The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Маршруты без шлюзов"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение [ Отслеживать ]

"Маршруты без шлюзов"  +/
Сообщение от Anatokom on 19-Ноя-09, 17:04 
Люди. Подсобите с проблемкой. Есть 2 кошки соединенных тоннелем. Тоннель есть. 2 подсети 192,168,128,0 и 192,168,1,0 Ping между кошками и даже между сетями есть. Но есть одно но.
Кошка в офисе сама пингует любой компьютер в своей сети. любой компьютер в филиале тоже видит и пингует компьютеры в офисе с одним условием...у этого офисного компьютера в качестве шлюза обязательно должна быть указана офисная кошка. как только убираешь - пинг до него остается только у офисной кошки, из другой подсети его уже не видно.
Вот и стоит задача сделать доступными из 192,168,128,0 любые компьютеры в сетке 192,168,1,0 независимо от того, прописан там шлюз у них или нет.

Конфиг у филиальной кошки следующий:
!
version 12.4
no service pad
service tcp-keepalives-in
service tcp-keepalives-out
service timestamps debug datetime msec localtime show-timezone
service timestamps log datetime msec localtime show-timezone
service password-encryption
service sequence-numbers
!
hostname Cisco-871W
!
boot-start-marker
boot-end-marker
!
logging message-counter syslog
logging buffered 51200
logging console critical
enable secret 5 xxxxxxxxxxxx
!
no aaa new-model
memory-size iomem 15
clock timezone Moscow 3
clock summer-time Moscow date Mar 30 2003 2:00 Oct 26 2003 3:00
!
crypto pki trustpoint TP-self-signed-2585883444
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-2585883444
revocation-check none
rsakeypair TP-self-signed-2585883444
!
!
crypto pki certificate chain TP-self-signed-2585883444
certificate self-signed 01
  3082024F 308201B8 A0030201 02020101 300D0609 2A864886 F70D0101 04050030
  31312F30 2D060355 04031326 494F532D 53656C66 2D536967 6E65642D 43657274
  69666963 6174652D 32353835 38383334 3434301E 170D3039 31313139 31313037
  33385A17 0D323030 31303130 30303030 305A3031 312F302D 06035504 03132649
  4F532D53 656C662D 5369676E 65642D43 65727469 66696361 74652D32 35383538
  38333434 3430819F 300D0609 2A864886 F70D0101 01050003 818D0030 81890281
  8100E399 05DC6A01 ACC9B215 E0DE85FA F57894A8 FE25E878 CAE5C0DA 7A79BB7F
  1FD09398 4BBC9F3C 0D649C42 75A795A4 9E10703A D117F290 03D6BEB8 B60C5A57
  2ED7B5E5 E8201BDA DF19A02B 62B56F63 C326EC09 FB5B51CB C102424D 612AFC73
  41C2B059 2CF1BE10 6B013AAF B9E61F67 9517E676 6A3E813C 9DDD403B 41C1770A
  FDCD0203 010001A3 77307530 0F060355 1D130101 FF040530 030101FF 30220603
  551D1104 1B301982 17436973 636F2D38 3731572E 55707261 76646F6D 2E636F6D
  301F0603 551D2304 18301680 146009AC E20C3B99 A0197838 031EF385 F64A7860
  B5301D06 03551D0E 04160414 6009ACE2 0C3B99A0 19783803 1EF385F6 4A7860B5
  300D0609 2A864886 F70D0101 04050003 818100B8 F89E2642 6DF68DEA 0DE71F3E
  64155CAF 147A5DAE F388B3B2 A0DB3820 BC84BD77 1AEF65F3 0E497B8E AE9D4438
  437E9E9E B87E71C2 C2F8A3B0 4C7E9E0D 51FFA368 9A0F9785 1E4C5D33 AFD45BC6
  A9E29C37 86A98B33 3EEF4EF8 3DD0E294 2611768C 364B03E2 B4B23874 195D0D1C
  93F3B340 8A43C7AE E41699D2 20C2A18A 47A778
      quit
dot11 syslog
no ip source-route
!
!
ip cef
no ip bootp server
ip domain name xxxxxx.com
ip name-server 87.249.xx.yy
ip name-server 192.168.1.7
!
!
!
!
username Administrator privilege 15 secret 5 xxxxxxxxxxxxxxxxxx
!
!
crypto isakmp policy 1
encr 3des
authentication pre-share
group 2
crypto isakmp key xxxxxxxxxxxx address 0.0.0.0 0.0.0.0
crypto isakmp keepalive 10
!
!
crypto ipsec transform-set TSET esp-3des esp-sha-hmac
!
crypto ipsec profile VTI
set transform-set TSET
!
!
archive
log config
  hidekeys
!
!
ip tcp synwait-time 10
ip ssh time-out 60
ip ssh authentication-retries 2
!
policy-map FOO
class class-default
    shape average 128000
!
!
!
!
interface Tunnel0
ip address 192.168.5.2 255.255.255.0
tunnel source 87.249.xx.yy
tunnel destination 82.138.xx.yy
tunnel mode ipsec ipv4
tunnel protection ipsec profile VTI
service-policy output FOO
!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
!
interface FastEthernet4
description WAN
ip address 87.249.xx.yy 255.255.255.x
no ip redirects
no ip unreachables
no ip proxy-arp
ip flow ingress
ip nat outside
ip virtual-reassembly
duplex auto
speed auto
!
interface Dot11Radio0
no ip address
no ip redirects
no ip unreachables
no ip proxy-arp
ip flow ingress
shutdown
speed basic-1.0 basic-2.0 basic-5.5 6.0 9.0 basic-11.0 12.0 18.0 24.0 36.0 48.0 54.0
station-role root
!
interface Vlan1
description LAN
ip address 192.168.128.254 255.255.255.0
no ip redirects
no ip unreachables
no ip proxy-arp
ip flow ingress
ip nat inside
ip virtual-reassembly
!
ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 87.249.xx.gg
ip route 192.168.1.0 255.255.255.0 Tunnel0
ip http server
ip http access-class 23
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
!
ip dns server
ip nat inside source list 100 interface FastEthernet4 overload
!
logging trap debugging
access-list 100 permit ip 192.168.128.0 0.0.0.255 any
no cdp run
----------------------

У Офисной практически зеркальный.

Высказать мнение | Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Маршруты без шлюзов"  +/
Сообщение от fantom (??) on 19-Ноя-09, 17:58 
>[оверквотинг удален]
>!
>ip dns server
>ip nat inside source list 100 interface FastEthernet4 overload
>!
>logging trap debugging
>access-list 100 permit ip 192.168.128.0 0.0.0.255 any
>no cdp run
>----------------------
>
>У Офисной практически зеркальный.

НАТ задом-наперед...

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "Маршруты без шлюзов"  +/
Сообщение от Anatokom on 20-Ноя-09, 09:56 
>[оверквотинг удален]
>>ip nat inside source list 100 interface FastEthernet4 overload
>>!
>>logging trap debugging
>>access-list 100 permit ip 192.168.128.0 0.0.0.255 any
>>no cdp run
>>----------------------
>>
>>У Офисной практически зеркальный.
>
>НАТ задом-наперед...

Хм. Работает. И там и там... И в примерах так же. Только еще правило добавил:
access-list 100 deny ip 192.168.128.0 0.0.0.255 192.168.1.0 0.0.0.255 any
access-list 100 permit ip 192.168.128.0 0.0.0.255 any
---
Чтобы не натилось в тонель.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "Маршруты без шлюзов"  +/
Сообщение от fantom (??) on 20-Ноя-09, 10:33 
>[оверквотинг удален]
>>>У Офисной практически зеркальный.
>>
>>НАТ задом-наперед...
>
>Хм. Работает. И там и там... И в примерах так же. Только
>еще правило добавил:
>access-list 100 deny ip 192.168.128.0 0.0.0.255 192.168.1.0 0.0.0.255 any
>access-list 100 permit ip 192.168.128.0 0.0.0.255 any
>---
>Чтобы не натилось в тонель.

Я недостаточно точно вызазился и вы недопоняли -
чтобы реализовать то, что вы хотите (доступ к машинам, на которых не прописан нужный шлюз) можно построить НАТ задом-наперед, т.е. если нужен доступ к сети 192.168.128.0, на интерфейсе с ип-ом из этой подсети надо ip nat outside повесить, и все будет бегать через ИП 192.168.128.<N>, а для машин с ИП-ами из подсети 192.168.128.0/24 для доступа к 192.168.128.<N> шлюз ненужен...

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "Маршруты без шлюзов"  +/
Сообщение от Anatokom on 20-Ноя-09, 11:07 
>>[оверквотинг удален]
>Я недостаточно точно вызазился и вы недопоняли -
>чтобы реализовать то, что вы хотите (доступ к машинам, на которых не прописан нужный шлюз) можно построить НАТ задом-наперед, т.е. если нужен доступ к сети 192.168.128.0, на интерфейсе с ип-ом из этой подсети надо ip nat outside повесить, и все будет бегать через ИП 192.168.128.<N>, а для машин с ИП-ами из подсети 192.168.128.0/24 для доступа к --192.168.128.<N> шлюз ненужен...
>>>>

Вот кусок офисного конфига, на каком надо повесить outside? На tunnel 0?

interface Tunnel0
ip address 192.168.5.1 255.255.255.0
tunnel source 82.138.xx.xx
tunnel destination 87.249.xx.xx
tunnel mode ipsec ipv4
tunnel protection ipsec profile VTI
service-policy output FOO
!
interface GigabitEthernet0/0
description WAN
ip address 82.138.xx.xx 255.255.255.xxx
ip nat outside
ip virtual-reassembly
duplex auto
speed auto
!
interface GigabitEthernet0/1
description LAN
ip address 192.168.1.254 255.255.255.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto
ip nat inside source list 100 interface GigabitEthernet0/0 overload
!
access-list 100 deny   ip 192.168.1.0 0.0.0.255 192.168.128.0 0.0.0.255
access-list 100 permit ip 192.168.1.0 0.0.0.255 any
----

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

7. "Маршруты без шлюзов"  +/
Сообщение от fantom (??) on 20-Ноя-09, 14:22 
>[оверквотинг удален]
> ip address 192.168.1.254 255.255.255.0
> ip nat inside
> ip virtual-reassembly
> duplex auto
> speed auto
>ip nat inside source list 100 interface GigabitEthernet0/0 overload
>!
>access-list 100 deny   ip 192.168.1.0 0.0.0.255 192.168.128.0 0.0.0.255
>access-list 100 permit ip 192.168.1.0 0.0.0.255 any
>----

Вообще на interface GigabitEthernet0/1, но у вас там ip nat inside уже есть, идея не сработает.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "Маршруты без шлюзов"  +/
Сообщение от j_vw on 19-Ноя-09, 20:01 

>Кошка в офисе сама пингует любой компьютер в своей сети. любой компьютер
>в филиале тоже видит и пингует компьютеры в офисе с одним
>условием...у этого офисного компьютера в качестве шлюза обязательно должна быть указана
>офисная кошка. как только убираешь - пинг до него остается только
>у офисной кошки, из другой подсети его уже не видно.

Ежу понятно ;)

>Вот и стоит задача сделать доступными из 192,168,128,0 любые компьютеры в сетке
>192,168,1,0 независимо от того, прописан там шлюз у них или нет.

Совсем без шлюза не получится....
Пишите на виндах прямой роут в эти сети через кошку (можно отдавать через дшсипи).
Но, имно, это - бред. Все красивее делается штатными средствами кошки.
Как я понимаю, стоит прокси и, типа, через него юзеры в инет лазят? ;)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "Маршруты без шлюзов"  +/
Сообщение от Anatokom on 20-Ноя-09, 10:09 
>>Вот и стоит задача сделать доступными из 192,168,128,0 любые компьютеры в сетке
>>192,168,1,0 независимо от того, прописан там шлюз у них или нет.
>
>Совсем без шлюза не получится....
>Пишите на виндах прямой роут в эти сети через кошку (можно отдавать
>через дшсипи).
>Но, имно, это - бред. Все красивее делается штатными средствами кошки.
>Как я понимаю, стоит прокси и, типа, через него юзеры в инет
>лазят? ;)

Да и она тоже. Ею бы и ограничились. но хочется все же так :) Ведь в чем проблема то? С офисной кошки же пингует независимо от того, стоят шлюзы у компов в ее сети или нет. Осталось просто как то между ее интерфейсами роутинг настроить.
Если я делаю Tracert из удаленной сети в офисную до компьютера БЕЗ шлюза, то он след вида:
Трассировка маршрута к 192.168.1.50 с максимальным числом пражков 30

  1     1 ms     1 ms     1 ms  192.168.128.254
  2    39 ms     8 ms     8 ms  192.168.5.1
  3     *        *        *     превышен интервал ожидания для запроса.
--
192.168.5.1 - Это у офисной кошки:
interface Tunnel0
ip address 192.168.5.1 255.255.255.0
Т.е она не роутит с Tunnel0 на свой же
interface GigabitEthernet0/1
description LAN
ip address 192.168.1.254 255.255.255.0

Если у 192,168,1,50 прописать шлюз - то все проходит.
---
Об этом же говорит если с кошки пинговать любой комп в ее сети от имени интерфейса тоннеля
Cisco-Office#ping 192.168.1.50 source Tunnel 0

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.1.50, timeout is 2 seconds:
Packet sent with a source address of 192.168.5.1
.....
Success rate is 0 percent (0/5)
----
Я конечно не силен в кошках и может где то бредю, но неужели никак нельзя это сделать?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

8. "Маршруты без шлюзов"  +/
Сообщение от blank (ok) on 20-Ноя-09, 16:10 
>[оверквотинг удален]
>Cisco-Office#ping 192.168.1.50 source Tunnel 0
>
>Type escape sequence to abort.
>Sending 5, 100-byte ICMP Echos to 192.168.1.50, timeout is 2 seconds:
>Packet sent with a source address of 192.168.5.1
>.....
>Success rate is 0 percent (0/5)
>----
>Я конечно не силен в кошках и может где то бредю, но
>неужели никак нельзя это сделать?

на оборудовании которое является шлюзом для компов указать явный маршрут
к требуемым сетям.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

9. "Маршруты без шлюзов"  +/
Сообщение от Anatokom on 20-Ноя-09, 16:30 
>>[оверквотинг удален]
>>.....
>>Success rate is 0 percent (0/5)
>>----
>>Я конечно не силен в кошках и может где то бредю, но
>>неужели никак нельзя это сделать?
>
>на оборудовании которое является шлюзом для компов указать явный маршрут
>к требуемым сетям.

Шлюзом является как раз кошка 2821, конфиг которой я приводил выше. :) просто
ip route 192.168.1.0 255.255.255.0 GigabitEthernet0/1
не помогает :)

---
Ладно... Нельзя так нельзя. :) Буду прописывать везде шлюзы или route add :)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

10. "Маршруты без шлюзов"  +/
Сообщение от blank (ok) on 20-Ноя-09, 16:38 
>[оверквотинг удален]
>>к требуемым сетям.
>
>Шлюзом является как раз кошка 2821, конфиг которой я приводил выше. :)
>просто
>ip route 192.168.1.0 255.255.255.0 GigabitEthernet0/1
>не помогает :)
>
>---
>Ладно... Нельзя так нельзя. :) Буду прописывать везде шлюзы или route add
>:)

пишите в ип.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру