Cisco, port forwarding nece da moze

Pozdrav, nikako ne mogu da podesim port forwarding na ciscu 2611, prica je sledeca, na javnu adresu koju sam dobio od telekoma preko ADSL treba da se javi apache iz unutrasnje mreze, do sada port forwarding nisam radio, barem ne pravoj opremi, ali jesam NAT, nemam blage gde gresim, uskoro idem na posao te cu usput pogledati dokumentaciju, pa mozda i nadjem problem


access-list NAT
permit ip 192.168.0.0 0.0.255.255 any
ip nat inside source list NAT interface Dialer1 overload (NAT radi bez problema)

port forwarding

ip nat source static tcp 192.168.64 80 interface Dialer1 80

probao sam i ip nat source static tcp 12.12.12.254 80 23.23.23.254 80 extendable

sh ip nat translate

tcp 178.223.7.119:80 192.168.64.10:80 --- ---

Potpis

CCNP Security, CCNA R&S, CCNA Security, CCNA Voice
LinuxIsFree

Fali ti inside parametar...


ip nat inside source static tcp 192.168.64 80 interface Dialer1 80

Potpis

"99% of your thought process is protecting your self-conceptions,
and 98% of that is wrong."

Radi :) sakri sledeći put javnu adresu

Potpis

rajco.me/blog

@optix, uh ako se nevaram ta linija je ista kao i ova , inace na mashini koja je pod adresom 192.168.64.10 nalazi se debian sa default instalacijom apache2, bez ikakvih podesavanja, on mi na privatnoj adresi daje odziv default stranice, ping preko javne adrese radi, i kada uradim telnet IP_ADRESA 22 daje mi odziv od ssh, cisco se javlja sigurno, ali kod 80, cuti ko zaliven

ip nat inside source static tcp 192.168.64.10 80 interface Dialer1 80

Potpis

CCNP Security, CCNA R&S, CCNA Security, CCNA Voice
LinuxIsFree

Cek cek, kako mislis radi, ja se 2,3 sata igram s ovim (podesavao sam adsl, dhcp, nat, mashinu gde je apache) i dalje nemam odziva, sad cu probati sa virtualne mashine, mozda je neki trip u pitanu.... burazer probao sa svog laptop koji je na istom internetu, i nije dobio odziv

Potpis

CCNP Security, CCNA R&S, CCNA Security, CCNA Voice
LinuxIsFree

1. Imas li default rutu na tom debian-u da gadja cisco ruter?
2. Kako isprobavas da li radi pristup preko jave adrese? Ne mozes iz svoje privatne mreze pristupati web serveru preko javne adrese na ciscu.


edit.
Da, radi.. sad sam i ja ukucao javnu adresu, dobije se directory listing sa servera.
Tacka 2 gore ti je problem.

Potpis

"99% of your thought process is protecting your self-conceptions,
and 98% of that is wrong."

@optix, upravo sam to hteo da upitam, da li mozes da mi objasnis zasto ne moze iz privatne mreze da se pristupi web serveru koristeci javnu IP, setio sam se da je drugar moj imao slicnih problema, pisao je neku php aplikaciju, i bilo mu je potrebno da se proverava sa javne IP

Potpis

CCNP Security, CCNA R&S, CCNA Security, CCNA Voice
LinuxIsFree

Potvrdjujem da ti radi Apache/2.2.16 (Debian) Server. Vide se cisco video materijali.

Potpis

Merenje brizine
interneta

Nije fer svi vidite sem mene, a ja sam budala sto sam se zajebavao barem 2 sata da bih resio taj problem, i ako sam bio siguran da linija iz prvog posta mora da radi :P....


@Optix ozbiljno, zasto ne mogu da isprobavam iz unutrasnje mreze sa javnom adresom ? razmisljam, ali ne moga smislim razlog...

Potpis

CCNP Security, CCNA R&S, CCNA Security, CCNA Voice
LinuxIsFree

Takav je packet flow kroz ruter. Da bi odradio nat na nacin na koji zelis, paket mora da dodje kroz 'nat outside' interface, tek onda ce da match-uje nat pravila (port forwarding) vezana za taj interface.

Potpis

"99% of your thought process is protecting your self-conceptions,
and 98% of that is wrong."

@optix informativno, da li postoji nacin kako to da se sredi ? kapiram da sam ja "lose" napisao NAT pravilo u vezi portova

Potpis

CCNP Security, CCNA R&S, CCNA Security, CCNA Voice
LinuxIsFree

Pa pazi, generalno tu nema nista da se 'sredi' jer IOS nije predvidjen da radi to sto si zamislio - tj. da bi se generalno dogodila NA-Translacija IOS zahteva da paketi budu switch-ovani izmedju inside<-->outside interface-a.
E sad, teorijski bi mogao da napravis Loopback interface, kazes njemu da bude nat outside interface, i onda koristis policy routing da saobracaj forsiras kroz taj interaface u oba smera, plus dodatno nat outside pravilo, tako da dobijes da iz unutrasnje mreze mozes prici unutrasnjem hostu po adresi na javnom interface-u... medjutim - i po samoj velicini recnice vidis kolika je to administrativna nocna mora - budzenje^² :) Iskreno, nisam probao (mrzi me), ali trebalo bi da radi.

Tako da dobro razmisli da li ti to stvarno "treba" ili je stvar samo sta ti je lakse da kucas u browser-u ;)

Mozes doduse da iskoritis ono sto IOS radi po default-u ukoliko ima pravilo koje staticki translira jedan inside IP u outside adresu. Ako za tu javnu adresu vezes neki domen, i klijenti gadjaju domain name tog servera, koristeci pri tome javni DNS server, IOS ce prepisati dns odgovor i umesto javne adrese, klijentima ce servirati privatnu adresu servera. Trebala bi ti dakle linija: ip nat inside source static 192.168.64.10 interface Dialer1 - time bi efektivno preusmerio sve portove na 192.168.64.10, s tim da i dalje mozes imati druge staticke port translacije ka drugim masinama, ti portovi ce biti izuzeti od gornjeg pravila i nece zavrsiti na 192.168.64.10 serveru.


ASA/PIX firewall-ovi npr. imaju malo drugaciju koncepciju nat-a, tako da je na njima ovo sto si zamislio sasvim lako napraviti, bez dodatnih komplikacija sa loopback interface-ima... :) Znam da ti ne pomaze previse, ali cisto da napomenem... mozda nekom zatreba :)

Potpis

"99% of your thought process is protecting your self-conceptions,
and 98% of that is wrong."