форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[Проследить за развитием треда]

"Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."

Сообщение от zender (ok) on 01-Фев-07, 14:05

Задача: Пробросить веб-сервер поднятый на FreeBSD 5.4 через cisco 1841 наружу и организовать максимальную защиту с помощью 1841. Условия: Веб-сервер включен в 2960, а свитч в 1841. Веб-сервер должен быть доступен как с lan так и с wan. Имется один внешний адрес: 100.100.100.101 255.255.255.252. Для проброса ISP выделил подсеть под алиасы: 100.100.100.96/29. Исходя из условий безпасности запрещено навешивать на fa0/1 внешниее адреса (. На веб-сервере rc.conf:   # ifconfig_rl0="inet 192.168.10.49 netmask 255.255.255.0" ifconfig_rl0_alias0="inet 100.100.100.98 netmask 255.255.255.248" defaultrouter="100.100.100.97" # На 1841: ! interface FastEthernet0/0 description Connection to wan ip address 100.100.100.101 255.255.255.252 ip access-group internet in ip nat outside ... ! interface FastEthernet0/1 description Connection to LAN ip address 100.100.100.97 255.255.255.248 secondary ip address 192.168.10.254 255.255.255.0 ip access-group inside in ip nat inside ... ! ip route 0.0.0.0 0.0.0.0 100.100.100.100 ip route 100.100.100.0 255.255.255.248 FastEthernet0/0 ! ip nat inside source list nat interface FastEthernet0/0 overload ip nat inside source static tcp 100.100.100.97 80 interface FastEthernet0/0 80 ... ! ip access-list extended inside permit ip any any deny   ip any any log ! ip access-list extended internet permit tcp 192.168.10.49 255.255.255.0 eq www permit tcp 100.100.100.98 255.255.255.248 any eq www ... deny   ip any any ! ip access-list extended nat permit ip host 192.168.10.49 any permit ip host 192.168.10.50 any permit ip host 100.100.100.98 any ... deny   ip any any В итоге эта схема не работает. Подскажите как реализовать этот вариант, а также как можно реализовать через Vlan-ы с максимальной защитой LAN.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Сообщения по теме

[Сортировка по времени, UBB]

1. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."

Сообщение от Sadhan on 01-Фев-07, 14:32

Ну вы и навертели... >Исходя из условий безпасности запрещено навешивать на fa0/1 внешниее адреса ( Ну дак а чо они висят? Зачем нат какой-то изобретать? Пустите к серверу ACL-ем трафик только на 80 порт и успокойтесь. И роутинг там у вас невнятный какой-то - наверное вы ошиблись, когда реальные адреса забивали болванкой 100.100.100..

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."

Сообщение от Ярослав Росомахо on 01-Фев-07, 14:34

>В итоге эта схема не работает. >Подскажите как реализовать этот вариант, а также как можно реализовать через Vlan-ы >с максимальной защитой LAN. ip nat inside source static tcp 100.100.100.97 80 interface FastEthernet0/0 80 замените на ip nat inside source static tcp 100.100.100.98 80 interface FastEthernet0/0 80

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от Ярослав Росомахо on 01-Фев-07, 14:38
	>>В итоге эта схема не работает. >>Подскажите как реализовать этот вариант, а также как можно реализовать через Vlan-ы >>с максимальной защитой LAN. > > > >ip nat inside source static tcp 100.100.100.97 80 interface FastEthernet0/0 80 > >замените на > >ip nat inside source static tcp 100.100.100.98 80 interface FastEthernet0/0 80 А для чего ifconfig_rl0_alias0="inet 100.100.100.98 netmask 255.255.255.248"? И зачем вообще алиасы из сети 100.100.100.х? Вы же можете сделать ip nat inside source static tcp 192.168.10.49 80 interface FastEthernet0/0 80
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от zender (ok) on 01-Фев-07, 15:58
	Локальные адреса выставлять наружу мне запретили (черевато взломом lan). А алиасы рекомендовал использовать ISP и повесить алиас на fa0/1 и веб-сервер(он должен быть доступен в lan с маской /24 , а с наружи с маской /29). Но и вариант с алиасом на fa0/1 мне запретили использовать (не проходит по безопасности). К тому же немогу убрать: ip nat inside source static tcp 100.100.100.97 80 interface FastEthernet0/0 80 Говорит: %Static entry in use, cannot change Чего ток не пробывал: весь нат убирал, гасил инт. fa0/0. Безрезультатно, а конфиг то успел сохранить (. Соответсвенно не получается добавить: ip nat inside source static tcp 100.100.100.98 80 interface FastEthernet0/0 80
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от ViRuZzz (??) on 01-Фев-07, 16:08
	Есть командочка после которой мож убить нат. Кажется clear ip nat translation попробуй, если не получится, тогда поищу >К тому же немогу убрать: >ip nat inside source static tcp 100.100.100.97 80 interface FastEthernet0/0 80 >Говорит: >%Static entry in use, cannot change >Чего ток не пробывал: весь нат убирал, гасил инт. fa0/0. Безрезультатно, а >конфиг то успел сохранить (. > >Соответсвенно не получается добавить: > ip nat inside source static tcp 100.100.100.98 80 interface FastEthernet0/0 80 > > > >
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от Ярослав Росомахо on 01-Фев-07, 16:09
	>Есть командочка после которой мож убить нат. Кажется >clear ip nat translation >попробуй, если не получится, тогда поищу > >>К тому же немогу убрать: >>ip nat inside source static tcp 100.100.100.97 80 interface FastEthernet0/0 80 >>Говорит: >>%Static entry in use, cannot change >>Чего ток не пробывал: весь нат убирал, гасил инт. fa0/0. Безрезультатно, а >>конфиг то успел сохранить (. >> >>Соответсвенно не получается добавить: >> ip nat inside source static tcp 100.100.100.98 80 interface FastEthernet0/0 80 >> clear ip nat translation убивает только динамические трансляции. Для того чтобы убить используемую статическую трансляцию надо интерфейс shutdownить. Ну или устройство перезагружать.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от zender (ok) on 02-Фев-07, 10:49
	>Для того чтобы убить используемую статическую трансляцию надо интерфейс shutdownить. Ну или >устройство перезагружать. Совершенно верно - необходимо опустить интерфейс fa0/0. Также необходимо в моем случае убрать secondary address с fa0/1 (вот именно он и дежал статический нат). (config)#int fa0/1 (config-if)#no ip address 100.100.100.97 255.255.255.248 secondary (config-if)#exit (config)#int fa0/0 (config-if)#shut (config-if)#exit (config)#no ip nat inside source static tcp 100.100.100.97 80 interface FastEthernet0/0 80 (config)#int fa0/0 (config-if)#no shut
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	11. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от tashiki (??) on 02-Фев-07, 16:20
	Зачем мудрить??? Типичный случай - есть 1 внейний ип (100.100.100.101), и 1 внутренний (192.168.10.49), сервис (порт) c которого нужно пробросить наружу (inside-to-outside static PAT). Делай рас: #(config) ip nat inside source static tcp 100.100.100.101 80 192.168.10.49 80 extendable #(config) int fa0/0 //(тот на котором 192.168.10.0/24 сетка, тобиш локальный(внутренний)) #(config-if) ip nat inside #(config) int fa0/1 //(тот на котором внешний ип - 100.100.100.101, тобиш внешний) #(config-if) ip nat outside Вот и все!!! P.S.: я просто не разбирался какие интерфейсы у тебя за что отвечают, но суть тут проста - пакеты с мира с dst=100.100.100.101:80 будут натиться (точнее PAT'иться) на dst=192.168.10.49:80, но наоборот)))) (так как outside int у тебя внешний, а инсайд - внутренний - будет source translation). Тоесть в дебаге будит что-то вроде: s=100.100.100.101->192.168.10.49 Ну естественно DoS на твой web-server циска не переживет.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	12. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от AlexDv (??) on 03-Фев-07, 19:21
	>Зачем мудрить??? > [skipped] >Ну естественно DoS на твой web-server циска не переживет. А CBAC, IPS и иже с ними уже отменили?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	13. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от tashiki (??) on 03-Фев-07, 21:23
	>А CBAC, IPS и иже с ними уже отменили? Это вы к чему сказали??? DoS на web завалит саму циску (без ната, vpn'ов(remote access) и пр. DoS проходит либо до самих серверов либо падают каталисты ~30-60kpp/s). Этот нюанс просто очень важен для провайдеров...тоесть либо ложится сервис, либо сегмент или даже часть АС. Конечному пользователю это может быть не столь важно. А решение с PAT'ом  наиболее просоте и эффективное в таких ситуациях.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	14. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от AlexDv (??) on 04-Фев-07, 10:49
	>>А CBAC, IPS и иже с ними уже отменили? > >Это вы к чему сказали??? > >DoS на web завалит саму циску (без ната, vpn'ов(remote access) и пр. >DoS проходит либо до самих серверов либо падают каталисты ~30-60kpp/s). Этот >нюанс просто очень важен для провайдеров...тоесть либо ложится сервис, либо сегмент >или даже часть АС. Конечному пользователю это может быть не столь >важно. > >А решение с PAT'ом  наиболее просоте и эффективное в таких ситуациях. > Еще раз http://www.cisco.com/pcgi-bin/search/search.pl?searchPhrase=ips&search=Search&siteToSearch=cisco.com&nv=cisco.com&nv=cisco.com%23TSD&country=US&language=en&filter=p http://www.cisco.com/pcgi-bin/search/search.pl?searchPhrase=cbac&search=Search&siteToSearch=cisco.com&nv=cisco.com&nv=cisco.com%23TSD&country=US&language=en&filter=p
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	15. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от zender (ok) on 06-Фев-07, 16:35
	>Делай рас: >#(config) ip nat inside source static tcp 100.100.100.101 80 192.168.10.49 80 extendable Сделал, в результать: веб-сервер(FreeBSD) неможет пропинговать ни lan ни wan (no route to host). но хосты из локалки и роутер пингуют веб-сервер. Возможно проблема с маршрутизацией на веб-сервере, но если убрать этот нат, то сразу веб пингует локалку.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	17. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от tashiki (??) on 06-Фев-07, 17:57
	>>Делай рас: >>#(config) ip nat inside source static tcp 100.100.100.101 80 192.168.10.49 80 extendable > >Сделал, в результать: >веб-сервер(FreeBSD) неможет пропинговать ни lan ни wan (no route to host). >но хосты из локалки и роутер пингуют веб-сервер. > >Возможно проблема с маршрутизацией на веб-сервере, но если убрать этот нат, то >сразу веб пингует локалку. sorry... не! #(config) ip nat inside source static tcp 100.100.100.101 80 192.168.10.49 80 а! (config)# ip nat inside source static tcp 192.168.10.49 80 100.100.100.101 80 вот!
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."

Сообщение от ViRuZzz (??) on 01-Фев-07, 15:17

>Задача: >Пробросить веб-сервер поднятый на FreeBSD 5.4 через cisco 1841 наружу и организовать >максимальную защиту с помощью 1841. > >Условия: >Веб-сервер включен в 2960, а свитч в 1841. >Веб-сервер должен быть доступен как с lan так и с wan. >Имется один внешний адрес: 100.100.100.101 255.255.255.252. >Для проброса ISP выделил подсеть под алиасы: 100.100.100.96/29. т.е. получается у тебя все-таки не один внешний адрес? >Исходя из условий безпасности запрещено навешивать на fa0/1 внешниее адреса (. раскажи, в чем может быть угроза безопасности? >В итоге эта схема не работает. >Подскажите как реализовать этот вариант, а также как можно реализовать через Vlan-ы >с максимальной защитой LAN. #на кошке убиваешь адрес interface FastEthernet0/1 no ip address 100.100.100.97 255.255.255.248 exi #поднимаешь cабинтерфейс interface FastEthernet0/1.2 encapsulation dot1Q 2 ip address 100.100.100.97 255.255.255.248 exi #на каталисте создаешь вилан 2 interface vlan2 no ip address exi int fast 0/1 # предположим тут у тебя проутер switchport mode trunk switchport trunk allowed vlan 1,2 switchport trunk native vlan 1 exi int fast 0/2 # тут сервак switchport mode trunk switchport trunk allowed vlan 1,2 switchport trunk native vlan 1 exi после этого у тебя должен появится тэгированный вилан номер 2 в 1м и 2м порут каталиста. далее FreeBSD ifconfig rl0 -alias 100.100.100.98 ifconfig vlan create если он тебе посылает то попробуй kldload vlan ifconfig vlan0 inet 100.100.100.98/29 vlan 2 vlandev rl0 ping 100.100.100.97 Должен пинговаться если нет то tcpdump -ni rl0 и пингуй с циски и фряхи. Смотри что куда ходит. В /etc/rc.conf это прописывается так: cloned_interfaces="vlan0" ifconfig_vlan0="100.100.100.98/29 vlan 2 vlandev rl0" писал так, сходу. поэтому могут быть синтаксические ошибки. вобщем если что стучи в jabber: viruzzz@jabber.whiteants.net. Иногда бываю в аське 227656250.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от zender (ok) on 01-Фев-07, 16:14
	>Для проброса ISP выделил подсеть под алиасы: 100.100.100.96/29. т.е. получается у тебя все-таки не один внешний адрес? >Исходя из условий безпасности запрещено навешивать на fa0/1 внешниее адреса (. раскажи, в чем может быть угроза безопасности? Внешний адрес один из подсети /30. В примере: 100.100.100.101 255.255.255.252 - ip on fa0/0 100.100.100.100 255.255.255.252 - ISP gateway Но ISP выделил еще под мои нужды и  подсеть/29, но с условием чтобы в своей сети(т.е. ISP-а) он не должен видеть ни каких бродкастов от подсетисети /29. Спасиб за пример, буду пробывать.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от weris (??) on 02-Фев-07, 06:36
	clear ip nat translation forced
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	16. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от zender (ok) on 06-Фев-07, 16:40
	>clear ip nat translation forced Спасибо, так получилось.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	18. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от zender (ok) on 09-Фев-07, 16:40
	Сделал по примеру, получилось. На свитче 2960 поднял Vlan 2 и добавил в него порт в который включен веб-сервер: ! interface FastEthernet0/8 description -=Conect to WEB_SRV=- switchport trunk native vlan 2 switchport trunk allowed vlan 1,2 switchport mode trunk ! interface GigabitEthernet0/1 description -=Conect to Cisco 1841=- switchport trunk allowed vlan 1,2 switchport mode trunk ! На роутере: #fa0/0 - порт смотрящий в WAN #fa0/1 - порт смотрящий в LAN ! interface FastEthernet0/0 description Connection to wan ip address 100.100.100.101 255.255.255.252 ip access-group internet in ip nat outside ... ! interface FastEthernet0/1 description Connection to LAN ip address 192.168.10.254 255.255.255.0 ip access-group inside in ip nat inside ! #Поднял саб интерфейс fa0/1.2: ! interface FastEthernet0/1.2 encapsulation dot1Q 2 ip address 100.100.100.97 255.255.255.248 no snmp trap link-status ! ... ip route 0.0.0.0 0.0.0.0 100.100.100.100 ip route 100.100.100.0 255.255.255.248 FastEthernet0/0 ! На веб-сервере, rc.conf: defaultrouter="100.100.100.97" #т.е. саб инт. Пингую: c 2960 саб инт. (Fa0/1.2) и веб-сервер по алиасу - ОК! с роутера веб-сервер по алиасу - ОК! (100.100.100.98 /29 ) с веб-сервера соответсвенно подсеть /24 (LAN) не пингуется - ОК, пингуется токо fa0/1.2. Внешний инт. fa0/0 не пингует: "No route to host". Как быть, чтоб открыть доступ к веб-серверу из вне. Пробывал статический нат: ip nat inside source static 100.100.100.97 int fa0/0 а также пат, не помогло. Так же пробывал через анонимный прокси зайти на веб-сервер по его адресу - аналогично.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	19. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от tashiki (??) on 09-Фев-07, 16:50
	>Сделал по примеру, получилось. >На свитче 2960 поднял Vlan 2 и добавил в него порт в >который включен веб-сервер: >! >interface FastEthernet0/8 > description -=Conect to WEB_SRV=- > switchport trunk native vlan 2 > switchport trunk allowed vlan 1,2 > switchport mode trunk >! >interface GigabitEthernet0/1 > description -=Conect to Cisco 1841=- > switchport trunk allowed vlan 1,2 > switchport mode trunk >! > >На роутере: >#fa0/0 - порт смотрящий в WAN >#fa0/1 - порт смотрящий в LAN >! >interface FastEthernet0/0 >description Connection to wan >ip address 100.100.100.101 255.255.255.252 >ip access-group internet in >ip nat outside >... >! >interface FastEthernet0/1 >description Connection to LAN >ip address 192.168.10.254 255.255.255.0 >ip access-group inside in >ip nat inside >! >#Поднял саб интерфейс fa0/1.2: >! >interface FastEthernet0/1.2 > encapsulation dot1Q 2 > ip address 100.100.100.97 255.255.255.248 > no snmp trap link-status >! >... >ip route 0.0.0.0 0.0.0.0 100.100.100.100 >ip route 100.100.100.0 255.255.255.248 FastEthernet0/0 >! >На веб-сервере, rc.conf: >defaultrouter="100.100.100.97" #т.е. саб инт. > >Пингую: >c 2960 саб инт. (Fa0/1.2) и веб-сервер по алиасу - ОК! >с роутера веб-сервер по алиасу - ОК! (100.100.100.98 /29 ) >с веб-сервера соответсвенно подсеть /24 (LAN) не пингуется - ОК, пингуется токо >fa0/1.2. Внешний инт. fa0/0 не пингует: "No route to host". > > >Как быть, чтоб открыть доступ к веб-серверу из вне. >Пробывал статический нат: >ip nat inside source static 100.100.100.97 int fa0/0 а также пат, не >помогло. >Так же пробывал через анонимный прокси зайти на веб-сервер по его адресу >- аналогично. > Зачем все так усложнять??? Сделай PAT как я показывал (как написано в примере) да и все (тем более что нужно задействовать всего 1 внешний ип).
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	20. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от zender (ok) on 09-Фев-07, 17:51
	>Зачем все так усложнять??? Сделай PAT как я показывал (как написано в >примере) да и все (тем более что нужно задействовать всего 1 >внешний ип). Сделал PAT по вашему примеру, ток уже с VLAN (интересно стало): (config)#:int fa0/1.2 (config)#:ip nat inside (config)#:ip nat inside source static tcp 100.100.100.98 80 100.100.100.101 80 extendable (config)#:ip nat inside source static tcp 100.100.100.101 80 100.100.100.98 80 extendable 100.100.100.101 - адрес на fa0/0 100.100.100.98  - адрес веб-сервера rc.conf: defaultrouter="100.100.100.101" Результат - отрицательный
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	21. "Проброс веб-сервера из lan в wan с помощью алиасов, настройк..."
	Сообщение от zender (ok) on 12-Фев-07, 17:09
	Все получилось. Всем спасибо за участие. Отдельное спасибо за пример с VLAN. По поводу PAT: (config)# ip nat inside source static tcp 192.168.10.49 80 100.100.100.101 80 (этого достаточно) +  в ACL на внешнем интерфейсе (fa0/0) добавил: permit tcp any host 100.100.100.101 eq www
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]