Сети для самых маленьких. Часть пятая. ACL и NAT

[91koff]

В печать!

[eucariot]

По окончанию цикла на книгу наберётся, наверно.

[91koff]

Только в черновики не убирайте, пожалуйста.

[navion]

Причем на отличную, я когда-то купил «Cisco router for desperate» и очень разочаровался количеством материала и глубиной подачи. У вас намного лучше, а таких картонных схем нет даже у парней из Сиски :)

[Ingtar]

Огромное Вам спасибо!
Всегда с удовольствием читаю ваши статьи.
Действительно — что вы думаете об выпуске если не книги, то хотя бы ПДФ с полными копиями статей? Была бы настольной книгой для многих.

[theGluck]

буквально сейчас об этом разговаривали))

[eucariot]

Мы думали, конечно, об этом. PDF будет однозначно. Но хотелось бы какую-то мультимедиа-книгу типа для iBooks скомпилировать.

[wonderworld]

Как всегда — просто о сложном. Большое спасибо!

[TeiSinTai]

После фотографий в статье захотелось конструктор, что-то вроде «Лего для сисадминов» =)
А саму статью, как и предыдущие, сохранил, для периодического перечитывания и применения в работе =)

[eucariot]

СДСМ=Склей Девайсы Сам, Мужик.

[paralon]

Шикарно, как впрочем и все статьи до этого.

[Tai_Neko]

Опечатались:
Доступ по RDP к компьютерами админа и нашему

Должно быть вероятно:
Доступ по RDP к компьютерам админа и нашему

[BlackGod]

Вопрос, а что за программа для моделирования используется?

[paralon]

Cisco Packet Tracer

[JDima]

Можно добавить, что для новичков это — неплохой симулятор, но исключительно нефункциональный, и для более серьезного изучения надо ставить либо GNS3 (медленно и относительно удобно), либо IOU (очень быстро и чертовски неудобно). Они оба реализуют примерно весь функционал роутерного IOS.

[paralon]

А мне не нравится GNS тем что не эмулирует L2-коммутаторы, хотя это вроде как обходится модулем для роутеров NM-16ESW, если мне не изменяет память, но я это поздно узнал и STP, например изучал в PT

[JDima]

Ну на самом PT тоже паршиво изображает из себя L2 коммутатор…

Нет замечательной команды:
Switch#show int status
^
% Invalid input detected at '^' marker.

Где MST?
Switch(config)#spanning-tree mode?
pvst Per-Vlan spanning tree mode
rapid-pvst Per-Vlan rapid spanning tree mode

Где STP loop guard?
Switch(config-if)#spanning-tree guard?
root Set guard mode to root guard on interface

Где вообще главная падла L2 — MTU?
Switch#show int fa0/1
FastEthernet0/1 is down, line protocol is down (disabled)
Hardware is Lance, address is 0003.e44b.3501 (bia 0003.e44b.3501)
BW 100000 Kbit, DLY 1000 usec,

Switch(config)#system mtu?
% Unrecognized command

Ну да, базово пощупать крайне обрезанный даже по сравнению с lan lite свитч можно. Больше ничего сделать нельзя.
А на L2IOU, помнится, реализован функционал L3 свитча, по фичам близкого к cat6500. Вкратце: L2IOU используется для тестирование кандидатов в CCIE на умение траблшутить и легко переваривает лабы в 30 устройств.

[chaynick]

Хм. А еще PT неправильно обрабатывает конфигурационный регистр и он бродкастовый шторм дает на rpvst…

[eucariot]

То-то я обратил внимание, что у меня в предыдущей лабе постоянно колбасило сеть.

[chaynick]

Это еще не самое прикольное. Интереснее всего было когда у меня лаба на экзамене CCNP ROUTE неправильно сработала, 40 минут на нее убил. Там надо было настроить передачу маршрутов между OSPF и EIGRP, чтобы еще весь трафик автоматом шел по резервному каналу при отказе основного. А вот при отказе основного канала в симуляторе местном пинг по резервному каналу с целевой системы не шел, EIGRP с удаленного роутера метрику до резервного канала не показывала, но подсети из OSPF нормально показывала. Пинг так и не пошел, хотя эту лабу похоже мне засчитали как правильную. Это к качеству эмуляторов оборудования cisco от производителей оборудования cisco…

[JDima]

Это к качеству эмуляторов оборудования cisco от производителей оборудования cisco…

Ставьте IOU. Не эмулятор, не симулятор, просто по сути скомпилированный под x86 линуксы IOS.
Хотя у меня на старых версиях был баг — не стоит настраивать динамику или LDP между int vlan'ами, там какая-то чертовщина с прохождением пакетов определенного размера, причем она не исправлялась никакими танцами с MTU.

Там надо было настроить передачу маршрутов между OSPF и EIGRP, чтобы еще весь трафик автоматом шел по резервному каналу при отказе основного.

Если не сложно — скинете мне в личку более подробное описание задачи?

[navion]

Интересно, когда они заменять PT на IOU в экзаменах? Лабы в нём продают достаточно давно.

[JDima]

На CCNP там не PT, а какой-то другой симулятор (именно симулятор, не эмулятор).
IOU на лабе CCIE RS есть. Вроде не глючил. Хотя в одном месте было подозрение на глюк — OSPF соседство поверх frame relay полностью поднималось, корректно обменивалось маршрутами, но периодически падало. С другой стороны, может, это мой практически никакой опыт по траблшутингу FR сказался :)

[asgard88]

Очень хороший цикл статей. Для того чтобы вспомнить основы, да и как шпаргалку перед сдачей CCNA можно использовать

[gissarsky]

Отличная статья, спасибо!

[Ml1ght]

Спасибо за проделанный труд и за такого рода посты.

[eucariot]

Не стесняйтесь задавать вопросы)

[Ml1ght]

Вопросов нет, все и так ясно, спасибо.

[vanomel]

подскажите, пожалуйста, как поступить в такой ситуации, что есть внешний интерфейс с внешним айпи адресом. Сделан проброс порта на внутренний сервер.
Снаружи всё работает нормально, но если обратиться к внешнему адресу из внутренней сети, то соединения не происходит.
Как настроить чтобы можно было установить соединение по внешнему адресу из внутренней сети?

[eucariot]

Смотря какая-стоит задача. Находясь во внутренней сети, обращайтесь просто к этому серверу по его частному адресу. Либо напрямую по адресу, либо поднять днс и тогда по доменному имени.
Вообще, в своё время я пробовал такой ситуации избежать route-map'ом. Когда вы прописываете трансляцию (ip nat inside source static....) в конце можно запретить трансляцию внутренних адресов повесив этот самый route-map. Синтаксис сейчас не могу проверить.

[vanomel]

Это сайт компании. На сайте есть программулина на флеше, которая обращается к серверу внутри сети. С внутренних компов не работает, с внешних — да. Нужно, чтобы работала и с тех и с других. На внутренних сетях много разных vlan'ов с разными адресными пулами.

[eucariot]

ip nat inside source {static {local-ip global-ip} [vrf name] [extendable] [no-alias] [no-payload] [route-map] [redundancy group-name] | {esp local-ip interface type number}}

Вот очень похожая на вашу проблема: www.opennet.ru/openforum/vsluhforumID6/18076.html

[vanomel]

Сделал ip nat inside source static tcp 192.168.50.4 9009 213.87.116.ххх(внешний айпи) 19009 route-map nonat-map
такого названия (nonat-map) вроде нет, но не ругался. С внешки ходит, с внутренних хостов — нет. Что ещё можно попробовать?

[paramobilus]

Если есть вероятность, что ACL сработает неправильно, и мы окажемся без связи, можно предварительно подстраховаться, набрав команду #reload in 5. Тогда устройство перезагрузит само себя через 5 минут.
P.S. Куда donate отправлять?

[eucariot]

Это замечание было в одной из предыдущих статей, но вы правы, стоило его вставить и сюда.
А по поводу донейтов… Да мы их ещё не принимали. Лучший донейт сейчас — фидбек читателей. А он, благо, есть.

[JDima]

Очень сильно устаревшее решение. Лучше сделать что-то вроде «configure replace nvram:startup-config time 60».

www.cisco.com/en/US/docs/ios/12_3t/12_3t7/feature/guide/gtrollbk.html

[deathwalker]

мне кажется что лучше всего просто иметь доступ к консоли оборудования.
в таком случает и перезагружать его не надо будет.

[theGluck]

Чаще всего, оборудование конфигурится удаленно. Потому что нет смысла ехать, например, в тайгу за 200 километров подключаться в консоль поправить одну строчку в конфиге (и, ксати, если не предохраниться таким образом, ехать-таки придется).

[deathwalker]

оборудование можно подключить консольным шнурком к серверу — и с сервера его мониторить:)
если сервер железный — то проблем нету.
если там hyper-v — тоже.
если там esx — делаем проброс до машин, тоже не проблема;)

[eucariot]

Если у вас отрубится доступ на циску, также легко может отключиться и вся подсеть, вместе с железным сервером.

[theGluck]

во-первых, вся шутка-то в том, что оборудование наше сетевое. а значит, скорее всего, на сервер мы в итоге через эту железяку и заходим. во-вторых, ну допустим, один свич\роутер мы подключили, сколько комовских портов у нас на сервере осталось? 0 или 1. а ежли у нас куча свичей, куда их?

p.s. на самом деле, для этого существовала специальная железка, называлась, кажется, access server- у нее была куча com-портов специально для этих целей. ну а на современных кошках уже usb, конечно. но все это не отменяет первого пункта.

[JDima]

для этого существовала специальная железка

Да любой цискин роутер с HWIC-16A (или хотя бы HWIC-8A).

Скрытый текст

Но да, остается открытым вопрос подключения к железке по сети, если сеть уронена.

[deathwalker]

Подраздел Web Access в разделе Access Control List (в самом верху) кстати — одна из лаб в экзамене CCNA :)

[Evgenym]

Отличная статья! Помогла разобраться в терминах и деталях.

[eucariot]

Благодарю. Через месяц примерно новый выпуск про BGP и IP SLA.

[storm]

Я — полное безразличие Джека…
00:41
Что это? :)

[eucariot]

Пасхалка же. :) Я поражаюсь вашей выдержке.

[Tarakanator]

@eucariot

Дано: Сети 172.16.0.0-172.16.255.0
Надо: отфильтровать хост с адресом 4 из всех подсетей
Решение: 172.16.16.0 0.0.255.4
Т.е. адрес 10101100.00010000.00010000.00000000
маска 00000000.00000000.11111111.00000100
получается валидные адреса 10101100.00010000.********.00000*00

Т.е. 172.16.0.0 валидный адрес, а это не подходит под задачу.
Правильный вариант.(хотя вместо нуля в адресе можно что угодно написать, но ноль как-то читабельнее)
172.16.0.4 0.0.255.0
Или я не прав?