Netscreen NS5GT

[killabee.nl]

Hallo Mensen,

Ik zit hier op het werk met het volgende probleem. We hadden hier eerst een Breedband verbinding van Priority Telecom. Daar hadden we 4 ipadressen van. Deze hadden we in onze Netscreen NS5GT geconfigureerd.

Dan krijg je dus 1 ip adres die je aan de buitenkant ziet en de andere drie kun je gebruiken om naar servers te forwarden. Dit heeft altijd goed gewerkt.

Nu is het geval dat we internet verbinding hebben via de NDIX. En moeten er dus nieuwe ip adressen in de router worden geconfigureerd. We hebben de router gereset naar de fabrieksinstellingen.
Vanaf daaruit hebben we de router helemaal opnieuw opgebouwd.

Nu is het probleem:

Als we een MIP aanmaken naar bijvoorbeeld de webserver dan kan de webserver niet meer op internet. Als je de MIP weer weghaald dan kan de webserver wel weer op internet.

Wat we doen is drie MIP's aanmaken met elk een eigen buiten ip adres die verwijzen naar interne servers. Daarna maken we voor de drie server aparte policies aan met de juiste poorten die moeten worden geforward.

Op internet kan ik er niet zoveel over vinden. Overal staat de procedure beschreven zoals wij het hier ook doen.

Heeft iemand enig idee wat we over het hoofd zien?

[NeverAlone]

Over de oorzaak is zo niets te zeggen zonder meer informatie.
Geef eens een overzicht van de Policies die je nu hebt ingevoerd of eventueel de configuratie.

[martijnn]

Lijkt inderdaad op een policy fout. Het kan zijn dat de globale adressen wel naar buiten mogen, en diegene die je extra mapt, niet.

[Verwijderd]

Zet ook eens logging op je policy voor bijv. de webserver aan. Met welk IP adres probeerd de server naar internet te communiceren?

[killabee.nl]

Ik ben vandaag weer bezig geweest met de router, het lijkt erop dat het zit in de arp cache. We hebben meerdere publieke ipadressen en die heb ik allemaal even geprobeerd, en de laatste drie werken wel.

We delen de ipadressen met een andere school en die hebben een aantal van deze adressen al ingebruik gehad. Dus waarschijnlijk staat ze dan nog ergens in de arp cache.

De mensen op de andere school gaan nu even kijken of dat zo is, ik laat hier nog even weten of dat zowieso de oorzaak was.

Ik heb verder namelijk niks aan de policys veranderd alleen het publieke ip adres van de MIP.

[Verwijderd]

Hoe staan je routes naar buiten geconfigureerd?
wat krijg je als resultaat met een tracert.

[hstuivenberg]

Let op dat je je policies naar je MIP laat verwijzen!

Dus UNTRUST > MIP > ALLOW HTTP en niet, zoals normaal: UNTRUST > SERVER > ALLOW HTTP.

[Dennisch]

TIP 1 :Kijk hoe je policies staan.
en kijk eventueel in de log...

TIP 2 : Kijk met een tracert vanaf de server.

TIP 3: een debug log aanmaken via de CLI.

TIP 4: controleer je NAT instellingen.