5.5 3389 interface FastEthernet4 7717
ip nat inside source list 2 interface FastEthernet4 overload
ip route 0.0.0.0 0.0.0.0 84.47.169.65
!
access-list 2 remark INSIDE_IF=Vlan1
access-list 2 remark CCP_ACL Category=2
access-list 2 permit 192.168.5.0 0.0.0.255
access-list 23 permit 10.10.10.0 0.0.0.7
access-list 23 permit 192.168.5.0 0.0.0.255
access-list 101 remark CCP_ACL Category=2
access-list 101 remark IPSec Rule
access-list 109 remark CCP_ACL Category=2
access-list 110 remark CCP_ACL Category=18
access-list 110 deny   ip 192.168.0.0 0.0.255.255 192.168.0.0 0.0.255.255
access-list 110 permit ip 192.168.0.0 0.0.255.255 any
access-list 110 permit ip any any
no cdp run
!
!
!
!
route-map SDM_RMAP_1 permit 1
match ip address 101
!
route-map SDM_RMAP_2 permit 1
match ip address 109
!
route-map nonat permit 10
match ip address 110
!
!
control-plane
!
banner exec ^C
% Password expiration warning.
-----------------------------------------------------------------------

^C
banner login ^CMetiz Pro
^C
!
line con 0
login local
line aux 0
line vty 0 4
privilege level 15
login local
transport input telnet ssh
!
end
cisco#sh ip nat tr
Pro Inside global      Inside local       Outside local      Outside global
tcp 84.47.X.X:7717  192.168.5.5:3389   ---                ---
Во время попытки соединиться из глобальной сети на порт 7717:
cisco#sh ip nat tr
Pro Inside global      Inside local       Outside local      Outside global
tcp 84.47.X.X:7717  192.168.5.5:3389   194.47.X.X:15103 194.47.X.X:15103

Ответить | Сообщить модератору

Проброс порта Cicso 881, Andrey, 16:48 , 15-Янв-13 (1)
>[оверквотинг удален]
>     Outside local
> Outside global
> tcp 84.47.X.X:7717  192.168.5.5:3389   ---
>           ---
> Во время попытки соединиться из глобальной сети на порт 7717:
> cisco#sh ip nat tr
> Pro Inside global      Inside local
>     Outside local
> Outside global
> tcp 84.47.X.X:7717  192.168.5.5:3389   194.47.X.X:15103 194.47.X.X:15103
http://www.cisco.com/en/US/tech/tk175/tk15/technologies_conf...
Ответить | Сообщить модератору

Проброс порта Cicso 881, motok, 17:22 , 15-Янв-13 (2)
Да делал так. В начале по инструкциям лазил, потом на официальном сайте задавал вопрос. Единственное что посоветовали это попробовать местами поменять на
ip nat inside source static tcp 84.47.x.x 7717 192.168.5.5 3389 extendable
после этого 192.168.5.5 полностью связь с маршрутизатором теряется.

Ответить | Сообщить модератору
Проброс порта Cicso 881, Андрей, 17:24 , 15-Янв-13 (3)
На Fa4 висит ip access-group 150 in, а в конфиге нет ACL с номером 150.
Ответить | Сообщить модератору

Проброс порта Cicso 881, spiegel, 19:21 , 15-Янв-13 (4)
Командой:
>ip nat inside source static tcp 192.168.5.5 3389 interface FastEthernet4 7717
вы говорите роутеру, что пакет с адресом 192.168.5.5 и портом 3389 при прохождении внешнего интерфейса изменит свой адрес и порт на адрес FastEthernet4 и порт 7717 соотв.
Об этом говорит вывод команды sh ip  nat tr:
>cisco#sh ip nat tr
>Pro Inside global      Inside local       Outside local      Outside global
>tcp 84.47.X.X:7717  192.168.5.5:3389   ---                ---
Вы же хотите сделать наоборот. Используйте команду ip nat outside ...
Ответить | Сообщить модератору

Проброс порта Cicso 881, Андрей, 19:56 , 15-Янв-13 (5)
> Командой:
>>ip nat inside source static tcp 192.168.5.5 3389 interface FastEthernet4 7717
> вы говорите роутеру, что пакет с адресом 192.168.5.5 и портом 3389 при
> прохождении внешнего интерфейса изменит свой адрес и порт на адрес FastEthernet4
> и порт 7717 соотв.
> Об этом говорит вывод команды sh ip  nat tr:
>>cisco#sh ip nat tr
>>Pro Inside global      Inside local       Outside local      Outside global
>>tcp 84.47.X.X:7717  192.168.5.5:3389   ---                ---
> Вы же хотите сделать наоборот. Используйте команду ip nat outside ...
Не вводите человека в заблуждение, все верно у него прописано.
Ответить | Сообщить модератору

Проброс порта Cicso 881, spiegel, 10:49 , 16-Янв-13 (6)
>[оверквотинг удален]
>>>ip nat inside source static tcp 192.168.5.5 3389 interface FastEthernet4 7717
>> вы говорите роутеру, что пакет с адресом 192.168.5.5 и портом 3389 при
>> прохождении внешнего интерфейса изменит свой адрес и порт на адрес FastEthernet4
>> и порт 7717 соотв.
>> Об этом говорит вывод команды sh ip  nat tr:
>>>cisco#sh ip nat tr
>>>Pro Inside global      Inside local       Outside local      Outside global
>>>tcp 84.47.X.X:7717  192.168.5.5:3389   ---                ---
>> Вы же хотите сделать наоборот. Используйте команду ip nat outside ...
> Не вводите человека в заблуждение, все верно у него прописано.
Признаюсь, что-то ступил. Вот конструкция, которая у меня работает:
(192.168.5.х - любой не занятый адрес в этой сети)
ip nat pool test 192.168.5.x 192.168.5.x netmask 255.255.255.0
ip nat source list 100 interface FastEthernet4 overload
ip nat source list 102 pool test overload
ip nat source static tcp 192.168.5.5 3389 interface FastEthernet4 7717
!
access-list 100 permit ip 192.168.5.0 0.0.0.255 any
access-list 102 permit tcp any eq 7717 host 84.47.X.X eq 7717
!
interface Vlan1
ip nat enable
interface FastEthernet4
ip nat enable
Ответить | Сообщить модератору

Проброс порта Cicso 881, motok, 11:56 , 17-Янв-13 (7)
Сеичас просто вбил эти настройки. Все равно ну не как не заходит.

Building configuration...
Current configuration : 6123 bytes
!
! Last configuration change at 11:42:14 Moscow Thu Jan 17 2013 by denis
! NVRAM config last updated at 11:40:06 Moscow Thu Jan 17 2013 by denis
! NVRAM config last updated at 11:40:06 Moscow Thu Jan 17 2013 by denis
version 15.1
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname cisco
!
boot-start-marker
boot-end-marker
!
!
logging buffered 52000
enable secret 4 WIt8jvB9k8OmgaoqfrYwU//PXImqYGmcAxH9SvUrP.Q
!
no aaa new-model
!
memory-size iomem 10
clock timezone Moscow 3 0
clock summer-time Moscow date Mar 30 2003 2:00 Oct 26 2003 3:00
crypto pki token default removal timeout 0
!
crypto pki trustpoint TP-self-signed-3162754647
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-3162754647
revocation-check none
rsakeypair TP-self-signed-3162754647
!
crypto pki trustpoint test_trustpoint_config_created_for_sdm
subject-name e=sdmtest@sdmtest.com
revocation-check crl
ip source-route
!
!
!
ip dhcp excluded-address 10.10.10.1
ip dhcp excluded-address 192.168.5.1 192.168.5.4
ip dhcp excluded-address 192.168.5.11 192.168.5.254
ip dhcp excluded-address 192.168.3.51 192.168.3.254
ip dhcp excluded-address 192.168.4.51 192.168.4.254
ip dhcp excluded-address 169.254.0.1 169.254.0.49
ip dhcp excluded-address 169.254.0.61 169.254.255.254
ip dhcp excluded-address 192.168.5.21 192.168.5.254
!
ip dhcp pool ccp-pool
import all
network 192.168.5.0 255.255.255.0
default-router 192.168.5.1
dns-server 192.168.5.1
lease 0 2
!
!
ip cef
ip domain name domain.metiz.ru
ip name-server 84.47.177.77
ip name-server 85.91.99.99
no ipv6 cef
!
!
multilink bundle-name authenticated
license udi pid CISCO881-PCI-K9 sn
license boot module c880-data level advipservices
!
!
username denis privilege 15 secret 4 WIt8jvB9k8OmgaoqfrYwU//PXImqYGmcAxH9SvUrP.Q
!
!
!
!
!
crypto isakmp fragmentation
crypto isakmp keepalive 10 periodic
!
!
!
!
!
!
interface FastEthernet0
no ip address
!
interface FastEthernet1
no ip address
!
interface FastEthernet2
no ip address
!
interface FastEthernet3
no ip address
!
interface FastEthernet4
description $ETH-WAN$
ip address 84.47.X.X 255.255.255.248
ip nat outside
ip nat enable
ip virtual-reassembly in
duplex auto
speed auto
!
interface Vlan1
description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$
ip address 192.168.5.1 255.255.255.0
ip nat inside
ip nat enable
ip virtual-reassembly in
ip tcp adjust-mss 1452
!
ip forward-protocol nd
ip http server
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
!
!
ip dns server
ip nat pool test 192.168.5.5 192.168.5.10 netmask 255.255.255.0
ip nat source list 100 interface FastEthernet4 overload
ip nat source list 102 pool test overload
ip nat source static tcp 192.168.5.5 3389 interface FastEthernet4 7717
ip nat inside source list 1 interface FastEthernet4 overload
ip nat inside source static tcp 192.168.5.5 3389 interface FastEthernet4 7717
ip route 0.0.0.0 0.0.0.0 84.47.169.65
!
access-list 1 remark INSIDE_IF=Vlan1
access-list 1 remark CCP_ACL Category=2
access-list 1 permit 192.168.5.0 0.0.0.255
access-list 23 permit 10.10.10.0 0.0.0.7
access-list 100 remark CCP_ACL Category=1
access-list 100 permit udp host 85.91.99.99 eq domain any
access-list 100 permit udp host 84.47.177.77 eq domain any
access-list 100 permit ip 192.168.5.0 0.0.0.255 any
access-list 102 permit tcp any eq 7717 host 84.47.169.69 eq 7717
no cdp run
!
!
!
!
route-map SDM_RMAP_1 permit 1
match ip address 101
!
route-map SDM_RMAP_2 permit 1
match ip address 109
!
!
control-plane
!
banner exec ^C
% Password expiration warning.
^C
banner login ^Cdomain-metiz
^C
!
line con 0
login local
line aux 0
line vty 0 4
access-class 23 in
privilege level 15
login local
transport input telnet ssh
!
end

Ответить | Сообщить модератору

Проброс порта Cicso 881, motok, 15:21 , 17-Янв-13 (8)
Может есть у кого такая модель. Может там нюансы свои какие нибудь? Или лицензия какая нибудь нужна? Ведь все возможные варианты перепробовал.
Ответить | Сообщить модератору
Проброс порта Cicso 881, spiegel, 15:22 , 17-Янв-13 (9)
>[оверквотинг удален]
> line con 0
>  login local
> line aux 0
> line vty 0 4
>  access-class 23 in
>  privilege level 15
>  login local
>  transport input telnet ssh
> !
> end
на интерфейсах уберите ip nat inside/outside
Ответить | Сообщить модератору

Проброс порта Cicso 881, motok, 15:25 , 17-Янв-13 (10)

> на интерфейсах уберите ip nat inside/outside
Инет пропал.

Ответить | Сообщить модератору

Проброс порта Cicso 881, spiegel, 15:34 , 17-Янв-13 (11)
>> на интерфейсах уберите ip nat inside/outside
> Инет пропал.
ip nat enable остался?
Ответить | Сообщить модератору

Проброс порта Cicso 881, spiegel, 15:41 , 17-Янв-13 (12)
>>> на интерфейсах уберите ip nat inside/outside
>> Инет пропал.
> ip nat enable остался?
почему в pool у вас стоит адрес 192.168.5.5? Он ведь уже занят. В пуле оставьте 1 свободный адрес.
Под этим адресом внешние хосты с портом 7717 будут общаться с вашим 192.168.5.5 на порт 3389 :
Итак было:
ip nat pool test 192.168.5.5 192.168.5.10 netmask 255.255.255.0
Сделайте:
ip nat pool test 192.168.5.200 192.168.5.200 netmask 255.255.255.0
192.168.5.200 или другой ip, который не занят в вашей сети!
Ответить | Сообщить модератору

Проброс порта Cicso 881, motok, 16:12 , 17-Янв-13 (13)
После того как убрал с интерфейсов "inside/outside" и ввел команду ip nat enable инет появился.
"почему в pool у вас стоит адрес 192.168.5.5? Он ведь уже занят. В пуле оставьте 1 свободный адрес.
Под этим адресом внешние хосты с портом 7717 будут общаться с вашим 192.168.5.5 на порт 3389"
Чуток я не понял.. Ip ..5.5 сеичас занят мной (его выдал dhcp). Зачем в пуле то оставлять свободный адрес??? Или при пробросе, клиент будет получать ip адрес от dhcp vlan'а?
++ а если я в конечном итоге вообще захочу от dhcp сервера отказаться.
Ответить | Сообщить модератору

Проброс порта Cicso 881, motok, 17:24 , 17-Янв-13 (14)

ip source-route
!
!
!
ip dhcp excluded-address 192.168.5.1 192.168.5.10
ip dhcp ping packets 4
!
ip dhcp pool LAN
import all
network 192.168.5.0 255.255.255.0
default-router 192.168.5.1
dns-server 192.168.5.1
!
!
ip cef
ip domain name domain.metiz.ru
ip name-server 84.47.177.77
ip name-server 85.91.99.99
no ipv6 cef
!
!
!
!
interface FastEthernet0
no ip address
!
interface FastEthernet1
no ip address
!
interface FastEthernet2
no ip address
!
interface FastEthernet3
no ip address
!
interface FastEthernet4
description $ETH-WAN$
ip address 84.47.X.X 255.255.255.248
ip nat enable
ip virtual-reassembly in
duplex auto
speed auto
!
interface Vlan1
description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$
ip address 192.168.5.1 255.255.255.0
ip nat enable
ip virtual-reassembly in
ip tcp adjust-mss 1452
!
!
ip dns server
ip nat pool LAN 192.168.5.200 192.168.5.200 netmask 255.255.255.0
ip nat pool test 192.168.5.200 192.168.5.200 netmask 255.255.255.0
ip nat pool 100 192.168.5.200 192.168.5.200 netmask 255.255.255.0
ip nat source list 1 interface FastEthernet4 overload
ip nat source list 100 interface FastEthernet4 overload
ip nat source static tcp 192.168.5.5 3389 interface FastEthernet4 7717
ip nat source list 102 pool 100 overload
ip nat inside source list 1 interface FastEthernet4 overload
ip nat inside source static tcp 192.168.5.5 3389 interface FastEthernet4 7717
ip route 0.0.0.0 0.0.0.0 84.47.169.65
!
access-list 1 remark INSIDE_IF=Vlan1
access-list 1 remark CCP_ACL Category=2
access-list 1 permit 192.168.5.0 0.0.0.255
access-list 23 permit 192.168.5.0 0.0.0.255
access-list 100 remark CCP_ACL Category=2
access-list 100 permit tcp host 84.47.X.X eq 7717 any eq 7717
access-list 100 permit udp host 84.47.177.77 eq domain any
access-list 100 permit udp host 85.91.99.99 eq domain any
access-list 100 permit ip 192.168.5.0 0.0.0.255 any
access-list 102 permit tcp any eq 7717 host 84.47.X.X eq 7717
no cdp run
!
!
Ответить | Сообщить модератору
Проброс порта Cicso 881, spiegel, 19:03 , 17-Янв-13 (15)
>[оверквотинг удален]
> access-list 23 permit 192.168.5.0 0.0.0.255
> access-list 100 remark CCP_ACL Category=2
> access-list 100 permit tcp host 84.47.X.X eq 7717 any eq 7717
> access-list 100 permit udp host 84.47.177.77 eq domain any
> access-list 100 permit udp host 85.91.99.99 eq domain any
> access-list 100 permit ip 192.168.5.0 0.0.0.255 any
> access-list 102 permit tcp any eq 7717 host 84.47.X.X eq 7717
> no cdp run
> !
> !
Давайте пошагово разберем ip nat enable:
1. Создаем список доступа для локалки для выхода в интернет:
access-list 100 permit ip 192.168.5.0 0.0.0.255 any
ip nat source list 100 interface FastEthernet4 overload
2. (Опционально) Трансляция внешних адресов на внутренний адрес 192.168.5.200:
ip nat pool test 192.168.5.200 192.168.5.200 netmask 255.255.255.0
ip nat source list 102 pool test overload
access-list 102 permit tcp ... пишем, при каких условиях внешние хосты получат трансляцию
3.Трансляция порта 7717 на порт 3389, при соединении с 192.168.5.5:
ip nat source static tcp 192.168.5.5 3389 interface FastEthernet4 7717
interface Vlan1
ip nat enable
interface FastEthernet4
ip nat enable
Ответить | Сообщить модератору
Проброс порта Cicso 881, motok, 19:29 , 17-Янв-13 (16)
Что делаю.
cisco#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
cisco(config)#access-list 100 permit ip 192.168.5.0 0.0.0.255 any
cisco(config)#ip nat source list 100 interface FastEthernet4 overload
cisco(config)#$ test 192.168.5.200 192.168.5.200 netmask 255.255.255.0
cisco(config)#ip nat source list 102 pool test overload
cisco(config)#access-list 102 permit tcp any eq 7717 host fastethernet4 eq 771$
Translating "fastethernet4"...domain server (84.47.177.77) (85.91.99.99)
access-list 102 permit tcp any eq 7717 host fastethernet4 eq 7717
cisco(config)#$ 102 permit tcp any eq 7717 host 84.47.X.X eq 7717
cisco(config)#$tcp 192.168.5.5 3389 interface 84.47.X.X 7717
cisco(config)#$ce static tcp 192.168.5.5 3389 interface fastethernet4 7717
cisco(config)#do wr
Building configuration...
[OK]
cisco(config)#exit
cisco#
Jan 17 16:25:52.770: %SYS-5-CONFIG_I: Configured from console by denis on consol
e

Во время и без попытки подключения:
cisco#sh ip nat tr
Pro Inside global      Inside local       Outside local      Outside global
tcp 84.47.X.X:7717  192.168.5.5:3389   ---                ---
Ответить | Сообщить модератору
Проброс порта Cicso 881, spiegel, 19:40 , 17-Янв-13 (17)
>[оверквотинг удален]
> cisco#
> Jan 17 16:25:52.770: %SYS-5-CONFIG_I: Configured from console by denis on consol
> e
> Во время и без попытки подключения:
> cisco#sh ip nat tr
> Pro Inside global      Inside local
>     Outside local
> Outside global
> tcp 84.47.X.X:7717  192.168.5.5:3389   ---
>           ---
теперь команда:
sh ip nat nvi tran
Ответить | Сообщить модератору
Проброс порта Cicso 881, motok, 19:48 , 17-Янв-13 (18)
cisco#sh ip nat nvi tran
Pro Source global Source local Destin local Destin global
tcp 84.47.X.X:7717 192.168.5.5:3389 --- ---
(лишние строки потер...)
Ответить | Сообщить модератору
Проброс порта Cicso 881, spiegel, 20:02 , 17-Янв-13 (19) +1
> cisco#sh ip nat nvi tran
> Pro Source global      Source local
>     Destin  local
>  Destin  global
> tcp 84.47.X.X:7717  192.168.5.5:3389   ---
>           ---
> (лишние строки потер...)
Так вроде все нормально. Хост 192.168.5.5 и портом 3389 будет получать адрес 84.47.х.х порт 7717. Внешние хосты с  портом 7717 будут  транслироваться в 3389.
Ответить | Сообщить модератору
Проброс порта Cicso 881, motok, 20:20 , 17-Янв-13 (20)
если раньше при попытки соединиться sh ip nat tr выдовал:
Pro Inside global Inside local Outside local Outside global
tcp 84.47.X.X:7717 192.168.5.5:3389 194.47.X.X:15103 194.47.X.X:15103
Т.е. показывал соединение (точнее попытку) с какого аипишника идет попытка (194.47.X.X), так теперь вообще прочерки. Ну может так и должно быть конечно.

Все заработало!!!!
не знаю что и как, но после reload все встало на свои места, вот только не поиму почему. Огромнейшее спасибо за терпение.
Ответить | Сообщить модератору
Проброс порта Cicso 881, spiegel, 20:38 , 17-Янв-13 (21)
> если раньше при попытки соединиться sh ip nat tr выдовал:
> Pro Inside global      Inside local
>     Outside local
> Outside global
> tcp 84.47.X.X:7717  192.168.5.5:3389   194.47.X.X:15103 194.47.X.X:15103
> Т.е. показывал соединение (точнее попытку) с какого аипишника идет попытка (194.47.X.X),
> так теперь вообще прочерки. Ну может так и должно быть конечно.
Так работает соединение или нет?
Строки:
ip nat pool test 192.168.5.200 192.168.5.200 netmask 255.255.255.0
ip nat source list 102 pool test overload
access-list 102 permit ...
можно удалить, они нужны, если вы хотите, чтобы внешние хосты были видны в локалке под адресом 192.168.1.200
Ответить | Сообщить модератору
Проброс порта Cicso 881, spiegel, 20:39 , 17-Янв-13 (22)
>[оверквотинг удален]
>> tcp 84.47.X.X:7717 192.168.5.5:3389 194.47.X.X:15103 194.47.X.X:15103
>> Т.е. показывал соединение (точнее попытку) с какого аипишника идет попытка (194.47.X.X),
>> так теперь вообще прочерки. Ну может так и должно быть конечно.
> Так работает соединение или нет?
> Строки:
> ip nat pool test 192.168.5.200 192.168.5.200 netmask 255.255.255.0
> ip nat source list 102 pool test overload
> access-list 102 permit ...
> можно удалить, они нужны, если вы хотите, чтобы внешние хосты были видны
> в локалке под адресом 192.168.1.200
Успехов!!!
Ответить | Сообщить модератору
Проброс порта Cicso 881, motok, 22:32 , 17-Янв-13 (23)
сеичас удаленно по rdp через правило подключился на 192.168.5,5. нетстат показал на нем подключение от внешнего аипишника подключенной машины. Т.е. не ...200. Ну мне в принципе это совсем и не нужно.
Ответить | Сообщить модератору
Проброс порта Cicso 881, motok, 18:45 , 23-Янв-13 (24)
А почему после смены внешнего (wan) ip, правило перестало работать?
После смены сделал такие правки:
interface FastEthernet4
description $ETH-WAN$
ip address 84.47.X.X-(тут поменяна только одна последняя цифра) 255.255.255.248
ip nat enable
ip virtual-reassembly in
duplex auto
speed auto
crypto map SDM_CMAP_1
Тут по прежнему (не чего не менял):
ip nat source static tcp 192.168.5.5 3389 interface FastEthernet4 7717
ip nat source list 100 interface FastEthernet4 overload
access-list 102 permit tcp any eq 7717 host 84.47.X.X-тут опять поменял последнюю цифру eq 7717
вроде бы все... все работает кроме проброса порта

Ответить | Сообщить модератору
Проброс порта Cicso 881, spiegel, 19:13 , 23-Янв-13 (25)
>[оверквотинг удален]
>  ip virtual-reassembly in
>  duplex auto
>  speed auto
>  crypto map SDM_CMAP_1
> Тут по прежнему (не чего не менял):
> ip nat source static tcp 192.168.5.5 3389 interface FastEthernet4 7717
> ip nat source list 100 interface FastEthernet4 overload
> access-list 102 permit tcp any eq 7717 host 84.47.X.X-тут опять поменял последнюю
> цифру eq 7717
> вроде бы все... все работает кроме проброса порта
clear ip nat nvi transl *
Ответить | Сообщить модератору
Проброс порта Cicso 881, motok, 22:31 , 23-Янв-13 (26)
> clear ip nat nvi transl *
а этой командой нат правила не очистятся? а то я описания данной команды не прогугливаю..
Ответить | Сообщить модератору
Проброс порта Cicso 881, spiegel, 22:58 , 23-Янв-13 (27)
>> clear ip nat nvi transl *
> а этой командой нат правила не очистятся? а то я описания данной
> команды не прогугливаю..
правила останутся, а таблица нат очистится. Посмотрите sh ip nat nvi trans, какой там ип натится

Ответить | Сообщить модератору
Проброс порта Cicso 881, motok, 11:12 , 25-Янв-13 (28)
>>> clear ip nat nvi transl *
>> а этой командой нат правила не очистятся? а то я описания данной
>> команды не прогугливаю..
> правила останутся, а таблица нат очистится. Посмотрите sh ip nat nvi trans,
> какой там ип натится
отображает только правила, что я создал для проброса портов. больше не чего. и везде source global новый аипишник.

Ответить | Сообщить модератору
Проброс порта Cicso 881, motok, 11:12 , 25-Янв-13 (29)
>>> clear ip nat nvi transl *
>> а этой командой нат правила не очистятся? а то я описания данной
>> команды не прогугливаю..
> правила останутся, а таблица нат очистится. Посмотрите sh ip nat nvi trans,
> какой там ип натится
отображает только правила, что я создал для проброса портов. больше не чего. и везде source global новый аипишник.
Building configuration...
Current configuration : 9373 bytes
!
! Last configuration change at 11:24:50 Moscow Fri Jan 25 2013 by denis
version 15.1
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname cisco
!
boot-start-marker
boot-end-marker
!
!
logging buffered 51200 warnings
enable secret 4 WIt8jvB9k8OmgaoqfrYwU//PXImqYGmcAxH9SvUrP.Q
!
no aaa new-model
!
memory-size iomem 10
clock timezone Moscow 3 0
crypto pki token default removal timeout 0
!
crypto pki trustpoint TP-self-signed-3162754647
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-3162754647
revocation-check none
rsakeypair TP-self-signed-3162754647
!
crypto pki trustpoint test_trustpoint_config_created_for_sdm
subject-name e=sdmtest@sdmtest.com
revocation-check crl
!
!
crypto pki certificate chain TP-self-signed-3162754647
certificate self-signed 01
  3082022B 30820194 A0030201 02020101 300D0609 2A864886 F70D0101 05050030
  31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274
  69666963 6174652D 33313632 37353436 3437301E 170D3133 30313137 31303437
  32335A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649
  4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D33 31363237
  35343634 3730819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281
  8100B2D2 C2132BB4 0CE3E735 F98DADB4 E1A33E70 097D149D DED2FB23 359167B7
  766179E3 316B35BB 76E199F5 6E55B5D1 30696D45 4C98B981 F1D4F804 29976B13
  29D1CF69 7E93DA63 34837278 4C62796D 5DEE8070 9F4C671B AC59DE2A F4938291
  0F2BFD2A 073DBBBF 415FC921 998CF530 AE1F5621 8DC5C0A4 18976F3D CF3562C3
  8D710203 010001A3 53305130 0F060355 1D130101 FF040530 030101FF 301F0603
  551D2304 18301680 145F0902 D236DDD0 C1720D17 5EA2CCF0 7F39BBBA 6E301D06
  03551D0E 04160414 5F0902D2 36DDD0C1 720D175E A2CCF07F 39BBBA6E 300D0609
  2A864886 F70D0101 05050003 8181009C ED922982 1E72881B FB826174 68253953
  F15BC62F 0B32D1CA 7306F58B 8B0FA9EC D1A8CABF 050A0362 E3B2446B 9D7B58C5
  B3827312 BCCC8C0E 0530760F A44B3074 8D261BB1 200157BC 92590B77 07A6435C
  92177556 C9F59F48 E06BA781 42BAAF78 C7AB18B5 A142937D 980C2E43 6B2C395F
  15A42A2B 95D7DAA9 AD3B1998 C476AE
      quit
crypto pki certificate chain test_trustpoint_config_created_for_sdm
ip source-route
!
!
!
ip dhcp ping packets 4
!
!
ip cef
ip domain name domain.metiz.ru
ip name-server 84.47.177.77
ip name-server 85.91.99.99
no ipv6 cef
!
!
multilink bundle-name authenticated
license udi pid CISCO881-PCI-K9 sn FC
license boot module c880-data level advipservices
!
!
archive
log config
  logging enable
  hidekeys
username denis privilege 15 view root secret 4 WIt8jvB9k8OmgaoqfrYwU//PXImqYGmcAxH9SvUrP.Q
username duk privilege 15 view root secret 4 Al8uww7VpZFUTM/RUP.HMrmnPkjI38WOgymMWl8y/QY
username secret
!
!
!
!
no ip ftp passive
!
!
crypto isakmp policy 1
encr 3des
authentication pre-share
group 2
crypto isakmp key Euxxxxxxx address 84.47.x.x
crypto isakmp fragmentation
crypto isakmp keepalive 10 periodic
!
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
!
crypto map SDM_CMAP_1 1 ipsec-isakmp
description Tunnel to84.47.x.x
set peer 84.47.x.x
set transform-set ESP-3DES-SHA
match address 101
!
!
!
!
!
interface FastEthernet0
switchport access vlan 2
no ip address
!
interface FastEthernet1
no ip address
!
interface FastEthernet2
no ip address
!
interface FastEthernet3
no ip address
!
interface FastEthernet4
description $ETH-WAN$
ip address 84.47.x.x (новый аипи) 255.255.255.248
ip nat enable
ip virtual-reassembly in
duplex auto
speed auto
crypto map SDM_CMAP_1
!
interface Vlan1
description $ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$
ip address 192.168.4.1 255.255.255.0
ip nat enable
ip virtual-reassembly in
ip tcp adjust-mss 1452
!
interface Vlan2
description vlan2
no ip address
!
ip forward-protocol nd
ip http server
ip http access-class 23
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
!
!
ip dns server
ip nat source static tcp 192.168.4.5 3389 interface FastEthernet4 7717
ip nat source static tcp 192.168.4.6 1494 interface FastEthernet4 3133
ip nat source static tcp 192.168.4.7 3389 interface FastEthernet4 3136
ip nat source list 100 interface FastEthernet4 overload
ip route 0.0.0.0 0.0.0.0 84.47.169.65
!
access-list 1 remark INSIDE_IF=Vlan1
access-list 1 remark CCP_ACL Category=2
access-list 1 permit 192.168.4.0 0.0.0.255
access-list 23 permit x.x.x.x
access-list 23 permit x.x.x.x
access-list 23 remark CCP_ACL Category=17
access-list 23 permit x.x.0.0 0.0.255.255
access-list 23 permit 192.168.4.0 0.0.0.255
access-list 100 remark CCP_ACL Category=2
access-list 100 deny   ip any host 195.91.160.35
access-list 100 deny   ip any host 77.220.178.130
access-list 100 deny   ip any host 80.93.57.66
access-list 100 deny   ip any host 195.68.160.20
access-list 100 deny   ip any host 91.202.99.50
access-list 100 deny   ip any host 77.221.130.10
access-list 100 deny   ip any host 212.119.216.134
access-list 100 deny   ip any host 217.170.79.87
access-list 100 deny   ip any host 213.248.59.245
access-list 100 deny   ip any host 194.135.105.138
access-list 100 deny   ip any host 81.177.141.135
access-list 100 deny   ip any host 74.125.45.100
access-list 100 deny   ip any host 195.68.160.7
access-list 100 deny   ip any host 81.177.141.137
access-list 100 deny   ip any host 202.122.102.179
access-list 100 deny   ip any host 217.106.233.97
access-list 100 deny   ip any host 217.106.233.101
access-list 100 deny   ip any host 192.91.186.42
access-list 100 deny   ip any host 195.239.111.3
access-list 100 permit tcp any host 195.34.32.101 eq smtp
access-list 100 permit tcp any host 62.213.70.42 eq smtp
access-list 100 permit tcp any host 194.67.23.111 eq smtp
access-list 100 permit tcp any host 213.248.54.203 eq smtp
access-list 100 permit tcp any host 213.180.204.38 eq smtp
access-list 100 permit tcp any 194.0.0.0 0.255.255.255 eq smtp
access-list 100 deny   tcp any any eq smtp
access-list 100 deny   ip 192.168.4.0 0.0.0.255 192.168.3.0 0.0.0.255
access-list 100 permit ip 192.168.4.0 0.0.0.255 any
access-list 101 remark CCP_ACL Category=4
access-list 101 remark IPSec Rule
access-list 101 permit ip 192.168.4.0 0.0.0.255 192.168.3.0 0.0.0.255
access-list 102 remark CCP_ACL Category=16
access-list 102 permit tcp any eq 3133 host 84.47.x.x eq 3133
access-list 102 permit tcp any eq 3136 host 84.47.x.x eq 3136   новые аипишники
access-list 102 permit tcp any eq 7717 host 84.47.x.x eq 7717
access-list 110 remark CCP_ACL Category=16
access-list 110 permit ip 192.168.4.0 0.0.0.255 any
no cdp run
!
!
!
!
route-map nonat permit 10
match ip address 110
!
!
control-plane
!
banner exec ^C
% Password expiration warning.
^C
banner login ^Cmetiz.pro
^C
!
line con 0
login local
line aux 0
line vty 0 4
access-class 23 in
privilege level 15
login local
transport input telnet ssh
transport output telnet ssh
!
end

Ответить | Сообщить модератору
Проброс порта Cicso 881, motok, 11:52 , 29-Янв-13 (30)
Ну что, идей нет? :(
Ответить | Сообщить модератору