作者god50710 (KIHo)
看板Network
标题[问答] CISCO VPN local ip pool
时间Fri Dec 12 02:12:59 2014
大家好，想请问目前在CISCO ROUTER上架设翻墙用的VPN
但是连入到VPN後什麽事情都不能做...想问问板上是否有人知道解法呢?
所使用的是EASYVPN
在Fa0/1上接RJ45到小乌龟
建立Dialer1并使用PPPoE取得外部IP，然後就把VPN建立在Dialer1上
但是使用Cisco VPN Client成功连入後，只能ping到Dialer1的外部IP
其他网站或者介面一概无法Ping到
原先以为是从Dialer1进来的连线不能再从Dialer1再连到外部网路
所以再将Fa0/0也接上外部网路後，试着让流量从Fa0/0出入，不过也失败了
最後才发现连入EasyVPN，从local ip pool取得的IP似乎有问题
这些IP无法利用NAT/PAT再转成Dialer1或Fa0/0的外部IP来上网
请问有没有别的方式能够让从local ip pool取得IP的VPN Client端
还能够利用PAT到外部IP来连到外部网路呢?
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 61.230.207.159
※ 文章网址: http://webptt.com/cn.aspx?n=bbs/Network/M.1418321581.A.F84.html
※ 编辑: god50710 (61.230.207.159), 12/12/2014 02:14:08
1F：推 deadwood: 在router上设定NAT/PAT 把local pool IP转成dialer IP 12/12 09:37
local ip pool 192.168.11.120~130
access-list 110 permit 192.168.11.120 0.0.0.0 any
~做到130
然後在Dialer1上了下列指令
ip nat outside
ip nat inside source list 110 interface Dialer1 overload
测试用Client端连入後取得192.168.11.120 IP
但是输入show ip nat translations 毫无反应 是空的...
同样的VPN Client也无法正常上网
不知道我的设定是不是有误呢?
※ 编辑: god50710 (140.112.3.62), 12/12/2014 17:17:43
※ 编辑: god50710 (140.112.3.62), 12/12/2014 17:39:11
2F：→ deadwood: NAT设定错误，inside跟outside不可能是同一个介面 12/12 19:46
3F：→ deadwood: VPN连线的情况特殊，不能算是从dialer进入的，要用route 12/12 19:47
4F：→ deadwood: map去指定NAT的范围而非指定介面 12/12 19:47
6F：→ deadwood: 另外，如果觉得cisco router做跳板太难做，请用电脑灌 12/12 20:00
7F：→ deadwood: VPN软体(openvpn、softethervpn、pptp等)会比较简单 12/12 20:01
因为openvpn、softethervpn、pptp分别已经先架过了但...虽连上却非常不稳定...
所以才试着用CISCO ROUTER做
包含参考其他范例後，发现在acl内都会先deny要抵达的目标网域→Client取得的IP网域
然後再permit一次要抵达的目标网域之後，让route-map规则match这个acl..
於是就试着依样画葫芦了
试过利用route-map转出去但...文风不动...在(config#)试过下列的指令
access-list 110 deny ip 外部IP 0.0.0.0 192.168.11.0 0.0.0.255
access-list 110 permit ip 外部IP 0.0.0.0 all
route-map vpn permit 10
match ip address 110
ip nat source route-map vpn interface dialer1 overload
然後Client端连上VPN後，除了其他介面上的IP(fa0/0、0/1、dialer1)以外都ping不到...
试过包含static nat方式
目前仍没有办法让从dialer1上连接进来的VPN Client端再利用PAT从dialer1出去外网..
有fa0/0跟fa0/1介面，如果不下nat overload的话，Client端都可以ping到这些介面的IP
但如果想让这两个介面从Dialer1连出去，一做NAT就会让Clinet端Ping不到这些介面
感觉上最直觉的方式应该是...
access-list 11 permit 192.168.11.0 0.0.0.255
ip nat source list 11 interface dialer1 overload
然後192.168.11.120~130就可以用PAT从dialer1再出去啦~(结果:不可行)
※ 编辑: god50710 (61.230.207.159), 12/13/2014 05:47:36
8F：→ deadwood: 有一个问题就是你把 ip nat inside 放在哪个介面? 12/13 10:28
9F：→ deadwood: 不如提供一下设定档来看看比较好找问题 12/13 10:29
10F：推 Non: 你查查是不是没有设定NAT exemption 12/13 16:24