Вход на сайт из внутренней сети по внешнему IP

Juniper/Cisco/Allied Telesis/D-Link/Zyxel
Правила форума
Убедительная просьба юзать теги [code] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
VLD
проходил мимо
Сообщения: 4
Зарегистрирован: 2016-03-22 12:44:58

Вход на сайт из внутренней сети по внешнему IP

Непрочитанное сообщение VLD » 2016-03-22 14:09:22

Привет! Есть небольшая сеть:
1). Один внешний IP.
2). Ройтер Cisco 1926 + неуправляемы свич = раздают интернет во внутреннюю сеть, работает NAS, WifI и т.д. с этим проблем нет.
3). На роутере настроен NAT для всей внутренней сети. проброшены порты для доступа к NAS и т.д. На NAS установлен сайт-визитка (ничего большого) к нему тоже проброшен 80 порт. Тут тоже все работает.
Теперь собственно в чем проблема: сат из внешней сети виден нормально, из внутренней сети тоже, но при попытке войти на него из внутренней сети по внешнему IP или доменному имени - сайт не доступен. До 1926 стоял Lynksys EA 4500 на нем такой проблемы не было - все корректно работало. Явно проблема в настройках роутера. Прописал ip host в конфиг, все равно - не пускает. Поднять второй DNS для внутренней сети можно, но хочу разобраться с роутером - линксис таже циска только проще, должен быть путь. Сайт cisco пишет что IOS не поддерживает внутреннюю петлю. Возможно я не корректно формулировал запрос на сайте, поэтому сомневаюсь что я и cisco одинаково поняли проблему :smile: . Гугл сходиться к мнению что решение только через DNS, может кто сталкивался с проблемой - помогите, форум пересмотрел как будто такой вопрос не подымался - если ошибаюсь бросьте ссылку где почитать. Спасибо. Влад.

прилагаю конфиг: х - это мой внешний IP и пароли (думаю они здесь не нужны). В логах по этому поводу ничего тоже нет, но если надо приложу.

Код: Выделить всё

Last configuration change at 15:50:11 EET Fri Mar 18 2016
! NVRAM config last updated at 15:50:12 EET Fri Mar 18 2016
! NVRAM config last updated at 15:50:12 EET Fri Mar 18 2016
version 15.2
service timestamps debug datetime msec
service timestamps log datetime localtime
service password-encryption
!
hostname Office_Router
!
boot-start-marker
boot-end-marker
!
!
logging count
logging userinfo
logging buffered 32000
enable secret 4 xxxxxxxxxxxxxxxxxx
!
aaa new-model
!
!
aaa authentication banner _ This is a private area !!! Login uninvited prohibited !!! _
aaa authentication fail-message _ !!! FUCK YOU !!! _
!
!
!
!
!
aaa session-id common
clock timezone EET 2 0
clock calendar-valid
!
!
!
!
ip dhcp excluded-address 192.168.1.3 192.168.1.13
!
ip dhcp pool LAN
 network 192.168.1.0 255.255.255.0
 default-router 192.168.1.1 
 dns-server 8.8.8.8 
!
!
!
ip domain name local
ip host www.xxxxxxx.pp.ua 192.168.1.100
ip name-server xxxxxxxxx
ip name-server 8.8.8.8
ip cef
login block-for 60 attempts 2 within 30
login delay 10
login on-failure log
login on-success log
no ipv6 cef
multilink bundle-name authenticated
!
!
username xxx privilege 15 password xxxxx
!
redundancy
!
!
ip ssh time-out 10
ip ssh port xxxxx rotary 9
ip ssh logging events
ip ssh version 2
!
!
!
!
interface Loopback0
 no ip address
!
interface Embedded-Service-Engine0/0
 no ip address
 shutdown
!
interface GigabitEthernet0/0
 description LAN OFFICE
 ip address 192.168.1.1 255.255.255.0
 ip nbar protocol-discovery ipv4
 ip nat inside
 ip nat allow-static-host
 ip nat enable
 ip virtual-reassembly in
 duplex auto
 speed auto
!
interface GigabitEthernet0/1
 description WAN BJ-NET
 ip address xxxxxxxxxxxxx 255.255.255.252
 ip nbar protocol-discovery ipv4
 ip nat outside
 ip nat allow-static-host
 ip nat enable
 ip virtual-reassembly in max-reassemblies 64
 duplex auto
 speed auto
!
ip default-gateway xxxxxxxxxx
ip forward-protocol nd
!
no ip http server
no ip http secure-server
ip flow-export version 9
!
ip dns server
ip nat source static tcp 192.168.1.100 80 x 80 extendable
ip nat source static tcp 192.168.1.100 8080 x 8010 extendable
ip nat inside source list NAT interface GigabitEthernet0/1 overload
ip nat inside source static tcp 192.168.1.100 9091 x 90 extendable
ip nat inside source static udp 192.168.1.100 9091 x extendable
ip nat inside source static tcp 192.168.1.35 21 x 2135 extendable

ip default-network 192.168.1.0
ip route 0.0.0.0 0.0.0.0 x
ip route 0.0.0.0 0.0.0.0 Null0 244
ip route 192.168.1.0 255.255.255.0 Null0
!
ip access-list extended Dos_Atack
 deny   tcp any any eq telnet log
 deny   tcp any any eq 22 log
 permit tcp any any
ip access-list extended NAT
 permit ip 192.168.1.0 0.0.0.255 any
ip access-list extended VLAN2
 permit ip 192.168.2.0 0.0.0.255 any log
!
logging history informational
no cdp run
!
!
!
!
!
control-plane
!
!
!
line con 0
line aux 0
line 2
 no activation-character
 no exec
 transport preferred none
 transport input ssh
 transport output none
 stopbits 1
line vty 0 4
 access-class sl_def_acl in
 logging synchronous
 rotary 9
 transport input ssh
line vty 5 136
 access-class sl_def_acl in
 transport input all
!
scheduler allocate 20000 1000
ntp update-calendar
ntp server 193.27.209.211
!
end


Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35454
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Вход на сайт из внутренней сети по внешнему IP

Непрочитанное сообщение Alex Keda » 2016-03-24 11:30:19

У нас сисочник такое на сиське как-то сделал.
Значит можно
Убей их всех! Бог потом рассортирует...

logout_90
мл. сержант
Сообщения: 72
Зарегистрирован: 2014-01-27 5:36:26

Вход на сайт из внутренней сети по внешнему IP

Непрочитанное сообщение logout_90 » 2016-03-25 7:15:09

Решение на циске предоставить не могу, но вот в терминах Микротик, это решается с помощью hairpin NAT.
http://wiki.mikrotik.com/wiki/Hairpin_NAT
Проблема в том, что вот когда комп посылает запрос изнутри на внешний ресурс, который фактически находится внутри сети, Он посылает запрос на маршрутизатор, который заменяет адрес назначения на адрес сервера, при этом адрес, откуда пришел пакет остается тем же (адрес компа). Соответственно, когда приходит этот пакет на конечный сервер, этот сервер смотрит, что пакет пришел ему, но с какого то левого места и рвет соединение.

Аватара пользователя
gumeniuc
ст. сержант
Сообщения: 343
Зарегистрирован: 2009-11-08 15:46:05
Откуда: md
Контактная информация:

Вход на сайт из внутренней сети по внешнему IP

Непрочитанное сообщение gumeniuc » 2016-03-27 20:43:12

попробуйте убрать с интерфейсов inside, outside
Да шо ему сделается...

VLD
проходил мимо
Сообщения: 4
Зарегистрирован: 2016-03-22 12:44:58

Вход на сайт из внутренней сети по внешнему IP

Непрочитанное сообщение VLD » 2016-03-29 10:20:13

Попробовал! Интренет исчез вообще - я так понимаю перестали создаваться трансляции! Вернул взад! Ищу дальше! Спасибо!

Аватара пользователя
gumeniuc
ст. сержант
Сообщения: 343
Зарегистрирован: 2009-11-08 15:46:05
Откуда: md
Контактная информация:

Вход на сайт из внутренней сети по внешнему IP

Непрочитанное сообщение gumeniuc » 2016-03-29 13:07:43

Исчез, потому что пропали сущности "inside" и "outside". После удаления с интерфейсов inside, outside
измените

Код: Выделить всё

ip nat inside source list NAT interface GigabitEthernet0/1 overload
на

Код: Выделить всё

ip nat source list NAT interface GigabitEthernet0/1 overload
если всё будет работать, поправьте ещё и

Код: Выделить всё

ip nat inside source static tcp 192.168.1.100 9091 x 90 extendable
ip nat inside source static udp 192.168.1.100 9091 x extendable
ip nat inside source static tcp 192.168.1.35 21 x 2135 extendable
Да шо ему сделается...

Аватара пользователя
ADRE
майор
Сообщения: 2646
Зарегистрирован: 2007-07-26 8:53:49
Контактная информация:

Вход на сайт из внутренней сети по внешнему IP

Непрочитанное сообщение ADRE » 2016-04-01 19:41:04

На микротике решается так же как и на сиськах. Проброс внутрь порта. Далее ловиться запрос исходящий из внутренней сети и редиректится на внутренний IP, т.е. дст ip в обоих случаях
//del

VLD
проходил мимо
Сообщения: 4
Зарегистрирован: 2016-03-22 12:44:58

Вход на сайт из внутренней сети по внешнему IP

Непрочитанное сообщение VLD » 2016-04-06 11:29:19

При изменении на:

Код: Выделить всё

ip nat source list NAT interface GigabitEthernet0/1 overload
интернет и переадресации портов работают, но зайти на сайт ни по IP ни по доменному имени по прежнему не возможно! Перепробовал кучу вариантов, чувствую что надо что то простое сделать - но как всегда путь к простому сложен! При указании явным образом чрез IP host зайти по доменному имени возможно, но есть сервисы использующие только IP - тут уже затык! Спасибо за ответы, пока ищу дальше!

Отправлено спустя 18 секунд:
Да, забыл - удаление с интерфейсов inside -outside отрубает все! Поэтому маркировки NAT на интерфейсах оставил!

Аватара пользователя
gumeniuc
ст. сержант
Сообщения: 343
Зарегистрирован: 2009-11-08 15:46:05
Откуда: md
Контактная информация:

Вход на сайт из внутренней сети по внешнему IP

Непрочитанное сообщение gumeniuc » 2016-04-07 10:40:24

покажите

Код: Выделить всё

sho run | sec nat
Да шо ему сделается...

VLD
проходил мимо
Сообщения: 4
Зарегистрирован: 2016-03-22 12:44:58

Вход на сайт из внутренней сети по внешнему IP

Непрочитанное сообщение VLD » 2016-04-07 18:08:00

running-config | section nat

Код: Выделить всё

ip nat inside
 ip nat allow-static-host
 ip nat enable
 ip nat outside                                                                 
 ip nat allow-static-host                                                       
 ip nat enable                                                                  
ip nat source static tcp 192.168.1.100 80 XXXXXXXXX 80 extendable          
ip nat source static tcp 192.168.1.100 8080 XXXXXXXX 8010 extendable      
ip nat inside source list NAT interface GigabitEthernet0/1 overload             
ip nat inside source static tcp 192.168.1.100 9091 XXXXXXXXXXX 90 extendable 
ip nat inside source static udp 192.168.1.100 9091 XXXXXXXXXXX 90 extendable 
ip nat inside source static tcp 192.168.1.35 21 XXXXXXXXXXXXX 2135 extendable  
ip nat inside source static tcp 192.168.1.1 22 XXXXXXXXXXXXXX 2201 extendable   
ip nat inside source static tcp 192.168.1.100 22 XXXXXXXXXXXX 2210 extendable 
ip nat inside source static tcp 192.168.1.1 23 XXXXXXXXXXXXX 2301 extendable   
ip nat inside source static tcp 192.168.1.134 3389 XXXXXXXXXXXX 3344 extendabe
ip nat inside source static tcp 192.168.1.136 554 XXXXXXXXXXXXX 5555 extendable
Через время заметил что при

Код: Выделить всё

ip nat inside source list NAT interface GigabitEthernet0/1 overload 
без указания inside камера (554 порт) не доступна из вне, вернул inside но без него интернет работает по офису без проблем.