Доброго времени суток уважаемые Гуру! Помогите чайнику с проблемой?Есть выделенка к провайдеру через HDSL модем в Cisco хх.хх.хх.177 255.255.255.252. Из нее выходят два субинтерфейса для местной сети 192.168.0.0 255.255.255.0 и для прокси хх.хх.хх.174 255.255.255.252. На маршрутизаторе поднят eigrp с провайдером.
Провайдер выдал ещё один IP хх.хх.хх.101
Создаю еще один субинтерфейс, прописываю сеть в eigrp --> не работает :(Debug arp выдает
IP ARP req filtered src xx.xx.xx.102 0011.bcdb.7300, dst xx.xx.xx.101 0000.0000.0000 wrong cable, interface GigabitEthernet0/0хотя sh arp
Internet xx.xx.xx.102 - 0013.c4e5.e409 ARPA GigabitEthernet0/1.102
Internet xx.xx.xx.101 0 0011.95cb.62cb ARPA GigabitEthernet0/1.102Стоит роут - всё на провайдеровский маршрутизатор
ip route 0.0.0.0 0.0.0.0 xx.xx.xx.178
Пробовал по http://www.cisco.com/warp/public/105/36.html --> не помогло да и что то мне подсказывает что дело не в этом.
Так почему первый IP работает, а новый нет? Помогите неучу - принял хозяйство недавно не совсем пока разобрался :( ???
конфиг покажите
>конфиг покажите
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
boot-start-marker
boot-end-marker
!
logging buffered 10000 debugging
enable secret 5
!
no aaa new-model
!
resource policy
!
!
!
ip cef
!
!
no ip domain lookup
ip ssh time-out 60
ip ssh authentication-retries 2
ip inspect name COM tcp
ip inspect name COM udp
vpdn enable
!
vpdn-group VPDN1
! Default PPTP VPDN group
accept-dialin
protocol pptp
virtual-template 1
!
voice-card 0
no dspfarm
!
interface Tunnel5
ip address 172.16.100.1 255.255.255.0
tunnel source 172.16.1.1
tunnel destination 172.16.1.5
!
interface Loopback1
ip address 172.16.101.1 255.255.255.255
!
interface GigabitEthernet0/0
description OUTSIDE
ip address xx.xx.xx.177 255.255.255.252 secondary
ip address 172.16.1.1 255.255.255.252
ip access-group Internet in
ip mtu 1476
ip virtual-reassembly
duplex auto
speed auto
!
interface GigabitEthernet0/1
no ip address
duplex auto
speed auto
!
interface GigabitEthernet0/1.102
description dmz2
encapsulation dot1Q 102
ip address xx.xx.xx.102 255.255.255.252
ip inspect COM in
ip policy route-map net-102
no snmp trap link-status
!
interface GigabitEthernet0/1.192
description INSIDE
encapsulation dot1Q 192 native
ip address 192.168.1.254 255.255.255.0
ip access-group Inside in
ip inspect COM in
ip virtual-reassembly
no snmp trap link-status
!
interface GigabitEthernet0/1.217
description DMZ
encapsulation dot1Q 217
ip address xx.xx.xx.xx 255.255.255.252
ip inspect COM in
no snmp trap link-status
!
interface Virtual-Template1
ip unnumbered GigabitEthernet0/1.192
ip inspect COM in
ip virtual-reassembly
peer default ip address pool VPDN_POOL
ppp encrypt mppe auto
ppp authentication ms-chap-v2
!
router eigrp 10
passive-interface default
no passive-interface Tunnel5
network 172.16.1.0 0.0.0.3
network 172.16.100.0 0.0.0.255
network 172.16.101.0 0.0.0.255
network 192.168.1.0
network xx.xx.xx.172 0.0.0.3
no auto-summary
!
ip local pool VPDN_POOL 192.168.1.241 192.168.1.249
ip route 0.0.0.0 0.0.0.0 xx.xx.xx.178
ip route 172.16.1.5 255.255.255.255 172.16.1.2
!
no ip http server
no ip http secure-server
!
ip access-list extended DMZ
permit ip host xx.xx.xx.173 any
permit ip host xx.xx.xx.101 any
deny ip any any log
ip access-list extended Inside
permit ip 192.168.1.0 0.0.0.255 host xx.xx.xx.173
permit ip 192.168.1.0 0.0.0.255 host xx.xx.xx.101
permit ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.255.255
deny ip any any log
!
access-list 111 permit ip host xx.xx.xx.101 any
!
route-map net-102 permit 111
match ip address 111
set ip next-hop xx.xx.xx.178
!
scheduler allocate 20000 1000
!
end
Это с вариантом route-map
поясните плз - зачем провайдер дал вам второй ип?
т.е. у вас есть канал к провайдеру (interface GigabitEthernet0/0)
есть два сегмента сети внутренних
а что со вторым адресом?
>поясните плз - зачем провайдер дал вам второй ип?
Для подключения второй машины в Inet.
>т.е. у вас есть канал к провайдеру (interface GigabitEthernet0/0)
>есть два сегмента сети внутренних
>а что со вторым адресом?
Есть внутрь один физический интерфейс(GigabitEthernet0/1), он был разделён на два подинтерфейса - один смотрел в локальную сеть офиса(GigabitEthernet0/1.192(192.168.0.0)) другой подключен к прокси серверу(GigabitEthernet0/1.217(xx.xx.xx.173)). Возникла необходимость подключения ещё одного сервера в Inet(не через прокси) --> Создаю GigabitEthernet0/1.102(хх.хх.хх.102) по аналогии с GigabitEthernet0/1.217(xx.xx.xx.173) -->
Не работает :( ну а симптомы выше ^ хотя роут вроде всё и куда угодно и show arp на адрес хх.хх.хх.101 выдает правильный интерфейс(GigabitEthernet0/1.102) так почему же в debug arp он ломится на GigabitEthernet0/0 ????????????Может кто подскажет какой debug включать в этом случае? А то debur arp ИМХО только констатирует факт...
>Не работает :( ну а симптомы выше ^ хотя роут вроде всё
>и куда угодно и show arp на адрес хх.хх.хх.101 выдает правильный
>интерфейс(GigabitEthernet0/1.102) так почему же в debug arp он ломится на GigabitEthernet0/0
>????????????дак провайдер как /30 конкретно выделил ?
саршрутизировал на вашу кошку или засунул в тот же сегмент (это кстати обясняет странные arp-ы) ?
>дак провайдер как /30 конкретно выделил ?
>саршрутизировал на вашу кошку или засунул в тот же сегмент (это кстати
>обясняет странные arp-ы) ?Я сам не понимаю выделено СЕЙЧАС три адреса -
xx.xx.xx.177/30 внешний ифейс у циски
xx.xx.xx.173/30 действующая прокся
xx.xx.xx.101/30 новый адресВот такие пироги с котятами! Может мне просто маску на втором эдак на /24 тогда туда и третий поместится?
--> Пробовал - говорит что не могу ибо перекрывает внешний - хх.хх.хх.177/30
>>дак провайдер как /30 конкретно выделил ?
>>саршрутизировал на вашу кошку или засунул в тот же сегмент (это кстати
>>обясняет странные arp-ы) ?
>
>Я сам не понимаю выделено СЕЙЧАС три адреса -
>xx.xx.xx.177/30 внешний ифейс у циски
>xx.xx.xx.173/30 действующая прокся
>xx.xx.xx.101/30 новый адрес
>
>Вот такие пироги с котятами! Может мне просто маску на втором эдак
>на /24 тогда туда и третий поместится?
>--> Пробовал - говорит что не могу ибо перекрывает внешний - хх.хх.хх.177/30
по идее вам должны были выдать подсеть минимум с маской /30
на интерфейсе назначате адрес иэ этой сети и адрес на сервер, подключенный к этому интерфейсу.
вроде все - таких ошибок при такой настройке быть не должно по идее
>по идее вам должны были выдать подсеть минимум с маской /30
>
>на интерфейсе назначате адрес иэ этой сети и адрес на сервер, подключенный
>к этому интерфейсу.
>вроде все - таких ошибок при такой настройке быть не должно по
>идееДык так оно и есть
Существуют -->>
Внешний ифейс xx.xx.xx.176/30 (177 на циске у нас, 178 у провайдера)
Внутренний ифейс xx.xx.xx.172/30 (174 на циске 173 на действующей нашей проксе)выдали xx.xx.xx.100/30 --->> xx.xx.xx.102/30 на циске и xx.xx.xx.101/30 на новом сервере выставлено! Там же из конфига видно или нет?
Не работает! Кстати почему arp странный? Там как раз всё правильно!
Internet xx.xx.xx.102 - 0013.c4e5.e409 ARPA GigabitEthernet0/1.102
Internet 192.168.1.67 0 0015.f2cc.52c0 ARPA GigabitEthernet0/1.192
Internet 192.168.1.10 0 0030.84b3.b40c ARPA GigabitEthernet0/1.192
Internet 192.168.1.254 - 0013.c4e5.e409 ARPA GigabitEthernet0/1.192
Internet 172.16.1.1 - 0013.c4e5.e408 ARPA GigabitEthernet0/0
Internet 172.16.1.2 131 0011.bcdb.7300 ARPA GigabitEthernet0/0
Internet 192.168.1.178 2 0013.d4b2.6252 ARPA GigabitEthernet0/1.192
Internet xx.xx.xx.174 - 0013.c4e5.e409 ARPA GigabitEthernet0/1.217
Internet xx.xx.xx.173 52 000f.3dca.8122 ARPA GigabitEthernet0/1.217
Internet xx.xx.xx.178 131 0011.bcdb.7300 ARPA GigabitEthernet0/0
Internet xx.xx.xx.177 - 0013.c4e5.e408 ARPA GigabitEthernet0/0
>
>>по идее вам должны были выдать подсеть минимум с маской /30
>>
>>на интерфейсе назначате адрес иэ этой сети и адрес на сервер, подключенный
>>к этому интерфейсу.
>>вроде все - таких ошибок при такой настройке быть не должно по
>>идее
>
>Дык так оно и есть
>Существуют -->>
>Внешний ифейс xx.xx.xx.176/30 (177 на циске у нас, 178 у
>провайдера)
>Внутренний ифейс xx.xx.xx.172/30 (174 на циске 173 на действующей нашей
>проксе)
>
>выдали xx.xx.xx.100/30 --->> xx.xx.xx.102/30 на циске и xx.xx.xx.101/30 на новом сервере выставлено! Там же из конфига видно или нет?
>Не работает! Кстати почему arp странный? Там как раз всё правильно!
>Internet xx.xx.xx.102
> - 0013.c4e5.e409 ARPA GigabitEthernet0/1.102
>Internet 192.168.1.67
> 0 0015.f2cc.52c0 ARPA GigabitEthernet0/1.192
>
>Internet 192.168.1.10
> 0 0030.84b3.b40c ARPA GigabitEthernet0/1.192
>
>Internet 192.168.1.254
> - 0013.c4e5.e409 ARPA GigabitEthernet0/1.192
>Internet 172.16.1.1
> - 0013.c4e5.e408 ARPA
> GigabitEthernet0/0
>Internet 172.16.1.2
> 131 0011.bcdb.7300 ARPA GigabitEthernet0/0
>
>Internet 192.168.1.178
> 2 0013.d4b2.6252 ARPA GigabitEthernet0/1.192
>Internet xx.xx.xx.174
> - 0013.c4e5.e409 ARPA GigabitEthernet0/1.217
>Internet xx.xx.xx.173
>52 000f.3dca.8122 ARPA GigabitEthernet0/1.217
>Internet xx.xx.xx.178 131
> 0011.bcdb.7300 ARPA GigabitEthernet0/0
>Internet xx.xx.xx.177
> - 0013.c4e5.e408 ARPA GigabitEthernet0/0
из конфигра видно, не совсем понятно что не работает кроме EIGRP
роутинг до провайдера с адреса 101 и 102 работает? и внутрь сети?
>из конфигра видно, не совсем понятно что не работает кроме EIGRP
>роутинг до провайдера с адреса 101 и 102 работает? и внутрь сети?
>C 101 не работает - 102, 174, 173, 177 пингует, а 178 нет!
>>из конфигра видно, не совсем понятно что не работает кроме EIGRP
>>роутинг до провайдера с адреса 101 и 102 работает? и внутрь сети?
>>
>
>C 101 не работает - 102, 174, 173, 177 пингует, а 178
>нет!
вот. отлично - проблема локализована.у вас с провайдером используется динамическая маршрутизация (eigrp)?
т.е. оба маршрутизатора (ваш и прова) друг-друга видит, sh ip eigrp negh.. показывает соседей?
>у вас с провайдером используется динамическая маршрутизация (eigrp)?
>т.е. оба маршрутизатора (ваш и прова) друг-друга видит, sh ip eigrp negh..
>показывает соседей?Дааа
H Address Interface Hold Uptime SRTT RTO Q Seq
(sec) (ms) Cnt Num
0 172.16.100.2 Tu5 11 1d01h 21 5000 0 89
>>у вас с провайдером используется динамическая маршрутизация (eigrp)?
>>т.е. оба маршрутизатора (ваш и прова) друг-друга видит, sh ip eigrp negh..
>>показывает соседей?
>
>Дааа
>H Address
> Interface
> Hold Uptime SRTT
>RTO Q Seq
>
>
>
> (sec)
> (ms)
> Cnt Num
>0 172.16.100.2
> Tu5
> 11 1d01h
> 21 5000 0 89
sh ip eigrp int ?
>sh ip eigrp int ?IP-EIGRP interfaces for process 10
Xmit Queue Mean Pacing Time Multicast Pending
Interface Peers Un/Reliable SRTT Un/Reliable Flow Timer Routes
Tu5 1 0/0 21 71/2702 2802 0
>>sh ip eigrp int ?
>
>IP-EIGRP interfaces for process 10
>
>
>
> Xmit Queue Mean Pacing Time
> Multicast Pending
>Interface Peers Un/Reliable
>SRTT Un/Reliable Flow Timer Routes
>
>Tu5
> 1
> 0/0 21
> 71/2702 2802
> 0
>
а зачем в такой конгфигурации у вас passive-interface default ?
>а зачем в такой конгфигурации у вас passive-interface default ?Простите неуча? НЕ ЗНАЮ! --> хозяйство досталось в наследство нужно? отключим! :)
НО! вкл./откл. в eigrp сеть хх.хх.хх.172 результата ни какого ни даёт! -->> то есть доступ с действующей прокси не пропадает хотя имхо должен! Или я на слаб в теории в этом вопросе???
>>а зачем в такой конгфигурации у вас passive-interface default ?
>
>Простите неуча? НЕ ЗНАЮ! --> хозяйство досталось в наследство нужно? отключим! :)
>НО! вкл./откл. в eigrp сеть хх.хх.хх.172 результата ни какого ни даёт! -->> то есть доступ с действующей прокси не пропадает хотя имхо должен! Или я на слаб в теории в этом вопросе???
не, извините, чето мосх уже не думает, работа доканала ... ;(пассив интерфейс эт другое - обновления у вас шлются только через диалер интерфейс, все правильно
посмотрите
1.
Router#sh ip eigrp topology
там должна была быть ваша сеть новая
2. если есть в п1 включите debug ip eigrp notifications
должно быть что то типа Jul 26 14:26:42.475: IP-EIGRP(Default-IP-Routing-Table:10): 172.1.1.0/30 - do advertise out FastEthernet1/0
если это все есть нужно смотреть со стороны прова т.к. у вас все уходит.
>2. если есть в п1 включите debug ip eigrp notifications
>должно быть что то типа Jul 26 14:26:42.475: IP-EIGRP(Default-IP-Routing-Table:10): 172.1.1.0/30 - do
>advertise out FastEthernet1/0
>
>
>если это все есть нужно смотреть со стороны прова т.к. у вас
>все уходит.Выдала
*Jul 26 11:39:51.756: IP-EIGRP(Default-IP-Routing-Table:10): Callback: route_adjust GigabitEthernet0/1.102
*Jul 26 11:39:51.756: IP-EIGRP: Callback: ignored connected AS 0 хх.хх.хх.100/30
*Jul 26 11:39:51.756: into: eigrp AS 10*Jul 26 11:39:54.636: IP-EIGRP(Default-IP-Routing-Table:0): Callback: redist connected (config change) GigabitEthernet0/0
*Jul 26 11:39:54.636: IP-EIGRP(Default-IP-Routing-Table:0): Callback: redist connected (config change) GigabitEthernet0/1.102
*Jul 26 11:39:54.636: IP-EIGRP(Default-IP-Routing-Table:0): Callback: redist connected (config change) GigabitEthernet0/1.217
*Jul 26 11:39:54.636: IP-EIGRP(Default-IP-Routing-Table:10): Callback: route_adjust GigabitEthernet0/1.102
Ещё подробность ифейс Gigabit0/0 подключен к HDSL модему и видимо для него и нужен ифейс туннел по внутренней сетке провайдера
interface Tunnel5
ip address 172.16.100.1 255.255.255.0
tunnel source 172.16.1.1
tunnel destination 172.16.1.5Провайдер о структуре своей сети распространяется очень туго :(
от чего я не понимаю для чего этот туннель нужен :(
>Ещё подробность ифейс Gigabit0/0 подключен к HDSL модему и видимо для него
>и нужен ифейс туннел по внутренней сетке провайдера
>interface Tunnel5
> ip address 172.16.100.1 255.255.255.0
> tunnel source 172.16.1.1
> tunnel destination 172.16.1.5
>
>Провайдер о структуре своей сети распространяется очень туго :(
>от чего я не понимаю для чего этот туннель нужен :(
может быть попытать прова что за схема такая странная и как сделать что бы работало?
просто шаг в сторону от текущей схемы можно получить не работающую железку...
>может быть попытать прова что за схема такая странная и как сделать
>что бы работало?
>просто шаг в сторону от текущей схемы можно получить не работающую железку...
>Пасибо за совет завтра попробую....
>Пасибо за совет завтра попробую....Попробовал....Провайдер не причем - сделал на Gig0/0 хх.хх.хх.101 secondary --- пинг снаружи идёт :( значит роут зделан значит опять на исходную ... почему же анологичный субинтерфейс работает и видимых отличий в конфигурации нет? И ещё вопросик Можно ли как-нибудь на Gig0/1.102 указать какой конкретно использовать secondary на Gig0/0 ??? Может так прокатит?
Вот !#$!$&^%$ @#&%#*!$ №;?№:;!""(*()%:;№%"*!!!!!! провайдер!!!!!!!!
Щас с Gig0/0 secondary хх.хх.хх.101 убрал и по привычке вернул конфу на место(Gig0/1.102) и по привычке автоматом снова на новом серваке проверил -->> всё заработало! вот у прова пи####ы, а говорили что прописали и даавно ....у меня чуть заворот мозгов не случился на этой почве!
Всем ГРОМАДНОЕ СПАСИБО!!! за помощь и советы --> тема закрыта....
Чё за мазафака --> перегрузил новый сервер - пинги пропали!?
На циске та же ошибка! Может что то связано с обновлением eigrp записей?
>Я сам не понимаю выделено СЕЙЧАС три адреса -
ну дак проверьте, повесте .10[12]/30 как на внешний ифейс как secondary и попингуйте их извне