(ÉDITER)
Il semble que l'intérieur-> extérieur fonctionne comme prévu, comme on le voit dans la réponse ci-dessous, mais l'extérieur-> intérieur ne le fait pas en fait, il permet tout, comme OP l'a suggéré.
En ajoutant 'réversible' dans la ligne NAT, cela commence à honorer la route-map pour l'extérieur-> l'intérieur, malheureusement cela ne semble pas fonctionner avec les ports:
- permettre ip tout hôte 194.100.7.226 fonctionne
- permettre à TCP toutes les œuvres
- permettre tcp tout tout eq 80 pas de correspondance, ne fonctionne pas
- permet tcp any eq 80 any match, ne fonctionne pas
- autoriser tcp toute correspondance de l'hôte eq 80 194.100.7.226 , ne fonctionne pas
- permettre tcp tout hôte eq 0 194.100.7.226 fonctionne
À '194.100.7.226' je fais 'telnet 91.198.120.222 80', c'est ma source est 194.100.7.226: la destination éphémère est 91.198.120.222:80. Comme l'exemple # 1 fonctionne, nous pouvons conclure que réversible «inverse» réellement l'ACL, de sorte qu'il fonctionne de la même manière dans les deux sens, ce qui est logique.
Lorsque la connexion correspond, mais ne fonctionne pas, en refusant toute ligne d'entrée de journal, j'obtiens ceci:
7 juillet 07: 58: 59.118 UTC:% SEC-6-IPACCESSLOGP: liste MOO refusée tcp 91.198.120.2 (0) (Tunnel101) -> 194.100.7.226 (0), 1 paquet
Il semble donc vraiment que le type de protocole L4 soit transporté, mais les ports ne sont pas transportés pendant l'inversion NAT. Donc les gammes extérieur-> intérieur ne fonctionnent pas.
Comme suggéré dans la question Gamme de ports UDP vers l'avant Cisco 867, cela fonctionne pour l'extérieur-> l'intérieur
ip nat pool MOO 91.198.120.2 91.198.120.2 prefix-length 30 type rotary
ip nat inside destination list MOO pool MOO
ip access-list extended MOO
permit tcp any any range 22 100
deny ip any any log-input
C'est un peu ghetto, je pense, car vous n'avez pas un bon contrôle sur l'IP externe. Le pool est l'IP interne, l'IP externe est le routeur hors IP.
Réponse originale de l'intérieur-> extérieur travaillant avec les ports:
ip nat inside source static 91.198.120.2 91.198.120.222 route-map MOO
!
ip access-list extended MOO
permit icmp any any
permit tcp any any range 22 telnet
!
route-map MOO permit 100
match ip address MOO
!
route-map MOO deny 200
!
@ 91.198.120.2 Je fais:
- hôte de test telnet 22
- hôte de test telnet 23
- telnet testhost 24
Chez testhost, je peux observer:
1 0.000000 91.198.120.222 -> 194.100.7.226 TCP 74 50925 > ssh [SYN] Seq=0 Win=14600 Len=0 MSS=1350 SACK_PERM=1 TSval=7995067 TSecr=0 WS=128
2 9.838471 91.198.120.222 -> 194.100.7.226 TCP 74 41586 > telnet [SYN] Seq=0 Win=14600 Len=0 MSS=1350 SACK_PERM=1 TSval=7997586 TSecr=0 WS=128
5 16.773181 91.198.120.2 -> 194.100.7.226 TCP 74 53307 > 24 [SYN] Seq=0 Win=14600 Len=0 MSS=1350 SACK_PERM=1 TSval=7999327 TSecr=0 WS=128
Testé sur:
bu.ip.fi#sh ver | i ^Cisco
Cisco IOS Software, C880 Software (C880DATA-UNIVERSALK9-M), Version 15.1(2)T5, RELEASE SOFTWARE (fc1)
Cisco 881G (MPC8300) processor (revision 1.0) with 236544K/25600K bytes of memory.
bu.ip.fi#