Исходное сообщение
"хитрый NAT" Отправлено mik73, 26-Сен-23 19:08
Есть маршрутизатор CISCO (IOS 12.4 если это зачем-то важно). Есть вот такая схема сети (связаны два корпоративных сегмента): сеть2 10.0.2.0/24 - router2 - router1 - cеть1 192.168.1.0/24 При этом между сетями должен ходить трафик, но сеть2 принимает пакеты только от адресов 10.0.0.0/8, допустим. Сделать с этим ничего нельзя (router2 недоступен по управлению). Соответственно на router1 устраиваем статический NAT и всё прекрасно работает: Int e1 rem сеть1 Ip addr 192.168.1.1/24 Ip nat inside Int e2 rem к сети2 172.16.0.1/30 Ip nat outside ip route 10.0.2.0 255.255.255.0 e1 ip nat inside source static network 192.168.1.0 10.0.1.0 /24 Причем трансляция получается  "один в один", сохраняются все номера портов и если пакет ушёл из сети1 от адреса, допустим от 192.168.1.10, то в сети2 он виден как пришедший от 10.0.1.10, то же самое для любого адреса - т.е. все отправители пакетов, пришедших в сеть2, там однозначно идентифицируется (что нужно). а теперь задача усложняется. кроме подключения к сети2 на router1 появляется подключение допустим, к Интернету (сети3).                                 сеть3 (интернет)                                  ^                                  | сеть2 10.0.2.0/24 - router2 - router1 - cеть1 192.168.1.0/24 а в сети1 есть один хост (допустим, 192.168.1.100), который должен как ходить как в сеть 2 по прежней схеме, так и в сеть3 (Интернет). А остальные хосты должны по прежнему ходить в сеть2, но не должны в сеть3. казалось бы должно сработать что-то вроде: Int e1 rem сеть1 Ip addr 192.168.1.1/24 Ip nat inside Int e2 rem в сеть2 172.16.0.1/32 Ip nat outside Int e3 в сеть 3 1.1.1.1/29 ip nat outside ip route 10.0.2.0 255.255.255.0 e1 ip route 0.0.0.0 0.0.0.0 1.1.1.2 ip nat inside source static network 192.168.1.0 10.0.1.0 /24 ip nat inside source list 150 int e2 overload access-list 150 rem описывает весь трафик с 192.168.1.100, кроме отправленного в сеть 10.0.2.0 - и этот трафик должен бы попадать в соответствующую запись nat access-list 150 deny ip host 192.168.1.100 10.0.2.0 0.0.0.255 access-list 150 permit ip ip host 192.168.1.100 any Но ничего не получается. Трафик от 192.168.1.100, согласно таблицам трансляции и статистике nat, сначала транслируется в трафик от 10.0.1.100, а потом, если отправлен в произвольную сеть, а не на 10.0.2.0, то вообще никуда не попадает. Понятно, что что-то делаю не так. Но как получить желаемое иначе - придумать не могу.