Доброго времени суток всем гуру.
Прошу помочь разобраться в вопросе - баг это или я чего-то не учёл/не понял/не знаю...Дано два ASR1002:
Cisco IOS Software, IOS-XE Software (PPC_LINUX_IOSD-ADVENTERPRISEK9-M), Version 15.3(2)S1, RELEASE SOFTWARE (fc1)
IOS XE Version: 03.09.01.S
System image file is "bootflash:/asr1000rp1-adventerprisek9.03.09.01.S.153-2.S1.bin"
ASR-ы внутренними интерфейсами объеденены в HSRP.
К ним приходят два провайдера на внешние интерфейсы, за внутренним - локальная сеть:
Po1.101 - внутр. сеть (192.168.0.0/16 и 10.0.0.0/8). 10.255.255.0/24 - пул под VPN-пользователей, 10.10.10.2 - хост, который должен торчать наружу.
Po2.2 - ISP1 (1.1.1.0/27, GW: 1.1.1.30)
Po2.3 - ISP2 (2.2.2.0/29, GW: 2.2.2.6)
На ASR-е крутится Dynamic NAT (overload на интерфейсах), static nat (внешний сервис), RA-VPN и ZBFW.
BGP, AS и PI-адресов нет.
В данный момент всё держится на одном провайдере, второй должен быть подключен, как резервный.
Конфиг:
...
!
interface Port-channel1.101
description INSIDE
encapsulation dot1Q 101
ip address 10.0.0.2 255.255.255.248
no ip redirects
ip nat inside
zone-member security INSIDE
standby version 2
standby 1 ip 10.0.0.1
standby 1 priority 110
standby 1 preempt
standby 1 name INSIDE
standby 1 track 1 decrement 30
standby 1 track 2 decrement 20
standby 1 track 3 decrement 20
standby 1 track 4 decrement 40
standby 1 track 5 decrement 30
!
...
!
interface Port-channel2.2
description ISP1
encapsulation dot1Q 2
ip address 1.1.1.1 255.255.255.224
no ip redirects
ip nat outside
zone-member security OUTSIDE
crypto map MYMAP
!
interface Port-channel2.3
description ISP2
encapsulation dot1Q 3
ip address 2.2.2.2 255.255.255.248
no ip redirects
ip nat outside
zone-member security OUTSIDE
crypto map MYMAP
!
...
!
ip route 0.0.0.0 0.0.0.0 1.1.1.30 track 2
ip route 10.255.255.0 255.255.255.0 Port-channel2.2 track 2
ip route 0.0.0.0 0.0.0.0 2.2.2.6 250
ip route 10.0.0.0 255.0.0.0 10.0.0.6
ip route 10.255.255.0 255.255.255.0 Port-channel2.3 250
ip route 192.168.0.0 255.255.0.0 10.0.0.6
!
...
!
route-map ISP1 permit 10
description ISP1
match ip address NAT
match interface Port-channel2.2
!
route-map ISP2 permit 10
description ISP2
match ip address NAT
match interface Port-channel2.3
!
route-map EXT_via_ISP1 permit 10
match ip address EXT_ROUTE_MAP
match interface Port-channel2.2
!
route-map EXT_via_ISP2 permit 10
match ip address EXT_ROUTE_MAP
match interface Port-channel2.3
!
...
!
ip access-list extended NAT
deny ip host 10.10.10.2 any
deny ip 192.168.0.0 0.0.255.255 10.255.255.0 0.0.0.255
deny ip 10.0.1.0 0.0.0.255 10.255.255.0 0.0.0.255
deny ip 10.10.10.0 0.0.0.255 10.255.255.0 0.0.0.255
deny ip 10.1.0.0 0.0.0.255 10.255.255.0 0.0.0.255
permit ip 192.168.0.0 0.0.255.255 any
permit ip 10.0.0.0 0.255.255.255 any
!
ip access-list extended EXT_ROUTE_MAP
permit ip host 10.10.10.2 any!
ip nat inside source route-map ISP2 interface Port-channel2.3 overload
ip nat inside source route-map ISP1 interface Port-channel2.2 overload
ip nat inside source static 10.10.10.2 1.1.1.2 route-map EXT_via_ISP1 redundancy INSIDE
ip nat inside source static 10.10.10.2 2.2.2.3 route-map EXT_via_ISP2 redundancy INSIDE
В общем при таком конфиге получается странная штука с натом: статическая трансляция работает, а в динамической (overload) проходит только icmp!!! Ни одно TCP/UDP соединение в таблице трансляции не появляется... Ошибок в логе нет...
Соответсвенно, если строчку
ip nat inside source route-map ISP1 interface Port-channel2.2 overload
вернуть обратно на
ip nat inside source list NAT interface Port-channel2.2 overload
динамический нат начинает работать нормально (после clear ip nat trans *)...
И вот вопрос - шо эта..? Баг или фича?
Если фича - расскажите тайное знание, что нужно сделать...
Просто не хотелось бы правила ната вешать на EMM...
ЗЫ: уже третий раз при работе с данным девайсом натыкаюсь на непонятное поведение NAT-а...
Вариант для распечатки
