The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]




Версия для распечатки Пред. тема | След. тема
Новые ответы [ Отслеживать ]
Cisco 3745: валится NAT, !*! HackerCB, 19-Янв-06, 12:51  [смотреть все]
Помогите советом:

Cisco3745:

interface Loopback1 # чтобы netflow нормально экспортил
description FOR NAT netflow
ip address 192.168.88.1 255.255.255.0
ip route-cache policy
ip route-cache flow
!

interface FastEthernet0/0 - Внешний, поднятно BGP
ip address x.x.x.x y.y.y.y
no ip redirects
no ip unreachables
no ip proxy-arp
ip nat outside
ip route-cache policy
ip route-cache flow
no ip mroute-cache
ip policy route-map NATMAP

interface FastEthernet0/1.2 #внутренний
encapsulation dot1Q 591
ip address 10.60.0.1 255.255.255.0
ip nat inside
route-map NATMAP permit 10
match ip address 108
set interface Loopback1
!
ip nat pool natpool a.b.c.32 a.b.c.47 netmask 255.255.255.192 type rotary
ip nat inside source list 1 pool natpool

access-list 1 permit 10.60.0.0 0.0.255.255
access-list 108 permit ip any 10.60.0.0 0.0.255.255


Когда 5-10 машин коннектиться - все без проблем.
Когда около 100 машин все начинает жутко тормозить ping yandex.ru 60%потерь.
Канал в инет нормальный, 10 Мбит, загружено около 30%.

  • Cisco 3745: валится NAT, !*! sh_, 14:12 , 19-Янв-06 (1)
    Так и должно быть. Можно так сделать
    interface FastEthernet0/0
    no ip policy route-map NATMAP
    но тогда считаться не будет...
    На всякий случай sh proc cpu so 5s во время тормозов...
    • Cisco 3745: валится NAT, !*! HackerCB, 14:20 , 19-Янв-06 (2)
      >Так и должно быть. Можно так сделать
      >interface FastEthernet0/0
      >no ip policy route-map NATMAP
      >но тогда считаться не будет...
      >На всякий случай sh proc cpu so 5s во время тормозов...
      а overload не нужно ставить ?


      • Cisco 3745: валится NAT, !*! Nailer, 14:54 , 19-Янв-06 (3)
        >>Так и должно быть. Можно так сделать
        >>interface FastEthernet0/0
        >>no ip policy route-map NATMAP
        >>но тогда считаться не будет...
        >>На всякий случай sh proc cpu so 5s во время тормозов...
        >а overload не нужно ставить ?

        Смотря чего вы хотите добится.

        Проблема скорее всего в 100% загрузке проца, которая происходит из-за того, что из-за PBR циска впадает в process-switching.

        Посмотрите в сторону netflow egress, по-идее, он работает в CEF.

        • Cisco 3745: валится NAT, !*! HackerCB, 15:26 , 19-Янв-06 (4)
          >>>Так и должно быть. Можно так сделать
          >>>interface FastEthernet0/0
          >>>no ip policy route-map NATMAP
          >>>но тогда считаться не будет...
          >>>На всякий случай sh proc cpu so 5s во время тормозов...
          >>а overload не нужно ставить ?
          >
          >Смотря чего вы хотите добится.
          >
          >Проблема скорее всего в 100% загрузке проца, которая происходит из-за того, что
          >из-за PBR циска впадает в process-switching.
          >
          >Посмотрите в сторону netflow egress, по-идее, он работает в CEF.
          Во-первых у меня IOS 12.3(9), а он этого не умеет
          во-вторых, если я на одном интерефейсе буду сливать также исходящий траф, а на других только входящий - то некоторый входящий будет считаться два раза...(который не проходит через NAT)


          • Cisco 3745: валится NAT, !*! Nailer, 15:52 , 19-Янв-06 (5)
            >>>>Так и должно быть. Можно так сделать
            >>>>interface FastEthernet0/0
            >>>>no ip policy route-map NATMAP
            >>>>но тогда считаться не будет...
            >>>>На всякий случай sh proc cpu so 5s во время тормозов...
            >>>а overload не нужно ставить ?
            >>
            >>Смотря чего вы хотите добится.
            >>
            >>Проблема скорее всего в 100% загрузке проца, которая происходит из-за того, что
            >>из-за PBR циска впадает в process-switching.
            >>
            >>Посмотрите в сторону netflow egress, по-идее, он работает в CEF.
            >Во-первых у меня IOS 12.3(9), а он этого не умеет
            >во-вторых, если я на одном интерефейсе буду сливать также исходящий траф, а
            >на других только входящий - то некоторый входящий будет считаться два
            >раза...(который не проходит через NAT)

            Ну так включите только на внутреннем интерфейсе. Или у вас и DMZ до кучи на ней висит?


            • Cisco 3745: валится NAT, !*! HackerCB, 17:44 , 19-Янв-06 (6)
              >>>>>Так и должно быть. Можно так сделать
              >>>>>interface FastEthernet0/0
              >>>>>no ip policy route-map NATMAP
              >>>>>но тогда считаться не будет...
              >>>>>На всякий случай sh proc cpu so 5s во время тормозов...
              >>>>а overload не нужно ставить ?
              >>>
              >>>Смотря чего вы хотите добится.
              >>>
              >>>Проблема скорее всего в 100% загрузке проца, которая происходит из-за того, что
              >>>из-за PBR циска впадает в process-switching.
              >>>
              >>>Посмотрите в сторону netflow egress, по-идее, он работает в CEF.
              >>Во-первых у меня IOS 12.3(9), а он этого не умеет
              >>во-вторых, если я на одном интерефейсе буду сливать также исходящий траф, а
              >>на других только входящий - то некоторый входящий будет считаться два
              >>раза...(который не проходит через NAT)
              >
              >Ну так включите только на внутреннем интерфейсе. Или у вас и DMZ
              >до кучи на ней висит?
              У нее 4 интерфейса:
              1 - внешка (BGP)
              2 - локалка+внешники №1
              3 - локалка+внешники №2
              4 - локалка+внешники №4

              между локалками нужно считать внутристевой трафик.




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру