Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате
Форум программистов > Сетевые технологии > сеть rip v2 на PAT(NAT)


Автор: Lonley 7.6.2011, 21:10
два маршрутизатора один умеет только RIPv2
имеет сети
192.168.222.0/24(192.168.222.1) на локал интерфейсе
192.168.9.0/24(192.168.1.1) на wan интерфейсе
--------------------------------------------------
другой cisco 1751v
192.168.9/24(192.168.9.254) на sub-if
10.10.11.0/24
192.168.8.0/24
так же
pppoe с выходом Интернет
--------------------------------------------------
настроен RIPv2
сетями он обменялся
хосты по ICMP отвечают
сети подключенные напрямую к cisco 1751v через nat наружу проходят успешно
---
а вот сеть 192.168.222.0/24 проходящая через RIP не проходит полностью через NAT
--------------------
проходит только ICMP протокол, а остальные нет
-----
не могу понять!! почему так?
----
Код

version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname govorun
!
boot-start-marker
boot-end-marker
!
enable secret 5 wwwwwwwww
enable password wwwwww
!
username admin privilege 15 password 0 wwwwww
memory-size iomem 20
no aaa new-model
ip subnet-zero
!
!
!
ip cef
vpdn enable
!
vpdn-group 1
 request-dialin
  protocol pppoe
!
         
interface FastEthernet0/0
 no ip address
 no ip mroute-cache
 speed auto
 pppoe enable
 pppoe-client dial-pool-number 1
!         
interface FastEthernet0/0.9                                                                                                                                  
 encapsulation dot1Q 9                                                                                                                                       
 ip address 192.168.9.254 255.255.255.0                                                                                                                      
 ip nat inside                                                                                                                                               
 ip rip advertise 100                                                                                                                                        
 no ip split-horizon                                                                                                                                         
 no ip mroute-cache
 traffic-shape rate 256000 7936 7936 1000
!         
interface FastEthernet0/0.100
 encapsulation dot1Q 200
 ip address 10.10.11.254 255.255.255.0
 ip nat inside
 ip rip advertise 100
 no ip split-horizon
 no ip mroute-cache
 pppoe enable
!         
interface FastEthernet0/0.200
 encapsulation dot1Q 300
 ip address 192.168.8.254 255.255.255.0
 ip nat inside
 ip rip advertise 100
 rate-limit input access-group 2 256000 8000 8000 conform-action transmit exceed-action drop
 rate-limit output access-group 2 256000 8000 8000 conform-action transmit exceed-action drop
!         
interface Serial1/0
 no ip address
 shutdown 
!         
interface Dialer1
 mtu 1492 
 bandwidth 10000000
 ip address negotiated
 ip mtu 1452
 ip nat outside
 encapsulation ppp
 ip tcp adjust-mss 1412
 no ip mroute-cache
 dialer pool 1
 no cdp enable
 ppp authentication chap callin
 ppp chap hostname wwww
 ppp chap password 0 wwww
!         
router rip
 version 2
 timers basic 100 100 5 5 5
 redistribute static
 network 10.0.0.0
 network 192.168.8.0
 network 192.168.9.0
 neighbor 192.168.9.1
 no auto-summary
!         
ip nat translation icmp-timeout 2
ip nat inside source list 1 interface Dialer1 overload
ip nat inside source list 2 interface Dialer1 overload
ip nat inside source list 3 interface Dialer1 overload
ip nat inside source static tcp 10.10.11.4 21 interface Dialer1 21
ip nat inside source static tcp 10.10.11.4 22 interface Dialer1 22
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
no ip http server
!         
!         
access-list 1 permit 10.10.11.0 0.0.0.255
access-list 2 permit 192.168.8.0 0.0.0.255
access-list 3 permit 192.168.9.0 0.0.0.255
access-list 3 permit 192.168.222.0 0.0.0.255
dialer-list 1 protocol ip permit
!         
!         
!         
gateway   
!         
!         
line con 0
line aux 0
line vty 0 4
 login local
line vty 5 15
 login local
!         
no scheduler allocate
!         
end       



sh ip ro
Код

C    192.168.8.0/24 is directly connected, FastEthernet0/0.200
C    192.168.9.0/24 is directly connected, FastEthernet0/0.9
     77.0.0.0/32 is subnetted, 1 subnets
C       77.245.193.180 is directly connected, Dialer1
     213.142.223.0/32 is subnetted, 1 subnets
C       213.142.223.248 is directly connected, Dialer1
     10.0.0.0/24 is subnetted, 1 subnets
C       10.10.11.0 is directly connected, FastEthernet0/0.100
R    192.168.222.0/24 [120/1] via 192.168.9.1, 00:00:00, FastEthernet0/0.9
S*   0.0.0.0/0 is directly connected, Dialer1

Автор: marykone 7.6.2011, 22:00
Цитата

access-list 101 permit ip  10.10.11.0 0.0.0.255 any
access-list 102 permit ip  192.168.8.0 0.0.1.255 any 
access-list 103 permit ip 192.168.222.0 0.0.0.255 any

попробуйте так.
и нат переправьте соответственно.
и иос поменять тоже попробуйте.

Автор: Lonley 7.6.2011, 22:27
marykone, спасибо за ответ, но ситуация не поменялась 
--------
IOS пока не менял

Автор: marykone 7.6.2011, 22:39
покажите sh ip nat tra *

Автор: Lonley 7.6.2011, 22:44
Код

tcp 77.245.193.180:33002  10.10.11.4:33002      66.235.138.59:80      66.235.138.59:80
udp 77.245.193.180:56071  10.10.11.4:56071      217.69.129.241:53     217.69.129.241:53
tcp 77.245.193.180:55643  10.10.11.4:55643      84.53.168.170:80      84.53.168.170:80
tcp 77.245.193.180:55659  10.10.11.4:55659      84.53.168.170:80      84.53.168.170:80
tcp 77.245.193.180:55660  10.10.11.4:55660      84.53.168.170:80      84.53.168.170:80
tcp 77.245.193.180:55661  10.10.11.4:55661      84.53.168.170:80      84.53.168.170:80
tcp 77.245.193.180:55682  10.10.11.4:55682      84.53.168.170:80      84.53.168.170:80
tcp 77.245.193.180:55683  10.10.11.4:55683      84.53.168.170:80      84.53.168.170:80
udp 77.245.193.180:40359  10.10.11.4:40359      78.46.42.172:53       78.46.42.172:53
udp 77.245.193.180:10121  10.10.11.4:10121      193.232.142.17:53     193.232.142.17:53
tcp 77.245.193.180:46850  10.10.11.4:46850      78.46.50.78:80        78.46.50.78:80
tcp 77.245.193.180:46851  10.10.11.4:46851      78.46.50.78:80        78.46.50.78:80
tcp 77.245.193.180:46852  10.10.11.4:46852      78.46.50.78:80        78.46.50.78:80
tcp 77.245.193.180:46853  10.10.11.4:46853      78.46.50.78:80        78.46.50.78:80
tcp 77.245.193.180:46854  10.10.11.4:46854      78.46.50.78:80        78.46.50.78:80
tcp 77.245.193.180:46855  10.10.11.4:46855      78.46.50.78:80        78.46.50.78:80
tcp 77.245.193.180:46859  10.10.11.4:46859      78.46.50.78:80        78.46.50.78:80
tcp 77.245.193.180:46860  10.10.11.4:46860      78.46.50.78:80        78.46.50.78:80
udp 77.245.193.180:60918  10.10.11.4:60918      94.100.179.93:53      94.100.179.93:53
udp 77.245.193.180:44697  10.10.11.4:44697      94.100.186.189:53     94.100.186.189:53
tcp 77.245.193.180:56360  10.10.11.4:56360      74.125.232.252:80     74.125.232.252:80
icmp 77.245.193.180:1     192.168.222.101:1     8.8.8.8:1             8.8.8.8:1
tcp 77.245.193.180:21     10.10.11.4:21         ---                   ---
tcp 77.245.193.180:22     10.10.11.4:22         ---                   ---
tcp 77.245.193.180:42743  10.10.11.4:42743      78.46.42.172:80       78.46.42.172:80
tcp 77.245.193.180:47790  10.10.11.4:47790      88.212.196.101:80     88.212.196.101:80

как видно только ICMP

Автор: marykone 7.6.2011, 22:45
вам решить проблему надо, или до истины достучаться ?
если первый вариант, сделайте нат для сетки на другом роутере занатьте в адрес из сетки 192.168.9.0 

а так конфиг вроде в норме, диагностировать надо... но скорее всего иос посвежей поможет. 

и покажите сам trace с кома который только icmp пропускает.

Добавлено через 4 минуты и 9 секунд
clear ip nat tra *

потом пробуем по порту 80 куда нить.

sh ip nat tra *
покажите.

и сделайте deb ip nat list (номер листа в котором живет сеть 222.х)
term mon
и опять пробуем по порту 80

смотрим что сыпит.

Добавлено через 5 минут и 36 секунд
может глупость скажу но прокся не указана у компа с  сетки 222.х

Автор: Lonley 7.6.2011, 22:53
marykone, 
да я просто для теста собрал схему и пробую smile т.к. появилась возможность реальное устройство изучить
Код

to 8.8.8.8
1 1 ms 1 ms 1 ms  192.168.222.1
2 2 ms 2 ms 2 ms  192.168.9.254
3 22ms 22ms 22ms 213.142.223.248
4 ------//-------   213.142.193.85
5 ------//-------   217.150.60.202
6 ------//-------   195.34.38.6
..........
17 ----//--------    8.8.8.8


прокси нет
так как telnet на ip на порт 80 сессию не открывает, причем в wireshark видно что уходят на cisco1751

Код


Dec  9 08:55:38.253: NAT*: i: icmp (192.168.222.101, 1) -> (8.8.8.8, 1) [2527]     
Dec  9 08:55:38.253: NAT*: s=192.168.222.101->77.245.193.180, d=8.8.8.8 [2527]
Dec  9 08:55:38.345: NAT*: o: icmp (8.8.8.8, 1) -> (77.245.193.180, 1) [21760]     
Dec  9 08:55:38.345: NAT*: s=8.8.8.8, d=77.245.193.180->192.168.222.101 [21760]
Dec  9 08:55:39.253: NAT*: i: icmp (192.168.222.101, 1) -> (8.8.8.8, 1) [2528]     
Dec  9 08:55:39.253: NAT*: s=192.168.222.101->77.245.193.180, d=8.8.8.8 [2528]
Dec  9 08:55:39.345: NAT*: o: icmp (8.8.8.8, 1) -> (77.245.193.180, 1) [21761] 

тольк это

Автор: marykone 7.6.2011, 23:05
нифига себе пробная smile
стоит иос поменять.

ps смотри pm только в кратчайшие сроки а то я спать уже собрался

Автор: Lonley 7.6.2011, 23:08
marykone,  немного не понял аббревиатуру 
Цитата
 ps смотри >>pm<< 

Автор: marykone 7.6.2011, 23:11
Цитата(Lonley @  7.6.2011,  23:08 Найти цитируемый пост)
marykone,  немного не понял аббревиатуру 

личную почту.

Автор: Lonley 7.6.2011, 23:24
 и так пока остановились но IOS, буду пробовать

Автор: Lonley 7.6.2011, 23:55
Код

ip nat inside source static tcp 192.168.222.101 139 interface Dialer1 139

забавно, если поставить это, то внешняя проверка показывает что порт открыт

Автор: marykone 8.6.2011, 11:11
Цитата(Lonley @  7.6.2011,  23:55 Найти цитируемый пост)
забавно, если поставить это, то внешняя проверка показывает что порт открыт

ну это проброс порта 139 в наружу.

Автор: Lonley 8.6.2011, 12:54
marykone, это понятно что проброс, но он работает на ту сеть в которой натится только ICMP smile

Автор: Lonley 12.6.2011, 18:11
у кого есть образ IOS 1751-v
c1700-advipservicesk9-mz.124-25d.bin
или хотя бы просто по новее чем 
IOS ™ C1700 Software (C1700-SV3Y-M), Version 12.3(5), RELEASE SOFTWARE (fc1)
---------
скачать с cisco не могу, нет разрешения

Автор: marykone 13.6.2011, 10:16
Lonley, на рутрекере набери cisco ios и там 130 гигов иоса...

Автор: Lonley 16.6.2011, 21:01
обновление не помогло
Cisco IOS Software, C1700 Software (C1700-ADVIPSERVICESK9-M), Version 12.4(8), RELEASE SOFTWARE (fc1)

Powered by Invision Power Board (http://www.invisionboard.com)
© Invision Power Services (http://www.invisionpower.com)