[CISCO871] NAT port forwarding, maar dan ook voor het LAN

[JasperE]

De situatie is als volgt, ik heb een CISCO871 met een extern WAN IP (62.22.189.233) dat via NAT voor verbindingen van buitenaf op port 80 geforward wordt naar een intern IP (192.168.20.241). Dat werkt goed, maar nu wil ik dat ook verzoeken vanuit het LAN voor dit externe IP geforward worden naar het interne IP.
(Zodat van binnen het netwerk www.domein.nl in de browsers ook werkt. Het zou bijvoorbeeld mooi zijn als smartphones bv ook willen synchroniseren met Exchange wanneer ze in het wifi hangen.)

Na een zoektocht op internet heb ik gevonden dat dit wellicht via een Loopback interface gerealiseerd kan worden. In mijn config bestaat er al een loopback interface voor het externe IP dat de dialer via "ip unnumbered" gebruikt. Maar ik kom er nu niet uit hoe ik dit moet instellen om het hierboven beschreven te bereiken. (Ook niet na het doornemen van meerdere pagina's zoekresultaten op google en cisco.com)

Kan iemand me hiermee helpen?

Dit is mijn config

code:

C871#sh run
Building configuration...

Current configuration : 6219 bytes
!
! Last configuration change at 14:34:50 CET Tue Oct 26 2010
! NVRAM config last updated at 15:48:29 CET Tue Oct 26 2010
!
version 12.4
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
no service dhcp
!
hostname C871
!
boot-start-marker
boot-end-marker
!
logging buffered 51200 warnings
enable password *****
!
aaa new-model
!
!
aaa authentication ppp default local
!
!
aaa session-id common
clock timezone GMT 1
clock summer-time CET recurring
!
crypto pki trustpoint TP-self-signed-656636748
 enrollment selfsigned
 subject-name cn=IOS-Self-Signed-Certificate-656636748
 revocation-check none
 rsakeypair TP-self-signed-656636748
!
!
crypto pki certificate chain TP-self-signed-656636748
 certificate self-signed 01
---knip---
        quit
dot11 syslog
ip cef
!
!
no ip domain lookup
ip domain name domein.com
ip name-server 213.75.63.70
ip name-server 213.75.63.36
!
vpdn enable
!
vpdn-group metavpn
! Default PPTP VPDN group
 accept-dialin
  protocol pptp
  virtual-template 1
!
!
!
username gebruiker privilege 15 password 0 *******
!
!
archive
 log config
  hidekeys
!
!
!
!
!
interface Loopback1
 description Loopback interface for main public IP (always up)
 ip address 62.22.189.233 255.255.255.248
!
interface FastEthernet0
 switchport access vlan 2
 no cdp enable
!
interface FastEthernet1
 no cdp enable
!
interface FastEthernet2
 no cdp enable
!
interface FastEthernet3
 no cdp enable
!
interface FastEthernet4
 description Link to EVPN CPE
 no ip address
 load-interval 30
 speed 100
 full-duplex
 pppoe-client dial-pool-number 1
 no cdp enable
!
interface Virtual-Template1
 description Template for VPDN
 ip address 192.168.21.253 255.255.255.0
 peer default ip address pool metavpnpool
 ppp encrypt mppe auto required
 ppp authentication ms-chap ms-chap-v2
!
interface Vlan1
 description VLan for public IP address pool
 ip unnumbered Loopback1
 ip access-group 99 out
 ip verify unicast reverse-path
 ip tcp adjust-mss 1452
 load-interval 30
!
interface Vlan2
 description VLan for local IP address pool 192.168.20.0/24
 ip address 192.168.20.253 255.255.255.0
 ip nat inside
 ip virtual-reassembly
!
interface Dialer1
 description Customer Traffic PPPoE Connection
 mtu 1492
 ip unnumbered Loopback1
 ip verify unicast reverse-path
 ip nat outside
 ip virtual-reassembly max-reassemblies 64
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 no cdp enable
 ppp pap sent-username KPN password 0 KPN
 ppp ipcp mask request
 ppp ipcp address accept
!
ip local pool metavpnpool 192.168.21.1 192.168.21.49
ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 Dialer1
!
no ip http server
ip http access-class 23
ip http authentication local
no ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
ip nat pool NATPOOL 62.22.189.233 62.22.189.233 netmask 255.255.255.248
ip nat inside source list 100 pool NATPOOL overload
ip nat inside source static tcp 192.168.20.241 80 62.22.189.233 80 extendable
!
access-list 23 permit 192.168.20.0 0.0.0.255
access-list 98 deny   any
access-list 99 deny   10.0.0.0 0.255.255.255
access-list 99 deny   172.16.0.0 0.15.255.255
access-list 99 deny   192.168.0.0 0.0.255.255
access-list 99 permit any
access-list 100 permit ip 192.168.20.0 0.0.0.255 any
dialer-list 1 protocol ip permit
snmp-server community public RO 23
no cdp run
!
!
!
control-plane
!
banner login ^C
Authorized access only!
^C
!
line con 0
 exec-timeout 30 0
 password *****
 no modem enable
 notify
line aux 0
 transport output none
line vty 0 4
 access-class 98 in
 exec-timeout 20 0
 privilege level 15
 password ******
 notify
 transport input telnet
 transport output none
!
scheduler max-task-time 5000
ntp clock-period 17177585
ntp server 131.155.2.3
end

[Kabouterplop01]

Dat moet je regelen in je DNS en niet in je router. met een CNAME. (Tenzij je geen eigen DNS server hebt)
NAT LOOPBACK is de term die je zoekt vwb je router.

[ Voor 41% gewijzigd door Kabouterplop01 op 18-02-2011 13:21 ]

[JasperE]

Dat werkt inderdaad ook, het enige nadeel is echter dat er meerdere NAT portforwards zijn op hetzelfde externe WAN ip naar meerdere verschillende interne IP's. Dat los je dus nog niet op met Split DNS.
Zojuist op NAT loopback gezocht maar ik lees telkens dat cisco routers dat niet ondersteunen. Jammer dus.

[JohnVanZetten]

Als jij in WiFi hangt, dus in het lokale netwerk, heb je de hele WAN-interface niet nodig toch?
Dat is puur op DNS-niveau aanpassen exchange.domain.ext gaat naar server 192.168.x.x o.i.d..
Met een A of CNAME record is dat te realiseren lijkt me.

[JasperE]

Daarmee is het belangrijkste probleem, het exchange probleem inderdaad opgelost. Echter draaien er ook nog enkele netwerkcamera's, RDP services en overige daemons die allen een verschillend intern IP adres hebben. Om deze te kunnen benaderen zou ik voor ieder apparaat een aparte CNAME of A-record moeten maken, dat is dus gewoon minder praktisch... Maar inderdaad wel de makkelijkste oplossing.

[JohnVanZetten]

En ik denk ook het mooiste.
Je router-config moet zo schoon mogelijk blijven vindt ik altijd.