|
|
|
|
| Компьютерный форум OSzone.net » Железо » Сетевое оборудование » Cisco - [решено] Cisco Vlan <1811 + MS ISA> |
|
|
Cisco - [решено] Cisco Vlan <1811 + MS ISA>
|
Сообщения: 526 |
И так, решил сеть бить на Vlan -точнее создать ещё одну подсеть.
Имеем - isa 2006 (ip 10.10.1.7) воткнута в роутер cisco 1811 (ip 10.10.1.3). В cisco воткнуты так же остальные серверы и свитчи с пользователями. Так как на сервере isa некуда уже всталять сетевые карточки, решил прибегнуть к делению сети на cisco. В циско сделал два Vlan. Первый vlan 1 связан с портами fastethernet 2-8 Второй vlan 2 свзяан с портом fastethernet 9 У первого vlan ip 10.10.1.3 У второго vlan ip 10.10.2.3 Далее делаю у себя шлюзом циско чтобы с начала разобраться с vlan. Пингую интефейс vlan 2 (10.10.2.3) - пингуется. Интерфейс Vlan 1 пингуется так же. Далее пингую свитч, который имеет адрес 10.10.2.1 и подключен к vlan 2 - не пингуется. с самой циски пинги проходят Ниже конфиг циско. Внимание вопросы. 1. Как сделать так чтобы обе подсети были доступны для пользователей обеих подсетей? 2. Что необходимо прописать на ISA сервере для того чтобы она пересылал запросы на циско, при попытке попасть в подсеть 10.10.2.0? ! version 12.4 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname NSOFRT01 ! boot-start-marker boot-end-marker ! no logging buffered enable secret 5 $1$5xxs$BZX2AvFosVzALBrWKh6F2. ! no aaa new-model ! resource policy ! clock timezone Moscow 3 clock summer-time Moscow date Mar 30 2003 2:00 Oct 26 2003 3:00 ! ! no ip cef no ip dhcp use vrf connected ip dhcp excluded-address 10.10.1.61 10.10.1.254 ip dhcp excluded-address 10.10.1.1 10.10.1.20 ip dhcp excluded-address 10.10.2.1 10.10.2.5 ip dhcp excluded-address 10.10.2.20 10.10.2.254 ! ip dhcp pool Vlan1 network 10.10.1.0 255.255.255.0 domain-name nanosystem.local dns-server 10.10.1.4 10.10.1.5 default-router 10.10.1.7 lease 8 ! ip dhcp pool nosfd01 host 10.10.1.21 255.255.255.0 client-identifier 0100.1d7d.43e7.00 ! ip dhcp pool Vlan2 network 10.10.2.0 255.255.255.0 domain-name nanosystem.local dns-server 10.10.1.4 10.10.1.5 default-router 10.10.1.7 lease 8 ! ! ip domain name nanosystem.local ip name-server 10.10.1.4 ip name-server 10.10.1.5 ! ! crypto pki trustpoint tti revocation-check crl rsakeypair tti ! crypto pki trustpoint TP-self-signed-791461412 enrollment selfsigned subject-name cn=IOS-Self-Signed-Certificate-791461412 revocation-check none rsakeypair TP-self-signed-791461412 ! ! crypto pki certificate chain tti crypto pki certificate chain TP-self-signed-791461412 certificate self-signed 01 3082024F 308201B8 A0030201 02020101 300D0609 2A864886 F70D0101 04050030 30312E30 2C060355 04031325 494F532D 53656C66 2D536967 6E65642D 43657274 69666963 6174652D 37393134 36313431 32301E17 0D303830 39303431 32333031 335A170D 32303031 30313030 30303030 5A303031 2E302C06 03550403 1325494F 532D5365 6C662D53 69676E65 642D4365 72746966 69636174 652D3739 31343631 34313230 819F300D 06092A86 4886F70D 01010105 0003818D 00308189 02818100 DB7B18BD CFB327D2 B3E80F25 1EBCA7E6 CC9318FD DCAEEC1D 07604C4A 712C3BCE 3E27519B 6C492605 354E4DDB 0E2584A5 7E7786B7 16069B2A BC1A7111 9F832DD9 D82EB7F6 E995718E ABF00231 28C6B1CF 722207DA B3B91201 5C4D025C 13C1C618 8D78265A 95E072BA F94E5FDE A34C9369 DAFFEC26 3366FE58 D4EEAAC4 AD9C1421 02030100 01A37930 77300F06 03551D13 0101FF04 05300301 01FF3024 0603551D 11041D30 1B82194E 534F4652 5430312E 6E616E6F 73797374 656D2E6C 6F63616C 301F0603 551D2304 18301680 1483C281 35B20711 AD9D8823 26DF413D 0386860B DA301D06 03551D0E 04160414 83C28135 B20711AD 9D882326 DF413D03 86860BDA 300D0609 2A864886 F70D0101 04050003 81810007 3EFE79BF 4780F4E2 6F1A9C97 BA523D68 B8019227 6E7CD929 9504624C 0FF4D170 C2634010 9B9CFD00 B0BFCE71 30625ED8 8041B3BB F96CB147 09F47921 E2D403E3 E36D363F 07855A09 57CEB9C3 48F49BBA ED168604 4FA80D8F 4CA07EE5 84CD9556 96AE283E 108E4F47 4C9E3EBE A467988D BA4B54F3 79628C03 DEAF8E27 1D2A4B quit username root privilege 15 secret 5 $1$Ne5X$6nh/tvIubPYow3uafSaPH1 ! ! ! ! ! ! interface FastEthernet0 no ip address ip nat outside ip virtual-reassembly no ip route-cache shutdown duplex auto speed auto ! interface FastEthernet1 no ip address no ip route-cache shutdown duplex auto speed auto ! interface FastEthernet2 ! interface FastEthernet3 ! interface FastEthernet4 ! interface FastEthernet5 ! interface FastEthernet6 ! interface FastEthernet7 ! interface FastEthernet8 ! interface FastEthernet9 switchport access vlan 2 ! interface Vlan1 description NSOF ip address 10.10.1.3 255.255.255.0 ip nat inside ip virtual-reassembly no ip route-cache ! interface Vlan2 description NSOF ip address 10.10.2.3 255.255.255.0 ip nat inside ip virtual-reassembly no ip route-cache ! interface Async1 no ip address encapsulation slip no ip route-cache shutdown ! ! ! no ip http server ip http secure-server ! access-list 23 permit 10.10.0.0 0.0.255.255 access-list 23 deny any dialer-list 1 protocol ip permit ! ! ! ! ! ! control-plane ! ! line con 0 line 1 modem InOut stopbits 1 speed 115200 flowcontrol hardware line aux 0 line vty 0 4 access-class 23 in login local transport input ssh transport output none ! ! webvpn context Default_context ssl authenticate verify all ! no inservice ! end |
|
|
Отправлено: 20:03, 22-10-2008 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать http://s45.radikal.ru/i110/0810/1c/702bae3f60bf.jpg
вот скриншот с ИСА , кога компьютер находящийся в подсети 172.10.2.0 пытается достичь ISA или что-либо находягося за ней. |
|
------- Отправлено: 14:21, 29-10-2008 | #51 |
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать aptv,
Правильно, ISA отклоняет соединения. Смотрите "Политика межсетевого экрана" |
|
------- Отправлено: 14:24, 29-10-2008 | #52 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать Отклоняет, НО не прменяя при этом НИ ОДНОГО ПРАВИЛА!!!
|
|
------- Отправлено: 14:25, 29-10-2008 | #53 |
|
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать Цитата aptv:
Предлагаю дабы окончательно удостовериться "кто виноват", взять компьютер, присвоить ему IP ISA , воткунуть его за место ISA и проверить. === Кстати, у вас в приведенном экране есть строчка "Исходная сеть равно VLAN2" ? 1) У вас порты Cisco работают в AccessMode - пользовательском режиме. Т. е. VLAN теги не пропускаются, а входящие кадры, маркируются. Хотите что бы до ISA доходили VLAN теги - переведите порт Cisco в магистральный режим. 2) Опять же ISA сейчас должна принадлежать VLAN101 3) Но я бы програмному устройству разбор VLAN не доверил. Нагрузка большая будет |
|
|
------- Отправлено: 14:36, 29-10-2008 | #54 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать там просто в самой иса я дал исходную подсеть и там промаркировал её vlan 2
. А как перевести в магистральный режим?+ что это даст? в Вланах с транками я простоне очень силён.. Знаю что транковый канал может в себе нести несколько Вланов. Да тут и так понятно что ISA....теперь уже.... толку ноль от таких перестановок....даже пробовать не стоит. она же чётко даёт знать в скриншоте что блокирует. Кстати, спасибо за подсказки в настройке циско. |
|
------- Отправлено: 14:46, 29-10-2008 | #55 |
|
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать Цитата aptv:
Каналы в коммутаторе делятся на: access mode - это к котрым подключаются конечные устройства. Trunck Mode - к которому подключается другой коммутатор до которого нужно транспортировать VLAN-теги. Просто объединение нескольких VLAN на одном AccessMode порту равносильно объединению двух независимых виртуальных свичей шнурком. Т. е. объединеные VLAN "вырождаются" в один общий. Пример. У вас есть 3COM. Причем вы жаждете Чтобы половина портов поддержала сеть 172.10.1.0 Другая половина 172.10.2.0 соответственно 1) Создаем на 3COM VLANs: 101, 102 2) Назначаем порты VLANs 3) Выбираем порты для связи двух устройств на Cisco и 3COM и переводим их в транковый режим. 4) Иногда приходится для транковых портов разрешать транспортировку только определенных VLANs Хотя с другой стороны если VLAN явно не создан на коммутаторе, то он его "зарежет" на входе любого порта Вот примеры http://forum.oszone.net/thread-98595.html |
|
|
------- Отправлено: 16:16, 29-10-2008 | #56 |
|
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать Цитата aptv:
Просто если ISA может выполнять функции полноценного коммутатора, она должна зарезать любые фреймы которые не тегированы 2м VLAN. А свои фреймы тегировать соответственно будет. Соответственно ее фреймы тегированные 2м VLAN будет резать Cisco (хотя для Cisco не факт, ща перечитаю алгоритм работы порта в AccessMode) Проверить можно подключив полноценный интерфейс 3-го уровня с присвоенным IP (FE0, 1) - им в таком режиме на фреймы Ethernet начихать. |
|
|
------- Отправлено: 17:06, 29-10-2008 | #57 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать нет....нельзя.....при чём я просто её обозвал....для понимая.....тоестьона теги не ставит...
|
|
------- Отправлено: 17:24, 29-10-2008 | #58 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать Вообще было бы удобно сделать ....но как это делать на моём 3коме....))))пока не разобрался...
+ вопрос с ИСА более актуален. |
|
------- Отправлено: 19:08, 29-10-2008 | #59 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать Проблема с ИСА сервером что подтверждает данный скриншот.
http://s60.radikal.ru/i168/0810/d6/19a7acc2b28b.jpg При отлючении службы всё ок. Рулим темой на форуме майкрософт. Уважаемый kim-aa, спасибо за помощь! |
|
------- Отправлено: 15:54, 30-10-2008 | #60 |
|
Участник сейчас на форуме |
 |
Участник вне форума |
 |
Автор темы |
 |
Сообщение прикреплено |
| |||||
| Название темы | Автор | Информация о форуме | Ответов | Последнее сообщение | |
| Cisco - [решено] Странности с Cisco 1811 | vnc | Сетевое оборудование | 1 | 19-11-2009 13:43 | |
| Cisco - [решено] firewall между vlan <Cisco ACL> | Aleksey Potapov | Сетевое оборудование | 62 | 01-12-2008 11:37 | |
| Cisco - Cisco 1811 + 3 Com baseline 226 plus | Aleksey Potapov | Сетевое оборудование | 9 | 18-11-2008 15:03 | |
| Cisco - Cisco and V.92 <1811 reserved line> | Aleksey Potapov | Сетевое оборудование | 0 | 29-08-2008 20:17 | |
| Route/Bridge - Cisco 1811 | Aleksey Potapov | Сетевые технологии | 5 | 01-07-2008 12:11 | |
|
|
Время: 08:52. | © OSzone.net 2001-
|
|
Powered by: vBulletin Copyright ©2000 - 2025, Jelsoft Enterprises Ltd. |
