[решено] Cisco Vlan <1811 + MS ISA>

[Aleksey Potapov]

И так, решил сеть бить на Vlan -точнее создать ещё одну подсеть.

Имеем - isa 2006 (ip 10.10.1.7) воткнута в роутер cisco 1811 (ip 10.10.1.3).
В cisco воткнуты так же остальные серверы и свитчи с пользователями.
Так как на сервере isa некуда уже всталять сетевые карточки, решил прибегнуть к делению сети на cisco.
В циско сделал два Vlan.
Первый vlan 1 связан с портами fastethernet 2-8
Второй vlan 2 свзяан с портом fastethernet 9
У первого vlan ip 10.10.1.3
У второго vlan ip 10.10.2.3

Далее делаю у себя шлюзом циско чтобы с начала разобраться с vlan.
Пингую интефейс vlan 2 (10.10.2.3) - пингуется. Интерфейс Vlan 1 пингуется так же.
Далее пингую свитч, который имеет адрес 10.10.2.1 и подключен к vlan 2 - не пингуется.
с самой циски пинги проходят

Ниже конфиг циско.
Внимание вопросы.
1. Как сделать так чтобы обе подсети были доступны для пользователей обеих подсетей?
2. Что необходимо прописать на ISA сервере для того чтобы она пересылал запросы на циско, при попытке попасть в подсеть 10.10.2.0?

!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname NSOFRT01
!
boot-start-marker
boot-end-marker
!
no logging buffered
enable secret 5 $1$5xxs$BZX2AvFosVzALBrWKh6F2.
!
no aaa new-model
!
resource policy
!
clock timezone Moscow 3
clock summer-time Moscow date Mar 30 2003 2:00 Oct 26 2003 3:00
!
!
no ip cef
no ip dhcp use vrf connected
ip dhcp excluded-address 10.10.1.61 10.10.1.254
ip dhcp excluded-address 10.10.1.1 10.10.1.20
ip dhcp excluded-address 10.10.2.1 10.10.2.5
ip dhcp excluded-address 10.10.2.20 10.10.2.254
!
ip dhcp pool Vlan1
network 10.10.1.0 255.255.255.0
domain-name nanosystem.local
dns-server 10.10.1.4 10.10.1.5
default-router 10.10.1.7
lease 8
!
ip dhcp pool nosfd01
host 10.10.1.21 255.255.255.0
client-identifier 0100.1d7d.43e7.00
!
ip dhcp pool Vlan2
network 10.10.2.0 255.255.255.0
domain-name nanosystem.local
dns-server 10.10.1.4 10.10.1.5
default-router 10.10.1.7
lease 8
!
!
ip domain name nanosystem.local
ip name-server 10.10.1.4
ip name-server 10.10.1.5
!
!
crypto pki trustpoint tti
revocation-check crl
rsakeypair tti
!
crypto pki trustpoint TP-self-signed-791461412
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-791461412
revocation-check none
rsakeypair TP-self-signed-791461412
!
!
crypto pki certificate chain tti
crypto pki certificate chain TP-self-signed-791461412
certificate self-signed 01
3082024F 308201B8 A0030201 02020101 300D0609 2A864886 F70D0101 04050030
30312E30 2C060355 04031325 494F532D 53656C66 2D536967 6E65642D 43657274
69666963 6174652D 37393134 36313431 32301E17 0D303830 39303431 32333031
335A170D 32303031 30313030 30303030 5A303031 2E302C06 03550403 1325494F
532D5365 6C662D53 69676E65 642D4365 72746966 69636174 652D3739 31343631
34313230 819F300D 06092A86 4886F70D 01010105 0003818D 00308189 02818100
DB7B18BD CFB327D2 B3E80F25 1EBCA7E6 CC9318FD DCAEEC1D 07604C4A 712C3BCE
3E27519B 6C492605 354E4DDB 0E2584A5 7E7786B7 16069B2A BC1A7111 9F832DD9
D82EB7F6 E995718E ABF00231 28C6B1CF 722207DA B3B91201 5C4D025C 13C1C618
8D78265A 95E072BA F94E5FDE A34C9369 DAFFEC26 3366FE58 D4EEAAC4 AD9C1421
02030100 01A37930 77300F06 03551D13 0101FF04 05300301 01FF3024 0603551D
11041D30 1B82194E 534F4652 5430312E 6E616E6F 73797374 656D2E6C 6F63616C
301F0603 551D2304 18301680 1483C281 35B20711 AD9D8823 26DF413D 0386860B
DA301D06 03551D0E 04160414 83C28135 B20711AD 9D882326 DF413D03 86860BDA
300D0609 2A864886 F70D0101 04050003 81810007 3EFE79BF 4780F4E2 6F1A9C97
BA523D68 B8019227 6E7CD929 9504624C 0FF4D170 C2634010 9B9CFD00 B0BFCE71
30625ED8 8041B3BB F96CB147 09F47921 E2D403E3 E36D363F 07855A09 57CEB9C3
48F49BBA ED168604 4FA80D8F 4CA07EE5 84CD9556 96AE283E 108E4F47 4C9E3EBE
A467988D BA4B54F3 79628C03 DEAF8E27 1D2A4B
quit
username root privilege 15 secret 5 $1$Ne5X$6nh/tvIubPYow3uafSaPH1
!
!
!
!
!
!
interface FastEthernet0
no ip address
ip nat outside
ip virtual-reassembly
no ip route-cache
shutdown
duplex auto
speed auto
!
interface FastEthernet1
no ip address
no ip route-cache
shutdown
duplex auto
speed auto
!
interface FastEthernet2
!
interface FastEthernet3
!
interface FastEthernet4
!
interface FastEthernet5
!
interface FastEthernet6
!
interface FastEthernet7
!
interface FastEthernet8
!
interface FastEthernet9
switchport access vlan 2
!
interface Vlan1
description NSOF
ip address 10.10.1.3 255.255.255.0
ip nat inside
ip virtual-reassembly
no ip route-cache
!
interface Vlan2
description NSOF
ip address 10.10.2.3 255.255.255.0
ip nat inside
ip virtual-reassembly
no ip route-cache
!
interface Async1
no ip address
encapsulation slip
no ip route-cache
shutdown
!
!
!
no ip http server
ip http secure-server
!
access-list 23 permit 10.10.0.0 0.0.255.255
access-list 23 deny any
dialer-list 1 protocol ip permit
!
!
!
!
!
!
control-plane
!
!
line con 0
line 1
modem InOut
stopbits 1
speed 115200
flowcontrol hardware
line aux 0
line vty 0 4
access-class 23 in
login local
transport input ssh
transport output none
!
!
webvpn context Default_context
ssl authenticate verify all
!
no inservice
!
end

[kim-aa]

aptv,
У вас какая-то экзотическая конфигурация по портам.

1811 это маршрутизатор, сотоящий из:
-- 2х портов 3-го уровня (им можно присваивать IP непосредственно, а можно использовать как порты 2-го уровня)
(FE0, FE1)
-- 8 портов 2-го уровня которым нельзя присваивать IP непосредственно, но можно назначать VLAN.
-- виртуальных VLAN-интерфейсов которым можно назначать IP, а можно и не назначать.

VLAN1 существует по умолчанию на всех коммутируемых портах и его нельзя "убить" (VLAN1 существует на всех коммутаторах, единственное от него могут быть "отвязаны" порты, но внутри транков он все равно будет существовать) т.к. по нему бегают BPDU анонсы (Spanning Tree Protocol). За сим Cisco рекомендует ИСПОЛЬЗОВАТЬ VLAN1 только в служебных целях.
Рекомендую для экспериментов выбрать VLAN отличные от 1.

2) ipconfig /all для рабочей станции приведите.

3) для начала ping пробуйте с Cisco из TELNET клиента.

4) В Cisco просмотрите таблицу маршрутизации командой
show route

5)
http://www.infanata.org/2007/04/01/konfigurirovanie_marshrutizatorov_cisco_2e_izd_allan_leinvand_brjus_pinski.html

http://www.infanata.org/2006/07/02/khjukabi_kh_makkveri_s_rukovodstvo_cisco_po_konfigurirovaniju_kommutatorov_catalyst.html

хотя коммутацию лучше начать изучать с этого
http://www.infanata.org/2006/07/10/kklark_kgamilton_principy_kommutacii_v_lokalnykh_setjakh_cisco.html

6) Нарисовать схемку всетаки попробуйте - тогда проще будет что-либо объяснять. (Если время будет я к вечеру тоже набросаю).

[Aleksey Potapov]

ipconfig

ip 10.10.1.21
mask 255.255.255.0
gate 10.10.1.7
dns 10.10.1.4
dns 10.10.1.5
dhcp serv 10.10.1.3



c самой циско всё прекрасно пингуется.

при наборе команды sh route пусто!!

[Aleksey Potapov]

необходимо настроить роутинг

команды типа ip route ни к чему не приводят
к примеру ip route 10.10.1.0 255.255.255.0 Vlan1
ip route 10.10.2.0 255.255.255.0 Vlan2

глухо как в танке.

[kim-aa]

aptv,
подождите, пожалуйста.
У меня 1811 запакованная лежит. Я, попробую собрать макетку либо сегодня, либо завтра.

[Aleksey Potapov]

kim-aa,
спасибо большое)
тут у меня возник ещё один вопрос - парралельно.....
так как данная циска может поддерживать двух isp.
Идея такова - воткнуть в циско в fe0 isa сервер.
Как сделать так чтобы циско работала без нат?
Ведь нам Fe0 надо присвоить какой -либо адрес....а какой...? схема прилагается.
http://s57.radikal.ru/i158/0810/2a/7136bb669a97.jpg

[kim-aa]

Как сделать так чтобы циско работала без нат? »

NAT можно отключить через прогу управления (я дикий, или старый, за сим ее только сегодня и попробую)

Можно через сонсоль (telnet)

; войти в режим админа
enable
; войти в режим конфигурирования
conf t
; войти в режим конкретного интерфейса
interface FE0
;
no ip nat outside



Конфигурация сохраняется в памяти (running-config)
Дабы записать во flash (startup-config) нужно использовать
copy running-config startup-config

Рекомендую завести tftp Сервер и сохранять конфиги
командой
copy startup-config tftp


CISCO IOS NAT

Нет нужды говорить, что сегодня подавляющее большинство парка маршрутизаторов как в мире, так и в нашей стране —
маршрутизаторы Cisco, работающие под управлением их собственной операционной системы Cisco IOS.
Начиная с версии 11.2 IOS включает в себя поддержку NAT, однако от версии к версии набор функциональных возможностей IOS NAT несколько различается.
До версии 12.0 стандартная поставка IOS включает в себя либо только PAT (маскарад), либо не включает NAT вовсе.
Поставка «Plus» имеет полную поддержку NAT во всех версиях начиная с 11.2.
Полный NAT (full NAT) от циски — это работа по всем 3-м рассмотренным выше схемам, плюс, естественно, достойный уровень «интеллектуальности»
применительно к проблемным протоколам.
Однако и на старуху бывает проруха, кое-что в IOS NAT не поддерживается:
IP Multicast, обновление маршрутных таблиц, трансфер зон DNS, BOOTP, talk, ntalk, SNMP, NetShow.
Впрочем, к чести Cisco, не-функционированию почти всего из перечисленного можно найти достойное оправдание.

Что приятно, конфигурирование IOS NAT достаточно просто, даже, если такой термин может быть применим к IOS — интуитивно.
Вот вам пример: осуществление трансляции адресов внутренних сетей 192.168.1.0 или 192.168.2.0 в пулл внешних 171.69.233.208/28 :

ip nat pool net-20 171.69.233.208 171.69.233.223 netmask <netmask> 255.255.255.240
ip nat inside source list 1 pool net-20
!
interface Ethernet0
ip address 171.69.232.182 255.255.255.240
ip nat outside
!
interface Ethernet1
ip address 192.168.1.94 255.255.255.0
ip nat inside
!
access-list 1 permit 192.168.1.0 0.0.0.255
access-list 1 permit 192.168.2.0 0.0.0.255

На мой взгляд, вполне «душевный» синтаксис команд.

Более подробно о возмостях Cisco IOS NAT вы можете прочесть на сайте компании (www.cisco.com) в разделе технической документации, в частности вот здесь:
http://www.cisco.com/warp/public/110/index.shtml#nat

[Aleksey Potapov]

kim-aa,
Вы наверное не поняли.....понятно как его отключить и включить, с tftp тоже всё ясно))),я не настолько нуб....меня интересует какой присвоить ip адрес FE0 и какой адрес internal интерфейса для isa. Ведь при всём при этом должны работать правила публикации...

[kim-aa]

aptv,

#conf t

interface FastEthernet0
ip address <чего хотим> <маска>

Только сеть желательно назначать не совпадающую с интерфейсами
VLAN

Либо прибить данный виртуальные интерфейсы.
Можно просто "положить" командой shutdown

какой присвоить ip адрес FE0 и какой адрес internal интерфейса для isa. »

Имеется в виду как грамотно побить на сети?

Если - "Да". То я, как и обещал, выложу попозжа :)

[Aleksey Potapov]

А с совподающи VLAN он и недаст прописать ip
Тоесть у нас получается - isa -ip 10.10.5.1/24(к примеру)
на циско 10.10.5.2 /24 - или по уже -тупо для 2-х ip
далее ip route 0.0.0.0 0.0.0.0 10.10.5.1
а правила публикации при этом буду работать?
и у нас получается конф такого вида для для fe0

interface FastEthernet0
10.10.5.1 255.255.255.0
!это что подскажите.
ip virtual-reassembly
!и это,если не сложно
no ip route-cache
!ну а тут и так понятно
duplex auto
speed auto

!далее
ip route 0.0.0.0 0.0.0.0 10.10.5.1


и при этом связь с домено не потеряется, разве не надо дописывать на самой isa и cisco какие-либо маршруты для доступа к локальной сети?

[kim-aa]

а правила публикации при этом буду работать? »

1)
Что такое правила публикации? Это публикация внутренних приложений наружу?
Имеется в виду PortMapping?

2) Для чего вообще используется Cisco?
Между чем и чем она маршрутизирует?

3) ISA не знает о существовании сети 10.10.2.0/24
на ней нужно прописать маршрут

====
ip virtual-reassembly »
http://www.cisco.com/en/US/docs/ios/security/configuration/guide/sec_virt_frag_reassm_ps6350_TSD_Products_Configuration_Guide_Chapter.html

Дает указание встроенному фаерволу осуществолять "сборку-расборку" пакетов для анализа содержимого.
Для чистого маршрутизатора не надо, т.к. уменьшает производительность, причем сильно.


no ip route-cache »
http://www.cisco.com/en/US/docs/ios/12_3/switch/command/reference/swi_i1.html#wp1110844
Включает коммутацию третьего уровня (не путать с маршрутизацией).
(см. тут http://wiki.oszone.net/index.php/Коммутация_третьего_уровня_(Layer_3_Switch))
Увеличит производительность.
Думаю, должно быть не совместимо c ip virtual-reassembly

====

Вобще, сказать по правде, лично бы я выставлял на провайдера именно Cisco, а ISA Использовал просто как PROXY.

Хотя никто не мешает сделать это второй частью "марлезонского балета"

[Aleksey Potapov]

Ну всё-таки isa брандмауер 7-ого уровня.....и я с ней более на ты чем с циско....поэтому isa мородой на провайдера.
Циска существет для исполнения как раз поставеленной задачи - маршрутизировать между вланами + dhcp сервер для каждого из вланов+ в будущем ближайшем, использоваться как шлюз для юзеров для доступа в инет (имеется ввиду два интерфейса FE - при падении одного, переключаться на другого)

Да, првила публикации - это PortMapping

[kim-aa]

Да, првила публикации - это PortMapping »
Ну, т.к. "публикует" ISA и если отключить NAT, т.е. cisco будет чистым маршрутизатором, то все будет работать.

Можно, конечно, двойной PortMapping забабахать, но это уже через-чур.
Да и некоторые приложения при такой операции глючат.

2) Пакет Cisco SDM ( практически BSDM :) есть?

[Aleksey Potapov]

1.ну понятно. без nat - чисто в роли маршрутизатора
2.конечно есть.....но не проще ли через консоль?

[kim-aa]

2.конечно есть.....но не проще ли через консоль? »

1) Для новичков проще через SDM.
2) Учиться проще, вносишь изменения через SDM, затем смотришь конфиг - чего прога наваяла.

[Aleksey Potapov]

1,2.ну это да.....

[kim-aa]

Предлагаю такую схему.
FE0, FE1 - это интерфейсы третьего уровня, их лучше пока приберечь.

Коммутацию 3-го уровня собрать на VLAN.
Экономно, да и в теории быстрее будет.

Если не покатит, можно будет просто "сдвинуть маску" до 255.255.0.0 и вогнать всех в один широковещательный сегмент.

[Aleksey Potapov]

Жаль что только у меня визио нету с собой....
модете переконвентировать в джепег?

По совету на другом форуме - сделал настройки на 3com свитче - добавил шлюз в найстройки свитча - гейт - 10.10.2.3 - запинговался свитч из дргой подсети(10.10.1.0).

[kim-aa]

Кстати, если вопрос о 3com baseline 2226 <VLANs> в силе, то порты связывающие свичи должны работать не в
Access Mode, а в Магистральном режиме, т.е. транспортировать теги.

Если же свич будет держать всего лишь один VLAN, то ничего делать не надо.

сделал настройки на 3com свитче »
Обана. А что, свич (3COM) третьего уровня?
Или он просто использовался как хост для проверки пинг'а?

[Aleksey Potapov]

2-ого.
да как хост для проверки icmp


плюс - а щас на первом свитче выставил шлюз 10.10.1.3 - и из другой подсети свитч запинговался.
Ошибка мне моя теперь понятна.

Но, всё равно не понятно почему к примеру не доступна isa - там то шлюз прописывать не надо в принципе
+ у меня записи на циско
ip route 0.0.0.0 0.0.0 10.10.1.7
ip route 10.10.1.0 255.255.255.0 Vlan1
ip route 10.10.2.0 255.255.255.0 Vlan2


по твоему рисунку....не понял только почему мы всё-таки оставляем ису в свитче с подсетью 10.10.5.0/24?