форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[ Отслеживать ]

"IPSEC и NAT - видимо проблема с access-listами?.."

Сообщение от kirill_gera (ok) on 25-Июн-08, 15:38

Добрый день! Имеется циска 1841. На ней поднят IPSEC с другим офисом и NAT. Проблема - не идут пинги с этой самой циски в удаленную сеть. Все остальные пинги проходят. При этом если в качестве интерфейса для пингования принудительно указываю внутренный - все проходит отлично. Есть подозрение что она просто гонит свой траффик через внешний интерфейс... Как правильно решить эту проблему? Заранее Огромное Спасибо! Конфа: ! version 12.4 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname ciscotest ! boot-start-marker boot-end-marker ! ! no aaa new-model ! resource policy ! ip cef ! ! ! ! ! ! crypto isakmp policy 1 encr 3des hash md5 authentication pre-share group 2 crypto isakmp key key address <внешний адрес другого офиса> ! crypto ipsec security-association lifetime seconds 28800 ! crypto ipsec transform-set TS1 esp-3des esp-md5-hmac ! crypto map CRYPTO 1 ipsec-isakmp set peer <внешний адрес другого офиса> set transform-set TS1 set pfs group2 match address TUNNEL ! ! ! ! interface FastEthernet0/0 descripton Internet ip address <внешний айпишник> ip nat outside ip virtual-reassembly duplex auto speed auto crypto map CRYPTO ! interface FastEthernet0/1 descripion Internal Network ip address 192.168.1.1 255.255.255.0 ip nat inside ip virtual-reassembly duplex auto speed auto ! ip route 0.0.0.0 0.0.0.0 <гейт провайдера> ! ! no ip http server no ip http secure-server ip nat inside source list NATLIST interface FastEthernet0/0 overload ! ip access-list extended NATLIST deny   ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 <внутренная подсеть другого офиса> permit ip 192.168.1.0 0.0.0.255 any ip access-list extended TUNNEL permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 <внутренная подсеть другого офиса> ! ! ! ! ! ! ! control-plane ! ! ! line con 0 line aux 0 line vty 0 4 login ! scheduler allocate 20000 1000 end

Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "IPSEC и NAT - видимо проблема с access-listами?.."

Сообщение от CrAzOiD (ok) on 25-Июн-08, 16:08

>[оверквотинг удален] >! >! >! >line con 0 >line aux 0 >line vty 0 4 > login >! >scheduler allocate 20000 1000 >end а зачем вам хождение внешних адресов в туннеле?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "IPSEC и NAT - видимо проблема с access-listами?.."
	Сообщение от kirill_gera (ok) on 25-Июн-08, 16:15
	>а зачем вам хождение внешних адресов в туннеле? внешних - незачем. абсолютно. хотелось бы чтобы с циски мог нормально пройти пинг до внутреннего адреса сети другого офиса.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "IPSEC и NAT - видимо проблема с access-listами?.."
	Сообщение от CrAzOiD (ok) on 25-Июн-08, 16:41
	>>а зачем вам хождение внешних адресов в туннеле? > >внешних - незачем. >абсолютно. > > >хотелось бы чтобы с циски мог нормально пройти пинг до внутреннего адреса >сети другого офиса. ну так вы же пишите что при правильном указании сорса для адреса пинг проходит в чем тогда проблема?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "IPSEC и NAT - видимо проблема с access-listами?.."
	Сообщение от SergTel (ok) on 25-Июн-08, 16:51
	>[оверквотинг удален] >>внешних - незачем. >>абсолютно. >> >> >>хотелось бы чтобы с циски мог нормально пройти пинг до внутреннего адреса >>сети другого офиса. > >ну так вы же пишите что при правильном указании сорса для адреса >пинг проходит >в чем тогда проблема? проблема в отсутствии описания маршрута до сети по дефолту и идет через Fa0/0
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "IPSEC и NAT - видимо проблема с access-listами?.."
	Сообщение от kirill_gera (ok) on 25-Июн-08, 17:19
	>проблема в отсутствии описания маршрута до сети >по дефолту и идет через Fa0/0 хм. а как его правильно прописать, не подскажите? попробовал "ip route 192.168.2.0 255.255.255.0 interface fa 0/1" - не помогло.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "IPSEC и NAT - видимо проблема с access-listами?.."
	Сообщение от CrAzOiD (ok) on 25-Июн-08, 17:26
	>[оверквотинг удален] >>> >>>хотелось бы чтобы с циски мог нормально пройти пинг до внутреннего адреса >>>сети другого офиса. >> >>ну так вы же пишите что при правильном указании сорса для адреса >>пинг проходит >>в чем тогда проблема? > >проблема в отсутствии описания маршрута до сети >по дефолту и идет через Fa0/0 до какой сети у вас нет маршрута? что-то вы загадками говорите... Кроме этого, не забывайте что вы описали ACL в которых указали какие пакеты попадают в туннель а еще есть удаленная сторона и почему вы считает что она будет вам внешние адреса обратно в туннель кидать? Вообщем странного хотите и странно все описываете....
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "IPSEC и NAT - видимо проблема с access-listами?.."
	Сообщение от SergTel (ok) on 25-Июн-08, 19:33
	>>[оверквотинг удален] >>>> >до какой сети у вас нет маршрута? >что-то вы загадками говорите... >Кроме этого, не забывайте что вы описали ACL в которых указали какие >пакеты попадают в туннель >а еще есть удаленная сторона и почему вы считает что она будет >вам внешние адреса обратно в туннель кидать? > >Вообщем странного хотите и странно все описываете.... А туннель есть? я в конфиге такого интерфейса не увидел
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "IPSEC и NAT - видимо проблема с access-listами?.."
	Сообщение от kirill_gera (ok) on 25-Июн-08, 21:04
	>[оверквотинг удален] >>что-то вы загадками говорите... >>Кроме этого, не забывайте что вы описали ACL в которых указали какие >>пакеты попадают в туннель >>а еще есть удаленная сторона и почему вы считает что она будет >>вам внешние адреса обратно в туннель кидать? >> >>Вообщем странного хотите и странно все описываете.... > >А туннель есть? >я в конфиге такого интерфейса не увидел его и нет есть просто IPSEC-шифрование интересует как настроить циску так, чтобы она кидала свой пинг в удаленную сеть и получала ответ.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "IPSEC и NAT - видимо проблема с access-listами?.."
	Сообщение от SergTel (??) on 26-Июн-08, 06:02
	>[оверквотинг удален] >>>Вообщем странного хотите и странно все описываете.... >> >>А туннель есть? >>я в конфиге такого интерфейса не увидел > >его и нет >есть просто IPSEC-шифрование > >интересует как настроить циску так, чтобы она кидала свой пинг в удаленную >сеть и получала ответ. дать двум рутерам статику с указанием интерфейса куда отправлять пакеты
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]