cisco 1760 port forward probleem

[Verwijderd]

Mijn cisco 1760 router met WIC-1ADSL en IOS 12.3 heeft fast ethernet adres 192.168.1.254 en a dynamisch globaal ip adres. Een server op het LAN met Apache webserver heeft IP adres 192.168.1. 100 en heeft de dyndns updater werkende. Ik heb de IOS running config als onder met NAT en PAT naar het adres van de webserver 192.168.1.100 met TCP poort 80. Van het internet krijg ik de webpagina niet te zien, ook niet als ik het globale IP adres van de router intoets, is er een fout in de running config mbt port forwarding?


version 12.3
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname c1760
!
boot-start-marker
boot-end-marker
!
enable password xxxx
!
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
no aaa new-model
ip subnet-zero
ip cef
!
ip dhcp excluded-address 192.168.1.254
ip dhcp excluded-address 192.168.1.1
!
ip dhcp pool dsl1
network 192.168.1.0 255.255.255.0
default-router 192.168.1.254
dns-server 212.71.8.10 212.71.0.33
!
ip name-server 212.71.8.10
ip name-server 212.71.0.33
no ftp-server write-enable
!
interface ATM0/0
no ip address
load-interval 30
no atm ilmi-keepalive
dsl operating-mode auto
pvc 8/35
encapsulation aal5mux ppp dialer
dialer pool-member 1
!
interface FastEthernet0/0
ip address 192.168.1.254 255.255.255.0
ip nat inside
speed auto
!
interface Dialer0
ip address negotiated
ip nat outside
encapsulation ppp
dialer pool 1
dialer-group 1
ppp authentication chap callin
ppp chap hostname xxxxxxxxx@xxxx
ppp chap password xxxxxx
!
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
no ip http server
ip nat inside source list 1 interface Dialer0 overload
ip nat inside source static tcp 192.168.1.100 80 interface Dialer0 80
!
access-list 1 permit any
dialer-list 1 protocol ip permit
!
control-plane
!
line con 0
line aux 0
line vty 0 4
login
!
end

[Bart]

Maak van:

access-list 1 permit any

eens:

access-list 1 permit 192.168.1.0 0.0.0.255

Ik weet dat sommige het IOS-en het niet leuk vinden als je daar any neer zet. Verder ziet het er eigenlijk goed uit. Hoe test je de translatie precies?

[ Voor 17% gewijzigd door Bart op 29-10-2007 18:13 ]

[TrailBlazer]

en doe gewoon een debug ip nat translations als je het probeert. Volgens mij zit het er goed uit, maar toch werkt het niet dus ik zal wel ongelijk hebben.

[ChaserBoZ_]

Je test het toch niet vanaf je eigen interne netwerk ?

[Verwijderd]

Ik heb de acces-list 1 permit veranderd maar het werkt nog steeds niet. debug ip nat werkt OK. Ja ik probeer de website inderdaad vanaf een computer op het LAN op te roepen. Ik heb op de server met IP adres 192.168.1.100 dyndns en apache geinstalleerd en probeer die server te bereiken met de dyndns hostname inde URL. Enig idee wat er fout gaat?


version 12.3
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname c1760
!
boot-start-marker
boot-end-marker
!
enable password xxxxx
!
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
no aaa new-model
ip subnet-zero
ip cef
!
ip dhcp excluded-address 192.168.1.254
ip dhcp excluded-address 192.168.1.1
!
ip dhcp pool dsl1
network 192.168.1.0 255.255.255.0
default-router 192.168.1.254
dns-server 212.71.8.10 212.71.0.33
!
ip name-server 212.71.8.10
ip name-server 212.71.0.33
no ftp-server write-enable
!
interface ATM0/0
no ip address
load-interval 30
no atm ilmi-keepalive
dsl operating-mode auto
pvc 8/35
encapsulation aal5mux ppp dialer
dialer pool-member 1
!
interface FastEthernet0/0
ip address 192.168.1.254 255.255.255.0
ip nat inside
speed auto
!
interface Dialer0
ip address negotiated
ip nat outside
encapsulation ppp
dialer pool 1
dialer-group 1
ppp authentication chap callin
ppp chap hostname xxxxxxx@xxx
ppp chap password 0 xxxxx
!
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
no ip http server
ip nat inside source list 1 interface Dialer0 overload
ip nat inside source static tcp 192.168.1.100 80 interface Dialer0 80
!
access-list 1 permit 192.168.1.0 0.0.0.255
dialer-list 1 protocol ip permit
!
control-plane
!
line con 0
line aux 0
line vty 0 4
password xxxx
login
!
end

[Rendier2710]

Probeer eens het outside ip adres ipv interface dialer0?

ip nat inside source static tcp 192.168.1.100 80 xxx.xxx.xxx.xxx 80

en inderdaad kun je je interne server niet aanroepen middels het outside adres vanuit je LAN....

[ Voor 28% gewijzigd door Rendier2710 op 29-10-2007 22:11 ]

[LeGato23]

Verwijderd schreef op maandag 29 oktober 2007 @ 22:00:
Ik heb de acces-list 1 permit veranderd maar het werkt nog steeds niet.

Heb je na het wijzigen van de access-list een clear xlate uitgevoerd?

[Verwijderd]

het commando

ip nat inside source static tcp 192.168.1.100 80 xxx.xxx.xxx.xxx 80

werkt ook niet, is er een andere manier om de werking op het internet van de webserver te testen? De router begrijpt het commando 'clear xlate' niet.

[TrailBlazer]

clear xlate is een commando voor een PIX volgens mij. clear ip nat trans * zou het moeten doen.

[Mikey!]

Ben je niet een access-list op de outside vergeten die verkeer van any toestaat naar je publieke ipadres op poort 80, zodat het verkeer dat bestemd is voor je webserver ook daadwerkelijk naar binnen mag?

code:

access-list 100 permit tcp any host [publiek ip] eq 80

interface dialer0
 ip access-group 100 in

Of was dat nou niet pérsé nodig...?

[ Voor 8% gewijzigd door Mikey! op 30-10-2007 10:34 ]

[TrailBlazer]

geen ACL is alles doorlaten. Het is geen Firewall

[Mikey!]

TrailBlazer schreef op dinsdag 30 oktober 2007 @ 10:49:
geen ACL is alles doorlaten. Het is geen Firewall

Ik moet eens wat minder met ASA's en PIXen gaan werken

[weijl]

Hm, lijkt netjes inderdaad, ik kan niets raars ontdekken.
Kan je die website wel op het interne IP (192.168.1.100) bereiken?? Zo ja, dan zit er toch iets niet helemaal lekker in je dyndns config. (Ik neem aan dat dyndns dan kijkt of je lokaal bent of juist niet, en op basis daarvan je het externe of interne ip geeft?)

[Verwijderd]

dyndns lijkt me goed te werken. Op WXP server 192.168.1.100 heb ik apache staan en als ik in het lan de 192.168.1.100 intoets op MS IE krijg ik de apache test pagina. Het vreemde is ook dat als ik het externe IP address van de router intoets ik de webpagina niet te pakken kijg, met deze configuratie zou dat toch moeten, of zit ik er helemaal naast.

[TrailBlazer]

ja dat werkt dus niet. Je gaat namelijk niet van outside naar inside dus wordt de nat entry niet aangesproken. Eventueel kan ik wel even voor je testen DM me anders de hostname/IP adres als je dat hier niet wil plaatsen.
Sommige SOHO routers ondersteunen dit wel maar een cisco niet. Ze hebben hier ook een reden voor geloof ik.

[ Voor 19% gewijzigd door TrailBlazer op 31-10-2007 21:56 ]

[Verwijderd]

OK, de hostname is evwaes.dyndns.org momenteel de externe IP 213.219.173.8

Dit is inderdaada de eerste keer dat ik dit met Cisco doe, voorheen altijd met een asus router, en dat werkte OK

[LeLo]

It works!

[Verwijderd]

Prima, dus dan werkt het toch. Is er een andere manier om het te testen?

[TrailBlazer]

niet vanaf je interne netwerk.

[bazkar]

Nee, vanaf de binnenkant van je eigen router terug via het buitenkant adres gaat uiteraard nooit werken.
Het verkeer 'bereikt' de buitenkant van je router nl. niet omdat het adres verwijst naar een IP dat op de router zit.
Je zal dit idd echt van buiten je netwerk moeten testen en dan werkt het uiteraard wel.
Je kunt een static DNS entry opnemen in je LAN om foo.dyndns.org te laten verwijzen naar 192.168.1.100 als je de server per se (waarom schrijft iedereen dit toch altijd fout) onder 1 naam wilt benaderen

[Verwijderd]

dat zal ik eens proberen. Ik heb gelijk nog een andere vraag. Ik wil een SIP communicatie server installeren waarvoor ik UDP poort 5060 forward naar 192.168.1.100 met

ip nat inside source static udp 5060 192.168.1.100 interface dialer0 5060

maar ik moet ook udp poorten 10000 to 10012 naar 192.168.1.100 forwarden voor de rtp stream, is er een manier om met een commando deze range udp poorten te forwarden.

[weijl]

Maar eens ingelezen op dyndns (kende het niet eens), en dat werkt dus anders dan ik dacht.

@ mkj, ik meen iets als 'ip nat inside source static udp range 10000-10012 192.168.1.100 interface d0 range 10000-10012'
dit moet overigens wel te vinden zijn op google of soortgelijken.

[Bart]

Verwijderd schreef op donderdag 01 november 2007 @ 13:11:

maar ik moet ook udp poorten 10000 to 10012 naar 192.168.1.100 forwarden voor de rtp stream, is er een manier om met een commando deze range udp poorten te forwarden.

Zover ik weet kan dat niet bij NAT translaties.

Bij het aanmaken van een access-lists kan je wel de range optie gebruiken.

[Verwijderd]

nee heb dat geprobeert maar dat lukt niet, zien er naar uit dat for port address translation je alle poorten appart in moet vullen

[PerfectPC]

Verwijderd schreef op woensdag 31 oktober 2007 @ 23:32:
Prima, dus dan werkt het toch. Is er een andere manier om het te testen?

via de proxy server van je provider kan je dit altijd testen
verder kan je in het IP nat commando geen port ranges opgeven, maar dat lijkt me ook helemaal niet erg, het gaat hier om 13 lijntjes...

verder is het inderdaad best practice om je access-list voor de NAT te beperken tot je interne netwerk, anders kan je in de knoop komen als je er nog andere netwerken aan gaat koppelen (via vpn bijvoorbeeld), dan gaat die nl in alle richtingen proberen NAT'en wat uiteraad niet de bedoeling is

heb je als eens geprobeerd of jouw versie van IOS geen ondersteuning biedt voor het commando IP ddns ? heel handig als je van dyndns clientjes af wilt

verder kan je je cisco laten fungeren als caching dns server, zo moet je geen statische externe ip's opgeven in je dhcp options, altijd handig moest je van provider wisselen en/of moest je provider die ip adressen aanpassen. je moet dan wel de dns server option accepteren bij de dhcp ip lease voor je dialer.

en ten slotte raad ik aan om service password-encryption toch echt aan te zetten hoor

[ Voor 67% gewijzigd door PerfectPC op 01-11-2007 18:34 ]

[Kabouterplop01]

TrailBlazer schreef op dinsdag 30 oktober 2007 @ 10:49:
geen ACL is alles doorlaten. Het is geen Firewall

zoals trailblazer zegt: ACL's eraf en opnieuw ranges van poorten doorlaten via een ACL
is een stuk makkelijker. Maak er een extended ACL van die kun je on the fly aanpassen, dan hoef je niet telkens de ACL van de poort af te slopen.
Zal dat werken?

[PerfectPC]

Kabouterplop01 schreef op donderdag 01 november 2007 @ 21:37:
zoals trailblazer zegt: ACL's eraf en opnieuw ranges van poorten doorlaten via een ACL
is een stuk makkelijker. Maak er een extended ACL van die kun je on the fly aanpassen, dan hoef je niet telkens de ACL van de poort af te slopen.
Zal dat werken?

neen dat gaat niet werken want er staan ook helemaal geen ACL's in...
die ene basic ACL heb je nodig voor je NAT werkende te krijgen.

[Verwijderd]

inderdaad heb ik nog even geen acl ingesteld om ervoor te zorgen dat alles open staat om het eea te testen. er staat nu ios v12.3 op dat geen dynamic dns heeft, dat is vanaf de 12.4 geimplementeerd. ik zal die image er eens op zetten en het eea instellen.