форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[Проследить за развитием треда]

"где ошибки? --NAT PIX--"

Сообщение от Mazi (ok) on 24-Янв-07, 12:03

Схема такая LAN(192.168.20.0/24)-----PIX----WAN(172.16.1.0/32) Как настроить NAT в данном случае? Вот мой конфиг PIX Version 6.3(5) interface ethernet0 100full interface ethernet1 100full nameif ethernet0 outside security0 nameif ethernet1 inside security100 enable password 8Ry2YjIyt7RRXU24 encrypted passwd 2KFQnbNIdI.2KYOU encrypted hostname pixfirewall fixup protocol dns maximum-length 512 fixup protocol ftp 21 fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol http 80 fixup protocol icmp error fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol sip 5060 fixup protocol sip udp 5060 fixup protocol skinny 2000 fixup protocol smtp 25 fixup protocol sqlnet 1521 fixup protocol tftp 69 names         access-list acl_ping_outside permit icmp any any access-list acl_ping permit icmp any any source-quench access-list acl_ping permit icmp any any time-exceeded access-list acl_ping permit icmp any any unreachable access-list acl_ping permit icmp any any echo-reply access-list acl_ping permit icmp any any echo access-list acl_ping permit icmp any any access-list 101 permit tcp any any access-list 101 permit udp any any access-list 101 permit ip 172.16.1.0 255.255.255.252 172.16.1.0 255.255.255.252 pager lines 24 icmp permit any outside icmp permit any inside mtu outside 1500 mtu inside 1500 ip address outside 172.16.1.2 255.255.255.252 ip address inside 192.168.20.54 255.255.255.0 ip audit info action alarm ip audit attack action alarm pdm history enable arp timeout 14400 global (outside) 5 172.16.1.1 netmask 255.255.255.255 nat (inside) 5 192.168.20.0 255.255.255.0 0 0 access-group 101 in interface outside access-group acl_ping in interface inside conduit permit ip 172.16.1.0 255.255.255.252 172.16.1.0 255.255.255.252 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout sip-disconnect 0:02:00 sip-invite 0:03:00 timeout uauth 0:05:00 absolute aaa-server TACACS+ protocol tacacs+ aaa-server TACACS+ max-failed-attempts 3 aaa-server TACACS+ deadtime 10 aaa-server RADIUS protocol radius aaa-server RADIUS max-failed-attempts 3 aaa-server RADIUS deadtime 10 aaa-server LOCAL protocol local no snmp-server location no snmp-server contact snmp-server community public no snmp-server enable traps floodguard enable telnet 10.10.20.54 255.255.255.255 outside telnet timeout 5 ssh timeout 5 console timeout 0 terminal width 80 Cryptochecksum:4cb403438626a85460a9e68f6539e4c6 : end

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Сообщения по теме

[Сортировка по времени, UBB]

1. "где ошибки? --NAT PIX--"

Сообщение от mulderua on 24-Янв-07, 13:03

access-group может быть только одна для одного интерфейса !!!

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "где ошибки? --NAT PIX--"
	Сообщение от Mazi (ok) on 24-Янв-07, 13:37
	>access-group может быть только одна для одного интерфейса !!! Сделал вот так access-group acl_ping in interface outside access-group acl_ping in interface insid но все равно не работает!
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "где ошибки? --NAT PIX--"

Сообщение от magr (??) on 24-Янв-07, 16:04

В чем вообще вопрос, с деталями? И точно ли не нужен route ?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "где ошибки? --NAT PIX--"
	Сообщение от Mazi (ok) on 24-Янв-07, 16:12
	>В чем вообще вопрос, с деталями? >И точно ли не нужен route ? Задача сделать так, чтобы машины из сетки 192.168.20.0/24 ходили во внеху через PIX У PIX локальный IP 192.168.20.54, а на WAN интерфейсе прописан 172.xxx.xxx.xxx/30 Собственно нужнно сделать трансляцию локальных адресов на один внешний IP
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "где ошибки? --NAT PIX--"
	Сообщение от lomo on 24-Янв-07, 16:32
	Добавить в конце access-list acl_ping: access-list acl_ping permit ip any to any А вооьще - научитесь работать с логом PIX(а). Либо прямо на нет логи смотреть, либо на отдельностоящем syslog сервере.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "где ошибки? --NAT PIX--"
	Сообщение от Mazi (ok) on 24-Янв-07, 16:49
	>Добавить в конце access-list acl_ping: > >access-list acl_ping permit ip any to any > >А вооьще - научитесь работать с логом PIX(а). >Либо прямо на нет логи смотреть, либо на отдельностоящем syslog сервере. Хорошо было бы если б Вы подсказали мне какой посмотреть логи на PIX(просто не разу этого не делал)? А аксес лист у меня прописан и подцеплен на оба интерфейса...Дело не в этом... Меня интересует что нужно сделать в моей ситуации?????Вроде делаю все правильно, а не работает...Подскажите.....
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "где ошибки? --NAT PIX--"
	Сообщение от ilya (ok) on 24-Янв-07, 17:08
	>>Добавить в конце access-list acl_ping: >> >>access-list acl_ping permit ip any to any >> >>А вооьще - научитесь работать с логом PIX(а). >>Либо прямо на нет логи смотреть, либо на отдельностоящем syslog сервере. > > >Хорошо было бы если б Вы подсказали мне какой посмотреть логи на >PIX(просто не разу этого не делал)? >А аксес лист у меня прописан и подцеплен на оба интерфейса...Дело не >в этом... >Меня интересует что нужно сделать в моей ситуации?????Вроде делаю все правильно, а >не работает...Подскажите..... логи смотреть очень просто подключаемся к консоли и говорим logging on logg con 7 logg mon 7 если по телнету то не забываетм term mon и присоединюсь к предыдущим простам - а дефаулт гейт у вас где?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "где ошибки? --NAT PIX--"
	Сообщение от Mazi (??) on 25-Янв-07, 08:00
	>>>Добавить в конце access-list acl_ping: >>> >>>access-list acl_ping permit ip any to any >>> >>>А вооьще - научитесь работать с логом PIX(а). >>>Либо прямо на нет логи смотреть, либо на отдельностоящем syslog сервере. >> >> >>Хорошо было бы если б Вы подсказали мне какой посмотреть логи на >>PIX(просто не разу этого не делал)? >>А аксес лист у меня прописан и подцеплен на оба интерфейса...Дело не >>в этом... >>Меня интересует что нужно сделать в моей ситуации?????Вроде делаю все правильно, а >>не работает...Подскажите..... > > >логи смотреть очень просто >подключаемся к консоли и говорим > >logging on >logg con 7 >logg mon 7 > >если по телнету то не забываетм term mon > >и присоединюсь к предыдущим простам - а дефаулт гейт у вас где? > а как это делается? route outside 0.0.0.0 0.0.0.0 172.16.1.1 1????????
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "где ошибки? --NAT PIX--"
	Сообщение от ilya (ok) on 25-Янв-07, 08:45
	>>>>Добавить в конце access-list acl_ping: >>>> >>>>access-list acl_ping permit ip any to any >>>> >>>>А вооьще - научитесь работать с логом PIX(а). >>>>Либо прямо на нет логи смотреть, либо на отдельностоящем syslog сервере. >>> >>> >>>Хорошо было бы если б Вы подсказали мне какой посмотреть логи на >>>PIX(просто не разу этого не делал)? >>>А аксес лист у меня прописан и подцеплен на оба интерфейса...Дело не >>>в этом... >>>Меня интересует что нужно сделать в моей ситуации?????Вроде делаю все правильно, а >>>не работает...Подскажите..... >> >> >>логи смотреть очень просто >>подключаемся к консоли и говорим >> >>logging on >>logg con 7 >>logg mon 7 >> >>если по телнету то не забываетм term mon >> >>и присоединюсь к предыдущим простам - а дефаулт гейт у вас где? >> > > а как это делается? >route outside 0.0.0.0 0.0.0.0 172.16.1.1 1???????? да, менно так. но доступв из 192й сети в 172 должен быть и так (правда если там есть устройства которые могут отвечать)
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "где ошибки? --NAT PIX--"
	Сообщение от Mazi (??) on 25-Янв-07, 10:09
	>да, менно так. но доступв из 192й сети в 172 должен быть >и так (правда если там есть устройства которые могут отвечать) А почему у меня не пингуется удаленная LAN 10.10.20.0/24, тогда как из удаленной сети пинги прозодят через PIX?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	11. "где ошибки? --NAT PIX--"
	Сообщение от ilya (ok) on 25-Янв-07, 10:31
	> >>да, менно так. но доступв из 192й сети в 172 должен быть >>и так (правда если там есть устройства которые могут отвечать) >А почему у меня не пингуется удаленная LAN 10.10.20.0/24, тогда как из >удаленной сети пинги прозодят через PIX? ничего не понял какая сеть, где она удаленная откуда проходит трафик откуда не проходит что говорит traceroute
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	12. "где ошибки? --NAT PIX--"
	Сообщение от magr (??) on 25-Янв-07, 10:46
	>>В чем вообще вопрос, с деталями? >>И точно ли не нужен route ? > > >Задача сделать так, чтобы машины из сетки 192.168.20.0/24 ходили во внеху через >PIX >У PIX локальный IP 192.168.20.54, а на WAN интерфейсе прописан 172.xxx.xxx.xxx/30 >Собственно нужнно сделать трансляцию локальных адресов на один внешний IP в исходном конфиге 1. не хватает роута 2. видимо ошибочен global (outside) 5 172.16.1.1 netmask 255.255.255.255 замените на global (outside) 5 interface 3. аксесс-листы на время тестов можно сделать максимально все открывающими
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	13. "где ошибки? --NAT PIX--"
	Сообщение от Mazi (??) on 25-Янв-07, 11:06
	>>>В чем вообще вопрос, с деталями? >>>И точно ли не нужен route ? >> >> >>Задача сделать так, чтобы машины из сетки 192.168.20.0/24 ходили во внеху через >>PIX >>У PIX локальный IP 192.168.20.54, а на WAN интерфейсе прописан 172.xxx.xxx.xxx/30 >>Собственно нужнно сделать трансляцию локальных адресов на один внешний IP > >в исходном конфиге >1. не хватает роута >2. видимо ошибочен global (outside) 5 172.16.1.1 netmask 255.255.255.255 >замените на global (outside) 5 interface > >3. аксесс-листы на время тестов можно сделать максимально все открывающими а зачем вообще нужен это global (outside). И что значит цифра 5?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	14. "где ошибки? --NAT PIX--"
	Сообщение от lomo on 25-Янв-07, 18:32
	>а зачем вообще нужен это global (outside). И что значит цифра 5? Молодой человек, почитайте документацию plz. Вам она еще пригодидзе :) У Вас очень простая задача. Цифра 5 - приоритет.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	15. "где ошибки? --NAT PIX--"
	Сообщение от mulderua on 25-Янв-07, 23:43
	не путайте человека 5 это не приоритет это идентификатор НАТ процеса... т.е global(outside) 5 interface означает включение PAT(Port Adress Translation) а цифра 5 показывает что грубо говоря под трансляцию попадает nat (inside) 5 192.168.20.0 255.255.255.0 0 0 у которого тот же идентификатор. Думаю так понятней !
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	16. "где ошибки? --NAT PIX--"
	Сообщение от Mazi (??) on 26-Янв-07, 12:13
	>не путайте человека 5 это не приоритет это идентификатор НАТ процеса... > т.е >global(outside) 5 interface означает включение PAT(Port Adress Translation) >а цифра 5 показывает что грубо говоря под трансляцию попадает >nat (inside) 5 192.168.20.0 255.255.255.0 0 0 > у которого тот же идентификатор. Думаю так понятней ! спасибо за разъяснение. Я кстати так и думал. А можно вам еще один ламерский вопрос задать, просто знать то знаю,  а не совсем понимаю...
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	17. "где ошибки? --NAT PIX--"
	Сообщение от Mazi (??) on 26-Янв-07, 12:34
	Можете мне объяснить, только "по русски" в чем отличия PPPoE от PPPTP И какой в каких случаях следует использовать...Ссылки давать не надо.И так уже много читал
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]