Cisco 877W und NAT

[mmcfly]

Hallo,

ich habe bei mir zu Hause einen Cisco 877W und soweit keine Probleme...
Ich habe nur eine Frage, vielleicht kann sie mir jemand von euch beantworten...

Ich betreibe einen Server zu Hause, der vom INet erreichbar ist. Jetzt will ich aber am Server einiges umconfen und würde für die Übergangszeit den Server auf zwei Port aus dem Internet erreichen wollen, aber Intern soll es aber nur auf den selben Port zeigen.
Ich hab schon einiges probiert komme aber auf keinen grünen Zweig, geht das gar ned oder muss man da etwas spezielles confen?
Aja, erschwerend kommt natürlich dazu das ich vom Privider nur eine Dynamische IP hab.

Hier die Config:

Code: Alles auswählen

interface Dialer1
...
ip nat outside
...
interface BVI3
...
ip nat inside
...
ip nat inside source static tcp 10.10.10.100 80 interface Dialer1 80

versuche ich jetzt aber eine 2te Zeile einzufügen:

Code: Alles auswählen

ip nat inside source static tcp 10.10.10.100 80 interface Dialer1 8000

dann kommt die Meldung:

Code: Alles auswählen

%Static entry in use, cannot change

Was für mich irgendwie unklar ist. Scheinbar baut Cisco hier einen Table der halt auf der einen Seite schon gefüllt ist.
Das diese Funktion technisch aber möglich sein sollte, weiß ich!
Und mir ist klar das, dass jetzt niemand hören will Aber auch nem urlat SpeedTouch hab ich das schon mal gemacht...

Wäre super wenn mir jemand helfen kann...
Danke!

EDIT: ok der Eintrag ist wirklich in Use
Aber wenn ich das mit einem komplett neuen Port versuche überschreibt er mir den Vorhandenen Eintrag.
Also doppelt ist nicht...

[wicked_one]

den NAT Table lösch du mit clear ip nat tra * im Privileged Mode.

und beim Cisco "überschreibt" man keine Settings, man fügt neue hinzu, alte werden mit vorgestelltem no gelöscht..

HTH

[mmcfly]

Hi!

danke, i know!

aber ein:
ip nat inside source static tcp 10.10.10.100 80 interface Dialer1 8000

überschreibt den:
ip nat inside source static tcp 10.10.10.100 80 interface Dialer1 80

ich brauche aber beide Ports von extern!

Lg
Martin

[wicked_one]

Oke, nachvollziehbar. ist bei mri auch so

wobei, warum beide von extern?

[mmcfly]

Nochmal ich

naja, hat mit einer Zusammenführung 2er Server zu tun...

sogar der SDM ist zu doof dafür (siehe Bild)
aber in der Config ist dann nur die eine:

Code: Alles auswählen

ip nat inside source static tcp 10.10.10.100 80 interface Dialer0 8000

[jutta]

spontane idee (ich hab keinen cisco griffbreit, um es zu testen) extendable?

• "Extendable" static translations:
The extendable keyword allows the user to configure several ambiguous static translations, where an ambiguous translations are translations with the same local or global address.
ip nat inside source static <localaddr> <globaladdr> extendable

http://www.cisco.com/en/US/technologies ... 91cb9.html
leider hab ich noch kein konkretes beispiel gefunden.

//ps: workaround, falls der cisco sich nicht ueberreden laesst: sag deinem server, dass er auf 2 ports lauschen soll.

[mmcfly]

Hi!

danke dir! Leider geht der "Extendable" nicht wenn du als Source ein "interface Dialer" hast. Dann gibts den Paremeter nicht mehr. Und das Interface brauche ich weil ich ja ne Dyn-IP hab...

Code: Alles auswählen

Router(config)#$de source static tcp 10.10.10.100 80 interface Dialer0 8000 ?
  <cr>


Tja, am Server geht das leider nicht! Der Lässt keinen 2ten Port für das selbe Feature zu, ähnlich Zickig wie der Router

Ich bin jetzt schon am überlegen ob ich mir ne ASA5505 zulege, da hat ein Kollege sowas erfolgreich mit ACLs hin gebastelt...

Na vielleicht hat ja noch jemand ne Idee, würde mir ein wenig Geld sparen...

[jutta]

> Na vielleicht hat ja noch jemand ne Idee, würde mir ein wenig Geld sparen...

virtualbox (oder vmware) und einen 2. server installieren. soweit das mit deinen lizenzen moeglich ist. um welches os und welchen server gehts denn da?

[wicked_one]

danke dir! Leider geht der "Extendable" nicht wenn du als Source ein "interface Dialer" hast. Dann gibts den Paremeter nicht mehr. Und das Interface brauche ich weil ich ja ne Dyn-IP hab...

Genauso hab ich das auch... mitbekommen - ext ging mir auch ab.

naja ich würd mir dann einfach das servermigrationsszenario überdenken, ist sicher billiger als die ASA

[jutta]

noch eine bloede idee: was ist, wenn du dem server eine 2. ip adresse gibst?

vielleicht macht der cisco das?

ip nat inside source static tcp 10.10.10.100 80 interface Dialer1 8000
ip nat inside source static tcp 10.10.10.101 80 interface Dialer1 80

[mmcfly]

noch eine bloede idee: was ist, wenn du dem server eine 2. ip adresse gibst?

vielleicht macht der cisco das?

ip nat inside source static tcp 10.10.10.100 80 interface Dialer1 8000
ip nat inside source static tcp 10.10.10.101 80 interface Dialer1 80

Wow, super du bist genial! Klar geht das ist ein Suse V11 (glaub ich
da sollte also ne 2te IP kein Problem darstellen.

Und der Router kann es auf jeden Fall auch, mit verschiedenen Ziel-Ips, hab ich ja jetzt auch schon für diverse Services.
Su bist ein Schatz!!!

Lg
Marty

[jutta]

zur unterhaltung, weil ich grad in meinen schaetzen gesucht hab, wo ich "extendable" schon in einer config gesehen hatte:

Code: Alles auswählen

--------------------------------------------------------------------
Routername: c26wien
  Standort: W**** 3/2/1/4 / 1210 Wien
   Schrank: Vorzimmer
     Zweck: Nat Router
            DHCP Server
---------------------------------------------------------------------

c26_wien_nat#sho ru
Building configuration...

Current configuration : 5590 bytes
!
! Last configuration change at 18:18:45 MET Sat Nov 25 2006 by mas
! NVRAM config last updated at 18:18:46 MET Sat Nov 25 2006 by mas
!
version 12.2
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname c26_wien_nat
!
boot system flash c2600-ipbasek9-mz.124-8.bin
logging buffered 12000 informational
enable secret 5 *****
!
username *** privilege 15 password 7 ****
username ju privilege 15 password 7****
clock timezone MET 1
clock summer-time MET recurring last Sun Mar 2:00 last Sun Oct 3:00
ip subnet-zero
ip cef
--More--


!
!
no ip domain-lookup
ip name-server 195.58.160.2
ip name-server 192.58.161.3
ip dhcp excluded-address 192.168.1.1 192.168.1.100
!
ip dhcp pool***@home
   network 192.168.1.0 255.255.255.0
   dns-server 195.58.160.194 195.58.161.122
   default-router 192.168.1.1
   domain-name mas-net.at
   lease infinite
!
ip dhcp pool IP-Phone-1
   host 192.168.1.15 255.255.255.0
   client-identifier 0100.02b9.afbd.3f
   next-server 192.168.1.20
   dns-server 195.58.160.194 195.58.161.122
   default-router 192.168.1.1
   domain-name mas-net.at
!
ip dhcp pool WKST-1
   host 192.168.1.20 255.255.255.0
   client-identifier 0100.10dc.97f1.c8
   dns-server 195.58.160.194 195.58.161.122
   default-router 192.168.1.1
   domain-name mas-net.at
!
ip dhcp pool DREAMBOX
   host 192.168.1.10 255.255.255.0
   client-identifier 0100.0934.1b9a.00
   dns-server 195.58.160.194 195.58.161.122
   default-router 192.168.1.1
   domain-name mas-net.at
!
ip dhcp pool DBox-1
   host 192.168.1.5 255.255.255.0
   client-identifier 0100.509c.3219.d0
   dns-server 195.58.160.194 195.58.161.122
   default-router 192.168.1.1
   domain-name mas-net.at
!
ip dhcp pool SRV-1
   host 192.168.1.25 255.255.255.0
   client-identifier 0100.0ea6.9571.38
   dns-server 195.58.160.194 195.58.161.122
   default-router 192.168.1.1
   domain-name mas-net.at
!
!
!
!
interface FastEthernet0/0
ip address 62.99.139.14 255.255.255.248
ip nat outside
load-interval 30
speed 100
full-duplex
!
interface Serial0/0
no ip address
shutdown
!
interface FastEthernet0/1
ip address 192.168.1.1 255.255.255.0
ip nat inside
ip policy route-map QoS-CS
load-interval 30
speed 100
full-duplex
!
interface Serial0/1
no ip address
shutdown
!
ip nat translation tcp-timeout 1800
ip nat inside source list 15 interface FastEthernet0/0 overload
ip nat inside source static tcp 192.168.1.15 5070 62.99.139.14 5070 extendable
ip nat inside source static udp 192.168.1.15 16384 62.99.139.14 16384 extendable
ip nat inside source static udp 192.168.1.15 16385 62.99.139.14 16385 extendable
ip nat inside source static udp 192.168.1.15 16386 62.99.139.14 16386 extendable
ip nat inside source static udp 192.168.1.15 16387 62.99.139.14 16387 extendable
ip nat inside source static udp 192.168.1.15 16388 62.99.139.14 16388 extendable
ip nat inside source static tcp 192.168.1.20 81 62.99.139.14 81 extendable
ip nat inside source static tcp 192.168.1.20 82 62.99.139.14 82 extendable
ip nat inside source static tcp 192.168.1.10 34001 62.99.139.14 34001 extendable
ip nat inside source static tcp 192.168.1.10 34000 62.99.139.14 34000 extendable
ip nat inside source static tcp 192.168.1.5 23 62.99.139.14 1885 extendable
ip nat inside source static tcp 192.168.1.20 41527 62.99.139.14 41527 extendable
ip nat inside source static udp 192.168.1.20 41527 62.99.139.14 41527 extendable
ip nat inside source static tcp 192.168.1.20 34026 62.99.139.14 34026 extendable
ip nat inside source static udp 192.168.1.20 58648 62.99.139.14 58648 extendable
ip nat inside source static tcp 192.168.1.20 21 62.99.139.14 21 extendable
ip nat inside source static tcp 192.168.1.20 20 62.99.139.14 20 extendable
ip nat inside source static tcp 192.168.1.99 23 62.99.139.14 523 extendable
ip nat inside source static tcp 192.168.1.10 23 62.99.139.14 666 extendable
ip nat inside source static tcp 192.168.1.25 22 62.99.139.14 22 extendable
ip nat inside source static tcp 192.168.1.25 80 62.99.139.14 80 extendable
ip nat inside source static tcp 192.168.1.25 12000 62.99.139.14 12000 extendable
ip classless
ip route 0.0.0.0 0.0.0.0 62.99.139.9
no ip http server
!
!
ip access-list extended QoS-CS
permit tcp any any eq 12000
permit tcp any any eq 34000
permit tcp any any eq 34001
permit tcp any eq 12000 any
permit tcp any eq 34000 any
permit tcp any eq 34001 any
access-list 10 permit any
access-list 15 permit 192.168.1.0 0.0.0.255
access-list 99 permit 192.168.1.0 0.0.0.255
access-list 99 permit 62.99.139.8 0.0.0.7
access-list 100 permit tcp any range 6881 6999 any range 6881 6999
route-map QoS-CS permit 10
match ip address QoS-CS
set ip precedence critical
!
banner exec ^CCC
---------------------------------------------------------------------
Routername: c26wien
  Standort: W***tgasse 3/2/1/4 / 1210 Wien
   Schrank: Vorzimmer
     Zweck: Nat Router
            DHCP Server
---------------------------------------------------------------------
^C
banner login ^CCC
-------------------------------------------------
                  *** network
             Authorized access only!
-------------------------------------------------
^C
!
line con 0
!
line con 0
line aux 0
session-timeout 20
access-class 10 in
exec-timeout 0 0
login local
modem InOut
no exec
transport preferred telnet
transport input all
transport output telnet
stopbits 1
line vty 0 4
access-class 99 in
exec-timeout 120 0
login local
escape-character 3
!
ntp clock-period 17180287
ntp server 195.58.160.2
end

c26_wien_nat#


das war allerdings kein c877, sondern ein 2600, der hinter einem c837 (oder soho77?) werkte - und die config ist auch nicht von mir, ich hatte dort nur einen gastzugang zum mitschauen. (den anschluss gibts inzwischen nimmer)

[mmcfly]

Hallo,

wollte auch noch schnell melden das Nachfolge Produkt vom SDM, der "Cisco Configuration Professional" macht genau das gleiche. Überschreibt einfach die Einträge, und am Schluss bleibt einer über...

Falls ich noch rausfinde wie es geht, falls es geht, melde ich das hier!

Lg
Marty

[jutta]

hast du schon einmal probiert, die config per editor zu aendern und dann hochzuladen?

die bisherige, funktionierende config vorher unbedingt sichern. man weiss nicht, was bei solchen spielen passiert.

[mmcfly]

hi!

nette Idee, wird aber nicht funktionieren! Aber einen Versuch wert!

Der Router macht beim starten nix anderes als die startup-config, Zeile für Zeile zu laden, was dann mit dem selben Effekt enden wird.

Werd mal versuchen jemand bei Cisco zu erwischen....

Lg