The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Как сделать изолированные VLAN на CISCO 871 c NAT?"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение [ Отслеживать ]

"Как сделать изолированные VLAN на CISCO 871 c NAT?"  +/
Сообщение от mxkmaster (ok) on 22-Июн-09, 21:22 
Коллеги, безуспешно пытаюсь настроить два VLAN на CISCO 871, так чтобы две локальные сети друг друга "не видели", но имели возможность выхода в Интернет через NAT. Перерыл кучу информации, но в основном народ борется с противоположной проблемой "подружить" сетки. Заранее благодарю за дельные советы по сабжу!

Я пробовал настраивать access-list на интерфейсах, но все равно любые пакеты спокойно проходят через маршрутизатор.

Надо изолировать Vlan1 от Vlan2.
Краткая конфа:


!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
switchport access vlan 2
!
interface FastEthernet4
no ip address
no ip redirects
no ip unreachables
no ip proxy-arp
ip virtual-reassembly
ip route-cache flow
duplex auto
speed auto
pppoe enable group global
pppoe-client dial-pool-number 1
!
interface Vlan1
ip address 10.65.10.1 255.255.255.0
ip mask-reply
no ip redirects
no ip unreachables
no ip proxy-arp
ip nbar protocol-discovery
ip flow ingress
ip nat inside
ip virtual-reassembly
ip route-cache flow
ip tcp adjust-mss 1452
!
interface Vlan2
ip address 10.65.20.1 255.255.255.0
ip nat inside
ip virtual-reassembly
!
interface Dialer0
description $FW_OUTSIDE$
ip address negotiated
ip nat outside
ip virtual-reassembly
encapsulation ppp
dialer pool 1
dialer-group 1
no cdp enable
ppp authentication pap callin
ppp pap sent-username ???? password 7 ???
!
ip route 0.0.0.0 0.0.0.0 Dialer0
ip route 10.65.10.0 255.255.255.0 Vlan1
ip route 10.65.20.0 255.255.255.0 Vlan2
!

Высказать мнение | Ответить | Правка | Cообщить модератору

 Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Как сделать изолированные VLAN на CISCO 871 c NAT?"  +/
Сообщение от john_32 email(ok) on 23-Июн-09, 05:50 
>[оверквотинг удален]
> dialer pool 1
> dialer-group 1
> no cdp enable
> ppp authentication pap callin
> ppp pap sent-username ???? password 7 ???
>!
>ip route 0.0.0.0 0.0.0.0 Dialer0
>ip route 10.65.10.0 255.255.255.0 Vlan1
>ip route 10.65.20.0 255.255.255.0 Vlan2
>!

Приветствую, честно сказать не вижу проблемы!
все нармально решается АЦЛ на локальных интерфейсах, в вашем случае это свой АЦЛ на vl1 и vl2.
а это вообще бессмысленный кусок конфига:
/*
ip route 10.65.10.0 255.255.255.0 Vlan1
ip route 10.65.20.0 255.255.255.0 Vlan2
*/

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "Как сделать изолированные VLAN на CISCO 871 c NAT?"  +/
Сообщение от john_32 email(ok) on 23-Июн-09, 06:43 
В качестве примера: 871 у меня под руками нет, но делается это примерно так же:


interface FastEthernet0/0
ip address 10.228.0.5 255.255.255.0
ip nat outside
duplex auto
speed auto
!
interface FastEthernet0/1.1
encapsulation dot1Q 1 native
ip address 1.1.1.1 255.255.255.0
ip access-group vl1 in
ip nat inside
!
interface FastEthernet0/1.2
encapsulation dot1Q 2
ip address 2.2.2.2 255.255.255.0
ip access-group vl2 in
ip nat inside

ip route 0.0.0.0 0.0.0.0 10.228.0.1

ip nat inside source list nat1 interface FastEthernet0/0 overload
ip nat inside source list nat2 interface FastEthernet0/0 overload

ip access-list extended nat1
permit ip 1.1.1.0 0.0.0.255 any
ip access-list extended nat2
permit ip 2.2.2.0 0.0.0.255 any
ip access-list extended vl1
deny ip 1.1.1.0 0.0.0.255 2.2.2.0 0.0.0.255
permit ip 1.1.1.0 0.0.0.255 any
deny   ip any any
ip access-list extended vl2
deny ip 2.2.2.0 0.0.0.255 1.1.1.0 0.0.0.255
permit ip 2.2.2.0 0.0.0.255 any
deny   ip any any

Если не прав то поправте :)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "Как сделать изолированные VLAN на CISCO 871 c NAT?"  +/
Сообщение от mxkmaster (ok) on 23-Июн-09, 17:44 
john_32, спасибо за отклик!

ip route 10.65.10.0 255.255.255.0 Vlan1
ip route 10.65.20.0 255.255.255.0 Vlan2

Эти строчки "следы" моих экспериментов)) Где-то увидел на форумах и решил попробовать.
В общем они не помогли, но остались в конфе. Уберу, когда полностью закрою вопрос.

Я предполагаю, что все дело в тэгировании VLAN типа
encapsulation dot1Q 2

В моей конфе сейчас этого нет. Я проверю и отпишусь.


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "Как сделать изолированные VLAN на CISCO 871 c NAT?"  +/
Сообщение от mxkmaster (ok) on 03-Июл-09, 17:28 
В общем такой команды "encapsulation dot1Q" в моем IOS нет.
Cisco IOS Software, C870 Software (C870-ADVIPSERVICESK9-M),
Version 12.4(15)T, RELEASE SOFTWARE (fc3)

Так и не удалось пока изолировать две VLAN.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "Как сделать изолированные VLAN на CISCO 871 c NAT?"  +/
Сообщение от vnn email(ok) on 03-Июл-09, 17:43 
>В общем такой команды "encapsulation dot1Q" в моем IOS нет.
>Cisco IOS Software, C870 Software (C870-ADVIPSERVICESK9-M),
>Version 12.4(15)T, RELEASE SOFTWARE (fc3)
>
>Так и не удалось пока изолировать две VLAN.

access-list 101 deny ip 10.65.10.0 0.0.0.255 10.65.20.0 0.0.0.255
access-list 101 permit ip any any

access-list 102 deny ip 10.65.20.0 0.0.0.255 10.65.10.0 0.0.0.255
access-list 102 permit ip any any

interface vlan1
  ip access-group 101 in
interface vlan2
  ip access-group 102 in

вбей.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "Как сделать изолированные VLAN на CISCO 871 c NAT?"  +/
Сообщение от Stell email(??) on 03-Июл-09, 17:57 
Попробуйте так.
ip access-list extended vlan1_in
deny ip any 10.65.20.0 0.0.0.255
permit ip any any
# Запретили трафик в vlan2, Разрешили все остальное.

ip access-list extended vlan2_in
deny ip any 10.65.10.0 0.0.0.255
permit ip any any
# Тоже самое наоборот

int vlan 1
ip access-group vlan1_in in

int vlan 2
ip access-group vlan2_in in
# Приложили access-list'ы к интерфейсам.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

7. "Как сделать изолированные VLAN на CISCO 871 c NAT?"  +/
Сообщение от mxkmaster (ok) on 14-Июл-09, 19:56 
В общем, сделал, как в двух предыдущих рекомендациях через ACL.
Все заработало. Спасибо!!

Самое обидное, что именно так все себе сам и представлял и даже вначале пытался настроить.
Но скорее всего ошибался в направлении файервола. Наверное, из-за этого ничего не получилось. Надо быть внимательнее. Еще раз спасибо всем за помощь!

Вот кусок рабочего конфига:

!
interface FastEthernet0
!
interface FastEthernet1
!
interface FastEthernet2
!
interface FastEthernet3
switchport access vlan 2
!
interface Vlan1
ip address 10.65.10.1 255.255.255.0
ip access-group vlan1 in
!
interface Vlan2
ip address 10.65.20.1 255.255.255.0
ip access-group vlan2 in
!
ip access-list extended vlan1
deny   ip 10.65.20.0 0.0.0.255 2.2.2.0 0.0.0.255
permit ip 10.65.10.0 0.0.0.255 any
deny   ip any any
ip access-list extended vlan2
deny   ip 10.65.10.0 0.0.0.255 2.2.2.0 0.0.0.255
permit ip 10.65.20.0 0.0.0.255 any
deny   ip any any
!

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру