Правило в Cisco перенаправленные не работает в другую подсеть сети, как решить?

Question

[Smoke User]

Добрый день,

вот такой проброс портов у меня:

ip nat inside source static tcp 172.16.1.5 53 ххх.ххх.ххх.ххх 53 extendable
ip nat inside source static udp 172.16.1.5 53 ххх.ххх.ххх.ххх 53 extendable
ip nat inside source static tcp 172.16.1.10 80 ххх.ххх.ххх.ххх 80 extendable

сеть №1 172.16.1.0

interface GigabitEthernet0/0
description LAN
mac-address 68b5.99b7.bd85
ip address 172.16.1.1 255.255.0.0
ip nat inside
ip virtual-reassembly in
duplex auto
speed 100

WAN ххх.ххх.ххх.ххх

interface GigabitEthernet0/1
mac-address f80f.41f2.f81b
no ip address
ip nat outside
ip virtual-reassembly in
duplex auto
speed auto
pppoe enable group global
pppoe-client dial-pool-number 1

сеть №2 192.168.1.0

interface GigabitEthernet0/2
ip address 192.168.1.112 255.255.255.0
ip mtu 1492
ip nat inside
ip virtual-reassembly in
duplex full
speed 100

Не работает ДНС между сетями №1 и №2 или неправильно с правилами?
Хосты 172.16.1.10

Answer 1

[Максим Гришин]

На проброс DNS повесьте флаг no-payload, иначе циска лезет в пакеты DNS и адреса подменяет при выдаче. У нас так однажды приватные адреса из 192.168 попали в публичный DNS-кэш, было весело траблшутить.

Насчет "не работает" - а пакеты из 192.168.1.0 в 172.16.1.0 вообще ходят?

Comments

[Smoke User]

да, по айпи хосты открываются, а через название домена не ходят

[Максим Гришин]

Smoke Cartesius, а куда настроен DNS в той сети?

[Smoke User]

DNS настроен у хостинга, айпи адрес моего роутера указан.
До этого все работало вот так
ip nat inside source static tcp 172.16.1.10 ххх.ххх.ххх.ххх extendable
без указания порта, а после указывания порта
ip nat inside source static tcp 172.16.1.10 80 ххх.ххх.ххх.ххх 80 extendable
сеть №2 не видит по имени домена. по айпи открывается.

[Максим Гришин]

У вас, похоже, ситуация, когда пакеты "туда" идут на ххх.ххх, а ответы идут от 172.16.1.10, что означает, что вам нужно алиасить DNS внутри, чтобы какой адрес сидит на веб-сервере резолвился внутри в 172.16.1.10. Раньше он резолвился через внешнюю сторону из-за проброса всего ПК натом на этот айпишник, срабатывала DNS Rewrite, и вы при запросе изнутри сети на собственный внешний DNS получали внутренний адрес 172.16.0.11. Сейчас вы получаете внешний адрес с того же DNS'a, значит, нужно исправлять настройки самого DNS. Я бы в вашем случае поднял бы DNS-сервер для внутренних нужд (домен там, ещё что), внешний на адресе 172.16.1.5 использовал как форвардер, и на нем задавал статические адреса для хостов внутренних сетей.

Answer 2

[Strabbo]

У вас обе сети на одном и том же роутере ?

Comments

[Smoke User]

да

[Strabbo]

если обе сети на одном и том же роутере, то им не нужен проброс портов для них все порты будут открыты. Если днс у провайдера, то после запроса, с вашими праваилами ната ваш роутер перенапрваит днс на 172.16.1.5 и инициатор запроса не получит ответ. Уберите правила ната для днс и проверьте