:strip_exif()/u/33047/steveb.gif?f=community)
Situatie
Ik heb een Cisco 1841 met een tweetal servers erachter, een domaincontroller die op de FE0/0 is aangesloten en een webserver (in DMZ) op het aangeschafte WICje. Nu heb ik de configuratie zover dat alle functionele zaken werken op het internet vanuit het LAN na.
Het vreemde is dat het voorheen wel gewerkt heeft met deze config alleen nu dus niet meer.
Ik heb hier in dit voorbeeld zoveel mogelijk overbodige info er buiten gelaten. Ik heb al de ip nat statements al eens verwijderd en omgedraaid maar dit bood geen oplossing. Tevens heb ik geprobeerd om dmv ip nat inside source list lan-acl interface FastEthernet0/1 overload iets te forceren maar ook dit bood geen oplossing.
Op dit moment is het dus mogelijk om de webserver van buitenaf te benaderen en de website connect ook naar de database op de DC. Mobiele VPN werkt ook zonder problemen, echter kan ik dus niet pingen vanaf de FE0/0.
Ik heb een Cisco 1841 met een tweetal servers erachter, een domaincontroller die op de FE0/0 is aangesloten en een webserver (in DMZ) op het aangeschafte WICje. Nu heb ik de configuratie zover dat alle functionele zaken werken op het internet vanuit het LAN na.
Het vreemde is dat het voorheen wel gewerkt heeft met deze config alleen nu dus niet meer.
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
| ip subnet-zero no ip source-route ip cef ! ! ip tcp synwait-time 10 ! ! no ip bootp server ip domain name test.local ip name-server 195.241.48.33 ip name-server 195.241.49.33 ip inspect name dmzinspect tcp ip inspect name dmzinspect udp ip inspect name laninspect cuseeme ip inspect name laninspect ftp ip inspect name laninspect h323 ip inspect name laninspect icmp ip inspect name laninspect netshow ip inspect name laninspect rcmd ip inspect name laninspect realaudio ip inspect name laninspect rtsp ip inspect name laninspect esmtp ip inspect name laninspect sqlnet ip inspect name laninspect streamworks ip inspect name laninspect tftp ip inspect name laninspect tcp ip inspect name laninspect udp ip inspect name laninspect vdolive ip ips po max-events 100 no ftp-server write-enable ! ! ! interface FastEthernet0/0 description LAN Interface ip address 10.0.0.1 255.255.255.0 ip access-group lan-acl in ip nat inside ip virtual-reassembly duplex auto speed auto no cdp enable no mop enabled ! interface FastEthernet0/1 description WAN Interface ip address xxx.xxx.xxx.xxx 255.255.255.0 duplex auto speed auto no cdp enable crypto map SDM_CMAP_1 ! interface FastEthernet0/0/1 description DMZ switchport access vlan 2 no ip address no cdp enable ! ! interface Vlan2 description DMZ Interface ip address 10.0.2.1 255.255.255.0 ip access-group acl-to-dmz in ip nat inside ip virtual-reassembly ! ip default-gateway XXX.XXX.XXX.XXX ip classless ip route 0.0.0.0 0.0.0.0 XXX.XXX.XXX.XXX ip route 10.0.0.0 255.255.255.0 FastEthernet0/0 ip route 10.0.2.0 255.255.255.0 FastEthernet0/0/1 ! ip http server ip http authentication local no ip http secure-server ip nat pool LAN-pool 10.0.0.2 10.0.0.255 netmask 255.255.255.0 ip nat inside source static 10.0.2.7 XXX.XXX.XXX.XXX ! ip access-list extended acl-to-dmz permit tcp any eq www any permit icmp any any permit tcp host 10.0.2.2 host 10.0.0.2 eq 445 permit tcp host 10.0.2.2 host 10.0.0.2 eq 1433 permit udp host 10.0.2.2 host 10.0.0.2 eq 1433 permit tcp host 10.0.2.2 host 10.0.0.2 eq 1434 permit udp host 10.0.2.2 host 10.0.0.2 eq 1434 permit tcp any eq ftp any permit tcp any eq ftp-data any permit tcp any eq 443 any permit tcp any eq 3389 host 10.0.0.2 ip access-list extended lan-acl permit ip any any ip access-list extended vpn-client-acl permit ip 10.0.0.0 0.0.0.255 any permit ip 10.0.2.0 0.0.0.255 any |
Ik heb hier in dit voorbeeld zoveel mogelijk overbodige info er buiten gelaten. Ik heb al de ip nat statements al eens verwijderd en omgedraaid maar dit bood geen oplossing. Tevens heb ik geprobeerd om dmv ip nat inside source list lan-acl interface FastEthernet0/1 overload iets te forceren maar ook dit bood geen oplossing.
Op dit moment is het dus mogelijk om de webserver van buitenaf te benaderen en de website connect ook naar de database op de DC. Mobiele VPN werkt ook zonder problemen, echter kan ik dus niet pingen vanaf de FE0/0.
When did I realize I was God? Well, I was praying and suddenly I realized that I was talking to myself
:strip_icc():strip_exif()/u/33428/image.jpg?f=community)
/u/13471/karnemelk.png?f=community)
:strip_icc():strip_exif()/u/26315/bleh.jpg?f=community)
Klinkt behoorlijk logisch inderdaad, ik heb de lan-acl toch aangemaakt om zodoende in ieder geval al een ACL te hebben op het LAN waardoor de config voor mij in ieder geval qua opbouw overzichtelijk blijft.
/u/106515/crop568c07fed5472.png?f=community)
