xebit 10 Geschrieben 8. Oktober 2009 Melden Teilen Geschrieben 8. Oktober 2009 Hallo Zusammen, ich versuche krampfhaft auf besagten Router ein Simples Static NAT Forwarding einzurichten. Komme aber leider nicht weiter. Ich habe inzwischen das Gefühl das es was ganz doofes ist ich aber nicht drauf komme. Weitergeleitet werden soll TCP Port:2000 auf den Server 10.10.10.253 In der aktuellen Config sieht die NAT Tabelle so aus: INET_GW#show ip nat translations Pro Inside global Inside local Outside local Outside global tcp 88.77.51.165:1723 10.10.10.253:1723 --- --- Ein Ping und Telnet auf den Port im LAN vom Router INET_GW#ping 10.10.10.253 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 10.10.10.253, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 1/4/8 ms INET_GW#telnet 10.10.10.253 2000 Trying 10.10.10.253, 2000 ... Open HTTP/1.0 302 Moved RAKeepAliveHeader: .. Content-Type: text/html; charset=windows-1252 Last-Modified: Mon, 05 Oct 2009 18:39:54 GMT Date: Mon, 05 Oct 2009 18:39:54 GMT Cache-Control: must-revalidate, max-age=0 Connection: close X-RemotelyAnywhere-Expired: true Location: /login/login.vcgi?rnid=2239179036 Set-Cookie: RAGLSID_PADEKR02=18356644006447267936; path=/; Moved. [Connection to 10.10.10.253 closed by foreign host] Ich deute mal hieraus das die Verbindung innerhalb des LAN OK ist nun das gleiche von der WAN Seite INET_GW#ping 88.77.51.165 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 88.77.51.165, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 16/20/24 ms INET_GW#telnet 88.77.51.165 2000 Trying 88.77.51.165, 2000 ... % Connection timed out; remote host not responding Und hier sieht es nicht so toll aus. Anbei nochmal die Accesslisten: INET_GW#show ip access-lists Standard IP access list 5 - LINE Access List 10 deny 10.10.10.4 20 permit 10.10.10.0, wildcard bits 0.0.0.255 (2 matches) 30 deny any Extended IP access list 102 - NAT ACCESS LIST 10 permit ip any any (992 matches) Extended IP access list 105 - WAN Interface IN Access List 10 deny tcp any any eq www 20 deny tcp any any eq telnet 30 deny tcp any any eq 443 40 deny tcp any any eq 22 50 permit ip any any (10960 matches) Ein Wireshark auf dem Server lässt darauf schliessen das die Anfragen überhaupt nicht beim Server ankommen. Auch debug ip nat translation zeigt keinerlei Anfragen auf diesen Port an. Hat jemand eine Idee was das Problem sein könnte ? Vielen Dank Zitieren Link zu diesem Kommentar
xebit 10 Geschrieben 8. Oktober 2009 Autor Melden Teilen Geschrieben 8. Oktober 2009 Config: Current configuration : 5275 bytes ! version 12.3 no service pad service timestamps debug uptime service timestamps log uptime service password-encryption ! hostname INET_GW ! boot-start-marker boot-end-marker ! memory-size iomem 5 logging userinfo no logging buffered ! aaa new-model ! ! aaa authentication login default group radius local aaa authentication enable default group radius enable aaa authentication dot1x default group radius local aaa authorization exec default group radius local aaa session-id common ip subnet-zero ! ! ip dhcp excluded-address 10.10.10.1 10.10.10.20 ip dhcp excluded-address 10.10.10.220 10.10.10.255 ! ip dhcp pool CLIENT import all network 10.10.10.0 255.255.255.0 default-router 10.10.10.1 dns-server 10.10.10.253 195.50.140.178 lease 0 2 ! ! ip ips po max-events 100 no ftp-server write-enable ! ! ! ! ! ! ! interface Ethernet0 ip address 10.10.10.1 255.255.255.0 ip access-group 150 out ip nat inside ip virtual-reassembly ip tcp adjust-mss 1452 ! interface BRI0 no ip address encapsulation ppp shutdown ! interface ATM0 no ip address atm vc-per-vp 64 no atm ilmi-keepalive dsl operating-mode annexb-ur2 dsl enable-training-log pvc 1/32 pppoe-client dial-pool-number 1 ! ! interface FastEthernet1 no ip address duplex auto speed auto ! interface FastEthernet2 no ip address duplex auto speed auto ! interface FastEthernet3 no ip address shutdown duplex auto speed auto ! interface FastEthernet4 no ip address duplex auto speed auto no routing dynamic ! interface Dialer1 mtu 1488 bandwidth 6000 ip address negotiated ip access-group 105 in no ip unreachables ip nat outside ip virtual-reassembly encapsulation ppp ip tcp adjust-mss 1452 dialer pool 1 dialer remote-name redback dialer-group 1 no cdp enable ppp authentication pap chap callin ppp chap hostname user ppp chap password 7 pw ppp pap sent-username user password 7 pw ppp ipcp dns request ppp ipcp wins request ! ip classless ip route 0.0.0.0 0.0.0.0 Dialer1 ip route 192.168.50.0 255.255.255.0 10.10.10.250 ip route 192.168.100.0 255.255.255.0 10.10.10.250 ! ip http server ip http secure-server ! ip nat inside source list 99 interface Dialer1 overload ip nat inside source static tcp 10.10.10.253 1723 interface Dialer1 1723 ip nat inside source static tcp 10.10.10.253 2000 interface Dialer1 2000 ! no logging trap access-list 5 deny 10.10.10.4 access-list 5 permit 10.10.10.0 0.0.0.255 access-list 5 deny any access-list 99 permit any access-list 102 permit udp host 10.10.10.253 any eq domain access-list 102 deny ip host 10.10.10.253 any access-list 102 permit ip 10.10.10.0 0.0.0.255 any access-list 105 deny tcp any any eq www access-list 105 deny tcp any any eq telnet access-list 105 deny tcp any any eq 443 access-list 105 deny tcp any any eq 22 access-list 105 permit tcp any any eq 2000 access-list 105 permit ip any any access-list 150 permit tcp any any eq 2000 access-list 150 permit ip any any dialer-list 1 protocol ip permit ! radius-server attribute 6 on-for-login-auth radius-server host 10.10.10.253 auth-port 1645 acct-port 1646 key 7 key ! control-plane ! line con 0 access-class 5 in exec-timeout 120 0 logging synchronous no modem enable stopbits 1 line aux 0 access-class 5 in line vty 0 2 access-class 5 in exec-timeout 120 0 logging synchronous terminal-type monitor length 0 transport input telnet ssh line vty 3 4 access-class 5 in exec-timeout 120 0 privilege level 15 terminal-type monitor length 0 transport input telnet ssh ! scheduler max-task-time 5000 ! end Zitieren Link zu diesem Kommentar
blackbox 10 Geschrieben 8. Oktober 2009 Melden Teilen Geschrieben 8. Oktober 2009 Hi, hast du das ganze nur "auf dem" Router getestet - oder auch mal wirklich von aussen ? Zitieren Link zu diesem Kommentar
xebit 10 Geschrieben 8. Oktober 2009 Autor Melden Teilen Geschrieben 8. Oktober 2009 Der Kandidat hat 100 Punkte... :D Ich sag doch das muss was ganz doofes sein. Ein Test von Aussen hat gezeigt port 2000 funzt. Anscheinend nimmt der Router an da sein eigenes Interface angesprochen wird ich meine den Router auf Port 2000. Da antwortet dann natürlich nichts. Vielen Dank nochmal :) Zitieren Link zu diesem Kommentar
blackbox 10 Geschrieben 9. Oktober 2009 Melden Teilen Geschrieben 9. Oktober 2009 bei NAT und das "auf dem Router oder Firewall" testen - ist eher ein Abenteuer :-) Zitieren Link zu diesem Kommentar
Empfohlene Beiträge
Schreibe einen Kommentar
Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.