miten tehdään nat sääntöön jossa on porttiohjaus niin estot vpn tunnelin käyttäjille kun ulkoverkosta saadaan dynaaminen ip.
eli kun on vaikka näin: "ip nat inside source static tcp 10.0.0.1 80 interface FastEthernet0/0 80"
niin sitten vpn tunnelikäyttäjät ei pääse tuolle palvelimelle nettisivuja selaamaan kun nat prosessoidaan ennen cryptoa jolloin paketit lähtee tuonne fastethernet0/0 joka on ulkoverkossa kiinni. niin pitäisi tehdä route-map jolla estetään natin teko vpn-tunnelikäyttäjille suuntautuviin osoitteisiin mutta se ei onnistu kun ei ole staattista ip osoitetta.
miten se pitää konffata. paikallisverkko 10.0.0.0/255.255.255.192 interface fastethernet0/1.
vpn tunnelikäyttäjät osoitteissa 10.0.0.64/255.255.255.192, 10.0.0.192/255.255.255.240 ja 10.0.1.0/255.255.255.192.
ulkoverkko dynaaminen ip osoite interface fastethernet0/0.
eli kun on vaikka näin: "ip nat inside source static tcp 10.0.0.1 80 interface FastEthernet0/0 80"
niin sitten vpn tunnelikäyttäjät ei pääse tuolle palvelimelle nettisivuja selaamaan kun nat prosessoidaan ennen cryptoa jolloin paketit lähtee tuonne fastethernet0/0 joka on ulkoverkossa kiinni. niin pitäisi tehdä route-map jolla estetään natin teko vpn-tunnelikäyttäjille suuntautuviin osoitteisiin mutta se ei onnistu kun ei ole staattista ip osoitetta.
miten se pitää konffata. paikallisverkko 10.0.0.0/255.255.255.192 interface fastethernet0/1.
vpn tunnelikäyttäjät osoitteissa 10.0.0.64/255.255.255.192, 10.0.0.192/255.255.255.240 ja 10.0.1.0/255.255.255.192.
ulkoverkko dynaaminen ip osoite interface fastethernet0/0.
Vastaukset 11
Vanhimmat
Oletko ulkomaalaistaustainen? Can You please ask your question and explain your situation in english, because that was a bit difficult to understand :)
Itse taidat olla kun et suomea ymmärrä.
Ei se mitään, kohta kannyman-vapunen tulee neuvomaan.
"Nat sääntö dynaaminen ip"
"miten tehdään nat sääntöön jossa on porttiohjaus niin estot vpn tunnelin käyttäjille kun ulkoverkosta saadaan dynaaminen ip. "
vaikea ymmärrys jos ei pilkku ei piste
vielä vaikeampi ymmärrys sana ei oikea pääte
mahdoton ymmärrys sana järjestys yhdys sana pilkku piste väärä
oletus kirjoittaja ei puhu äidinkieli suomi
no voi pirulainen sentään ihan suomalainen olen. yritän nyt sitten selvittää asiaa.
kun reititin on konffattu ulkoverkon ja sisäverkon rajalle ja siinä käytetään nattia mahdollistamaan sisäverkon koneiden internet-käyttö ja lisäksi sisäverkossa on palvelimia joten reitittimeen on konffattu nat-porttiohjaukset palvelimia varten.
eli esim näin:
"ip nat inside source static tcp 10.0.0.1 80 interface FastEthernet0/0 80"
ja kyseiseen reitittimeen tulee myös vpn tunnelit. niin nyt kun natissa on porttiohjaus niin vpn-tuneleiden takaa ei pääse tuohon kyseiseen palvelimeen kyseiseen porttiin eli siis käytännössä vpn käyttäjät ei pääse sisäverkon www palvelimelle!
koska ongelma on se että vpn tunnelista tulevat paketit menee "natista läpi" ja sitten ulkoverkkoon sovittimelle fastethernet0/0 eikä vpn tunneliin takaisin.
ulkoverkon sovittimella eli fastethernet0/0 on dynaaminen ip osoite. ja route-mapia millä voisi konffata ettei vpn-tunneleista porttiohjauksiin sopivia paketteja natata ei pysty tekemään kun fastethernet0/0 ei ole kiinteää ip osoitetta!
reitittimeen kytketty paikallisverkko on osoitealueeltaan 10.0.0.0/255.255.255.192 ja se on sovittimessa fastethernet0/1.
vpn tunnelikäyttäjät tulee osoitteisiin 10.0.0.64/255.255.255.192, 10.0.0.192/255.255.255.240 ja 10.0.1.0/255.255.255.192.
niin miten tämän nyt saa konffattua että vpn käyttäjät pääsee sisäverkon palvelimiin missä myös porttiohjaus ulkoverkosta.
Siis.
Sinulla on jokin tuntematon reititin yhdistettynä operaattorin nettiin.
Operaattorilta saatu osoite on vaihtuva.
Tunneleita on yksi tai useampi ja ne menevät operaattorin kautta.
Kolme verkkoaluetta kulkee tunneli(e)n kautta. Muut nettiin.
Millainen tunneli on kyseessä?
Ainakin se tuossa ajattelussa on väärin että kun verkot n yhdistetty tunnelilla niin osoitteenmuunnosta ei tunnelin liikenteessä tehdä.
Kummasta päästä tunneli tehdään? Tarvitsetko dyndns systeemin?
kolme kappaletta ipsec tunneleita. tällä kyseisellä reitittimellä on nimipalvelussa nimi, jonka avulla kaksi muuta reititintä yhdistää tunnelin tähän reitittimeen. yksi tunneli on puhdas site-to-site tunneli jonka etäreitititin yhdistää, yksi on reitittimien välinen easyvpn tunneli ja 10.0.0.192/255.255.255.240 on läppäreistä muodostettavia tunneleita varten.
osoitteenmuunnos tunneliliikenteeseen on estetty nat Access listillä mutta ongelmana on se, että nuo staattiset natit eli porttiohjaukset menee siitä Access lististä ohi ja silloin vpn-tunnelien kautta ei pystytä liikennöimään palveluihin joille on tehty porttiohjaus internetistä.
jos olisi staattinen ulkoverkon ip niin niille porttiohjauksille pystyisi määrittämään route-mapin ja acl län mutta nyt kun on dynaaminen ip niin ei onnistu noin. on konffatava jotenkin toisella tavalla johon tarvitsisi nyt ideaa jos joku tietää.
Tälleen se onnistuu: ensin n. 5 metrin naru kiinni siihen reitittimeen ja sitten kunnon pyöräytykset pään päällä niin että reititin saa kunnon vauhdit. Oikeella hetkellä päästät irti niin että se kotelo lentää naruineen mahdollisimman kauas ja esim. mereen. Opettelet verkonrakennuksen perusteet ja ostat monipuolisemman reitittimen viikkiksistä.
ihan sama pitäkää tunkkinne. ratkaisu löytyi ja se on jo konffattu. nyt pelaa vpn tunnelin läpi niinkuin pitää myös porttiohjatut palvelut.
ei täältä löydy osaamista näköjään mihinkään. tosin aina löytyy vakio vastaus että osta uusi vehje jos ei entinen toimi!
ja millähän tavoin se auttaisi joutuisi sen uudenkin konffaamaan??
Niin, no ei kannata odottaa kuuta taivaalta jos ei saa asiaa kerrottua ymmärrettävässä muodossa vaan pupeltaa jotain paskaa johon on sekoitettu puolet englanninkielisiä ihmeellisiä termejä.
Ainakin minulle jäi epäselväksi millä laitteella kysyjä verkkoaan sääteli.
vittuilut sikseen saatte vielä toisen mahdollisuuden.
miten konffaan ulkoverkolle toisen (virtuaali) interfacen ja sille dynaamisen ulkoverkon ip:n ja sitten natin sisäverkon ip osoitteelle 10.0.0.2 ja siihen portti ohjaukset portteihin 80 ja 443.
eli että on kaksi ulkoverkon interfacea eli nyt on yksi fastehternet0/0 sillä on ip osoite sanotaan vaikka 12.34.56.78 ja siinä natti paikallisverkolle interfaceen fastethernet0/1 jolla ip osoite 10.0.0.31/255.255.255.192. ja tätä käyttää kaikki tietokoneet. ja siitä on porttiohjauksia palvelimiin 10.0.0.1 ja 10.0.0.8.
niin nyt laitettaisiin toinen virtuaalinen sanotaan vaikka virtual1. sille olisi toinen ip osoite ulkoverkon dhcp palvelimeltya sanotaan vaikka 12.34.34.24. ja siitä natti palvelimeen 10.0.0.2 ja siihen portin ohjaus.
eli sen jälkeen palvelimelta 10.0.0.2 käsin ulkoverkon puolelle liikennöitäisiin ip osoitteen 12.34.34.24 kautta ja kaikilta muilta tietokoneilta kuten ennenkin osoitteen 12.34.56.78 kautta. ja osoitteelle 12.34.34.24 tuleva pyynnöt 80 ja 443 ohjautuu palvelimeen 10.0.0.2.