форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Маршрутизаторы CISCO и др. оборудование. (ACL, фильтрация и ограничение трафика)
Изначальное сообщение		[ Отслеживать ]

"Перенаправление исходящего трафика от почтового сервера"	+/–
Сообщение от xev (ok) on 10-Апр-13, 11:54
Здравствуйте! Имеется почтовый сервер в локальной сети Также имеется маршрутизатор Cisco выполняющий роль шлюза в этой сети На маршрутизаторе имеется 2 интерфейса : первый - основной для выхода в интернет, loopback - для почты. Чтобы почта доставлялась до нашего сервера сделан статический нат с loopback на внутренний адрес почтового сервера, все ок. Проблема в следующем Как перенаправить на этот loopback и исходящий трафик чтобы и получилаи мы почту и отправляли с одного адреса Сейчас почта получается через loopback а уходит через интерфейс для инет Спасибо все заранее.
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Перенаправление исходящего трафика от почтового сервера"	+/–
Сообщение от GolDi (??) on 10-Апр-13, 12:12
>[оверквотинг удален] > Также имеется маршрутизатор Cisco выполняющий роль шлюза в этой сети > На маршрутизаторе имеется 2 интерфейса : первый - основной для выхода в > интернет, loopback - для почты. > Чтобы почта доставлялась до нашего сервера сделан статический нат с loopback на > внутренний адрес почтового сервера, все ок. > Проблема в следующем > Как перенаправить на этот loopback и исходящий трафик чтобы и получилаи мы > почту и отправляли с одного адреса > Сейчас почта получается через loopback а уходит через интерфейс для инет > Спасибо все заранее. конфиг ппокажите
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	2. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от xev (ok) on 10-Апр-13, 12:22
	>[оверквотинг удален] >> На маршрутизаторе имеется 2 интерфейса : первый - основной для выхода в >> интернет, loopback - для почты. >> Чтобы почта доставлялась до нашего сервера сделан статический нат с loopback на >> внутренний адрес почтового сервера, все ок. >> Проблема в следующем >> Как перенаправить на этот loopback и исходящий трафик чтобы и получилаи мы >> почту и отправляли с одного адреса >> Сейчас почта получается через loopback а уходит через интерфейс для инет >> Спасибо все заранее. > конфиг ппокажите 1.1.1.1 - внешний адрес для почты (loopback10) 2.2.2.2 - внутренний адрес почтового сервера interface Loopback10 ip address x.x.x.x 255.255.255.248 secondary ip address x.x.x.x 255.255.255.248 secondary ip address x.x.x.x 255.255.255.248 secondary ip address 1.1.1.1 255.255.255.248 - тот самый интерфес через который получаем почту ip nat outside ip virtual-reassembly ip route-cache flow ip nat inside source static tcp 2.2.2.2 25 1.1.1.1 25 extendable - пробрасывем почту наружу ip nat inside source route-map ROUTE-MAP-LIST interface FastEthernet0/1 overload - интернет в ROUTE-MAP-LIST имеется ACL permit ip host x.x.x.x any permit ip host x.x.x.x any permit ip host x.x.x.x any permit ip host x.x.x.x any permit ip host 2.2.2.2 any пускаем здесь и почтовый сервер, так как на нем еще и крутится прокси(
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	3. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от GolDi (??) on 10-Апр-13, 12:29
	>[оверквотинг удален] > ip nat inside source static tcp 2.2.2.2 25 1.1.1.1 25 extendable - > пробрасывем почту наружу > ip nat inside source route-map ROUTE-MAP-LIST interface FastEthernet0/1 overload - интернет > в ROUTE-MAP-LIST имеется ACL >  permit ip host x.x.x.x any >  permit ip host x.x.x.x any >  permit ip host x.x.x.x any >  permit ip host x.x.x.x any >  permit ip host 2.2.2.2 any пускаем здесь и почтовый сервер, так > как на нем еще и крутится прокси( а зачем такой изврат через loopback?
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	4. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от xev (ok) on 10-Апр-13, 12:33
	>[оверквотинг удален] >> пробрасывем почту наружу >> ip nat inside source route-map ROUTE-MAP-LIST interface FastEthernet0/1 overload - интернет >> в ROUTE-MAP-LIST имеется ACL >>  permit ip host x.x.x.x any >>  permit ip host x.x.x.x any >>  permit ip host x.x.x.x any >>  permit ip host x.x.x.x any >>  permit ip host 2.2.2.2 any пускаем здесь и почтовый сервер, так >> как на нем еще и крутится прокси( > а зачем такой изврат через loopback? ну интерфейс смотрящий в интернет всего один, на нем висит адрес для итнрнета, мне же нужно разделить эти 2 потока, инача попаду в спам лист быстро ну я и поднял второй в виде loopback подскажите если есть другой способ
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	5. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от AlexDv (??) on 10-Апр-13, 12:39
	>[оверквотинг удален] >>>  permit ip host x.x.x.x any >>>  permit ip host x.x.x.x any >>>  permit ip host 2.2.2.2 any пускаем здесь и почтовый сервер, так >>> как на нем еще и крутится прокси( >> а зачем такой изврат через loopback? > ну интерфейс смотрящий в интернет всего один, > на нем висит адрес для итнрнета, мне же нужно разделить эти 2 > потока, инача попаду в спам лист быстро > ну я и поднял второй в виде loopback > подскажите если есть другой способ В спам-лист вы попадете если будете рассылать спам, независимо с какого интерфейса :)
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	6. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от xev (ok) on 10-Апр-13, 12:41
	>[оверквотинг удален] >>>>  permit ip host 2.2.2.2 any пускаем здесь и почтовый сервер, так >>>> как на нем еще и крутится прокси( >>> а зачем такой изврат через loopback? >> ну интерфейс смотрящий в интернет всего один, >> на нем висит адрес для итнрнета, мне же нужно разделить эти 2 >> потока, инача попаду в спам лист быстро >> ну я и поднял второй в виде loopback >> подскажите если есть другой способ > В спам-лист вы попадете если будете рассылать спам, независимо с какого интерфейса > :) ну вот я тоже так думал оказалось что если адрес на который почта приходит разница с адресом с которого уходит, попадаешь в спам лист, проверено.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	7. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от GolDi (??) on 10-Апр-13, 12:44
	>[оверквотинг удален] >>> ну интерфейс смотрящий в интернет всего один, >>> на нем висит адрес для итнрнета, мне же нужно разделить эти 2 >>> потока, инача попаду в спам лист быстро >>> ну я и поднял второй в виде loopback >>> подскажите если есть другой способ >> В спам-лист вы попадете если будете рассылать спам, независимо с какого интерфейса >> :) > ну вот я тоже так думал > оказалось что если адрес на который почта приходит разница с адресом с > которого уходит, попадаешь в спам лист, проверено. внешних ip у вас сколько? повесте второй ip  как secondary  на внешний интерфейс (может и не надо даже), и создайте правило nat  на почтовый сервер
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	8. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от xev (ok) on 10-Апр-13, 12:50
	>[оверквотинг удален] >>>> подскажите если есть другой способ >>> В спам-лист вы попадете если будете рассылать спам, независимо с какого интерфейса >>> :) >> ну вот я тоже так думал >> оказалось что если адрес на который почта приходит разница с адресом с >> которого уходит, попадаешь в спам лист, проверено. > внешних ip у вас сколько? > повесте второй ip  как secondary  на внешний интерфейс (может и > не надо даже), и создайте правило > nat  на почтовый сервер внешних ip зарезервированных за нами у нас много на loopbacke также висят адреса для web и vpn Ну можно и повесить как secondary только какая разница... NAT же есть ip nat inside source static tcp 192.168.100.10 25 82.200.26.42 25 extendable но почему то почта уходит все равно через адрес интернета а не через статический нат...
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	9. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от GolDi (??) on 10-Апр-13, 13:27
	>[оверквотинг удален] >> повесте второй ip  как secondary  на внешний интерфейс (может и >> не надо даже), и создайте правило >> nat  на почтовый сервер > внешних ip зарезервированных за нами у нас много > на loopbacke также висят адреса для web и vpn > Ну можно и повесить как secondary только какая разница... > NAT же есть > ip nat inside source static tcp 192.168.100.10 25 82.200.26.42 25 extendable > но почему то почта уходит все равно через адрес интернета а не > через статический нат... а если прописать статичесую трансляцию без указания портов?
	Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

	10. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от xev (ok) on 10-Апр-13, 13:39
	>[оверквотинг удален] >>> не надо даже), и создайте правило >>> nat  на почтовый сервер >> внешних ip зарезервированных за нами у нас много >> на loopbacke также висят адреса для web и vpn >> Ну можно и повесить как secondary только какая разница... >> NAT же есть >> ip nat inside source static tcp 192.168.100.10 25 82.200.26.42 25 extendable >> но почему то почта уходит все равно через адрес интернета а не >> через статический нат... > а если прописать статичесую трансляцию без указания портов? попробовал, произошла странная вещь, получилось что теперь весь трафик ушел через внешний почтовый интерфейс loopback, включая и почту.
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	11. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от GolDi (??) on 10-Апр-13, 13:51
	>[оверквотинг удален] >>> внешних ip зарезервированных за нами у нас много >>> на loopbacke также висят адреса для web и vpn >>> Ну можно и повесить как secondary только какая разница... >>> NAT же есть >>> ip nat inside source static tcp 192.168.100.10 25 82.200.26.42 25 extendable >>> но почему то почта уходит все равно через адрес интернета а не >>> через статический нат... >> а если прописать статичесую трансляцию без указания портов? > попробовал, произошла странная вещь, получилось что теперь весь трафик ушел через внешний > почтовый интерфейс loopback, включая и почту. навеоно есть route-map на loopback
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	13. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от Andrey (??) on 10-Апр-13, 15:05
	>[оверквотинг удален] >>> внешних ip зарезервированных за нами у нас много >>> на loopbacke также висят адреса для web и vpn >>> Ну можно и повесить как secondary только какая разница... >>> NAT же есть >>> ip nat inside source static tcp 192.168.100.10 25 82.200.26.42 25 extendable >>> но почему то почта уходит все равно через адрес интернета а не >>> через статический нат... >> а если прописать статичесую трансляцию без указания портов? > попробовал, произошла странная вещь, получилось что теперь весь трафик ушел через внешний > почтовый интерфейс loopback, включая и почту. Попробуйте такую конструкцию: ! NAT для выходящего трафика. ip nat pool Users a.b.c.d a.b.c.d netmask 255.255.255.248 ip nat pool Mail a.b.c.e a.b.c.e netmask 255.255.255.248 ip nat inside source list Users-ACL pool Users overload ip nat inside source lost Mail-Server pool Mail overload ! NAT для входящего трафика на почтовый сервер ip nat inside source static tcp IP.MAIL.SER.VER 25 a.b.c.e 25 ! ACL для разных пулов NAT трансляций ip access-list extended Users-ACL deny tcp host IP.MAIL.SER.VER any eq 25 permit any any ip access-list extended Mail-Server permit tcp host IP.MAIL.SER.VER any eq 25 И никаких PBR. Использование Loopback тоже отсутствует.
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	15. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от xev (ok) on 11-Апр-13, 07:09
	>[оверквотинг удален] > ip nat inside source lost Mail-Server pool Mail overload > ! NAT для входящего трафика на почтовый сервер > ip nat inside source static tcp IP.MAIL.SER.VER 25 a.b.c.e 25 > ! ACL для разных пулов NAT трансляций > ip access-list extended Users-ACL >  deny tcp host IP.MAIL.SER.VER any eq 25 >  permit any any > ip access-list extended Mail-Server >  permit tcp host IP.MAIL.SER.VER any eq 25 > И никаких PBR. Использование Loopback тоже отсутствует. Да, все логично и должно работать! Я делал такой список доступа для роут-мапа ip access-list extended Mail-Server permit tcp host IP.MAIL.SER.VER any eq 25 почему то в нем нет совпадении!!
	Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

	16. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от Andrey (??) on 11-Апр-13, 08:39
	>[оверквотинг удален] >>  deny tcp host IP.MAIL.SER.VER any eq 25 >>  permit any any >> ip access-list extended Mail-Server >>  permit tcp host IP.MAIL.SER.VER any eq 25 >> И никаких PBR. Использование Loopback тоже отсутствует. > Да, все логично и должно работать! > Я делал такой список доступа для роут-мапа > ip access-list extended Mail-Server > permit tcp host IP.MAIL.SER.VER any eq 25 > почему то в нем нет совпадении!! А весь остальной трафик как обрабатывается? Покажите текущую конфигурацию. Зачем вам роут-мап? У вас один канал, один маршрутизатор. У вас по ТЗ нет других маршрутизаторов и выходов через другие каналы связи. Избавляйтесь от роут-мапов, это сильно грузит процессор маршрутизатора.
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

	17. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от xev (ok) on 11-Апр-13, 09:44
	>[оверквотинг удален] >>> И никаких PBR. Использование Loopback тоже отсутствует. >> Да, все логично и должно работать! >> Я делал такой список доступа для роут-мапа >> ip access-list extended Mail-Server >> permit tcp host IP.MAIL.SER.VER any eq 25 >> почему то в нем нет совпадении!! > А весь остальной трафик как обрабатывается? Покажите текущую конфигурацию. > Зачем вам роут-мап? У вас один канал, один маршрутизатор. У вас по > ТЗ нет других маршрутизаторов и выходов через другие каналы связи. Избавляйтесь > от роут-мапов, это сильно грузит процессор маршрутизатора. Проблему решил с помощью роут-мапа на loopback не работало потому что составил ACL не верно я делал так permit tcp host IP.MAIL.SER.VER eq 25 any а надо permit tcp host IP.MAIL.SER.VER any eq 25 Возможно вы и правы что проблему можно решить и без роут-мапа, но дело в том что адрес смотрящий в интернет и адрес для почты совершенно разные, то есть разные включая подсеть, вот я не знаю ваш пример заработает в таком случае.
	Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

	12. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от AlexDv (??) on 10-Апр-13, 14:11
	>[оверквотинг удален] >>> ну интерфейс смотрящий в интернет всего один, >>> на нем висит адрес для итнрнета, мне же нужно разделить эти 2 >>> потока, инача попаду в спам лист быстро >>> ну я и поднял второй в виде loopback >>> подскажите если есть другой способ >> В спам-лист вы попадете если будете рассылать спам, независимо с какого интерфейса >> :) > ну вот я тоже так думал > оказалось что если адрес на который почта приходит разница с адресом с > которого уходит, попадаешь в спам лист, проверено. Это не спам-лист, а spf-check. Пропишите нужным ip разрешения на отправку почты.
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	14. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от xev (ok) on 11-Апр-13, 06:51
	>[оверквотинг удален] >>>> на нем висит адрес для итнрнета, мне же нужно разделить эти 2 >>>> потока, инача попаду в спам лист быстро >>>> ну я и поднял второй в виде loopback >>>> подскажите если есть другой способ >>> В спам-лист вы попадете если будете рассылать спам, независимо с какого интерфейса >>> :) >> ну вот я тоже так думал >> оказалось что если адрес на который почта приходит разница с адресом с >> которого уходит, попадаешь в спам лист, проверено. > Это не спам-лист, а spf-check. Пропишите нужным ip разрешения на отправку почты. ну мой сервер допустим представляется mail.example.com для него днс прописан 2.2.2.2 Вот я так понял есть спам-фильтры которые проверяют это доменное имя, и адрес c которого им пришла почта не совпадает с адресом mail.example.com
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	18. "Перенаправление исходящего трафика от почтового сервера"	+/–
	Сообщение от AlexDv (??) on 11-Апр-13, 13:39
	>[оверквотинг удален] >>>> В спам-лист вы попадете если будете рассылать спам, независимо с какого интерфейса >>>> :) >>> ну вот я тоже так думал >>> оказалось что если адрес на который почта приходит разница с адресом с >>> которого уходит, попадаешь в спам лист, проверено. >> Это не спам-лист, а spf-check. Пропишите нужным ip разрешения на отправку почты. > ну мой сервер допустим представляется mail.example.com > для него днс прописан 2.2.2.2 > Вот я так понял есть спам-фильтры которые проверяют это доменное имя, и > адрес c которого им пришла почта не совпадает с адресом mail.example.com Это и есть SPF - sender policy framework. Пропишите в dns те ip, с которых будет отправляться почта.
	Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема