форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[Проследить за развитием треда]

"ip flow egress && nat ?"

Сообщение от Rom1kz (ok) on 15-Авг-06, 17:38

Хочется снимать с интерфейса исходящий с него траф, на этом же интерфейсе включен ip nat inside. Как только включаю нетфлов сразу начинает глючить нат, не проходят tcp соединения... Здесь есть камни, которых я не знаю ?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Сообщения по теме

[Сортировка по времени, UBB]

1. "ip flow egress && nat ?"

Сообщение от sm00th (??) on 15-Авг-06, 18:16

>Хочется снимать с интерфейса исходящий с него траф, на этом же интерфейсе >включен ip nat inside. Как только включаю нетфлов сразу начинает глючить >нат, не проходят tcp соединения... >Здесь есть камни, которых я не знаю ? странно всё это глянь пример конфигов сбора flow с натом http://www.netup.ru/articles.php?n=10 у меня после этого работал и flow и всё проходило вроде как.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	3. "ip flow egress && nat ?"
	Сообщение от Rom1kz (ok) on 15-Авг-06, 19:08
	>>Хочется снимать с интерфейса исходящий с него траф, на этом же интерфейсе >>включен ip nat inside. Как только включаю нетфлов сразу начинает глючить >>нат, не проходят tcp соединения... >>Здесь есть камни, которых я не знаю ? > >странно всё это >глянь пример конфигов сбора flow с натом > >http://www.netup.ru/articles.php?n=10 > >у меня после этого работал и flow и всё проходило вроде как. > Через loopback работает, но вариант этот мне не нравится по некоторым причинам. Хочется проще и грамотней через ip flow egress, тем более железка и софт позволяют
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "ip flow egress && nat ?"

Сообщение от ilya (ok) on 15-Авг-06, 18:22

>Хочется снимать с интерфейса исходящий с него траф, на этом же интерфейсе >включен ip nat inside. Как только включаю нетфлов сразу начинает глючить >нат, не проходят tcp соединения... >Здесь есть камни, которых я не знаю ? что за железка и какой софт? в версии 12.4 есть возможность и ingress и egress нетфлоу с одного интерфейса снимать.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "ip flow egress && nat ?"
	Сообщение от Rom1kz (ok) on 15-Авг-06, 19:10
	>>Хочется снимать с интерфейса исходящий с него траф, на этом же интерфейсе >>включен ip nat inside. Как только включаю нетфлов сразу начинает глючить >>нат, не проходят tcp соединения... >>Здесь есть камни, которых я не знаю ? > > >что за железка и какой софт? >в версии 12.4 есть возможность и ingress и egress нетфлоу с одного >интерфейса снимать. Cisco IOS Software, 1841 Software (C1841-ADVSECURITYK9-M), Version 12.4(3c), RELEASE SOFTWARE (fc1) Позволять-то позволяет, и по установившимся трансляциям ната траф снимает, а вот новые потоки нат уже не создаёт.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "ip flow egress && nat ?"
	Сообщение от ilya (ok) on 16-Авг-06, 08:31
	>>>Хочется снимать с интерфейса исходящий с него траф, на этом же интерфейсе >>>включен ip nat inside. Как только включаю нетфлов сразу начинает глючить >>>нат, не проходят tcp соединения... >>>Здесь есть камни, которых я не знаю ? >> >> >>что за железка и какой софт? >>в версии 12.4 есть возможность и ingress и egress нетфлоу с одного >>интерфейса снимать. > > >Cisco IOS Software, 1841 Software (C1841-ADVSECURITYK9-M), Version 12.4(3c), RELEASE SOFTWARE (fc1) > >Позволять-то позволяет, и по установившимся трансляциям ната траф снимает, а вот новые >потоки нат уже не создаёт. это скорее баг чем фича. конфиг в студию. и попробуйте софт поменять на более свежий
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "ip flow egress && nat ?"
	Сообщение от Rom1kz (ok) on 16-Авг-06, 09:19
	>это скорее баг чем фича. >конфиг в студию. и попробуйте софт поменять на более свежий ! version 12.4 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname host ! boot-start-marker boot-end-marker ! logging buffered 51200 warnings ! no aaa new-model ! resource policy ! mmi polling-interval 60 no mmi auto-configure no mmi pvc mmi snmp-timeout 180 ip subnet-zero ! ip cef ! ! ! ip domain name host.ru vpdn enable ! vpdn-group 1 ! vpdn-group 2 ! Default PPTP VPDN group accept-dialin   protocol pptp   virtual-template 1 ! ! ! ! ! crypto isakmp policy 1 hash md5 authentication pre-share lifetime 3600 crypto isakmp key xxx address x.x.x.x ! ! crypto ipsec transform-set ts1 esp-des esp-md5-hmac ! crypto map xxx 1 ipsec-isakmp description name set peer x.x.x.x set transform-set ts1 set pfs group1 match address 102 ! ! ! interface Tunnel0 description ipsec ip address x.x.x.x x.x.x.x tunnel source x.x.x.x tunnel destination x.x.x.x tunnel mode ipip crypto map xxx ! interface FastEthernet0/0 description external mac-address 0021.1234.4325 ip address x.x.x.x 255.255.255.240 no ip proxy-arp ip nat outside ip virtual-reassembly ip tcp adjust-mss 1452 duplex auto speed auto ! interface FastEthernet0/1 description $ETH-WAN$ no ip address duplex auto speed auto ! interface FastEthernet0/0/0 ! interface FastEthernet0/0/1 ! interface FastEthernet0/0/2 ! interface FastEthernet0/0/3 ! interface Virtual-Template1 ip unnumbered Vlan1 ip mroute-cache peer default ip address pool PPTP ppp encrypt mppe auto required ppp authentication ms-chap ms-chap-v2 ! interface Vlan1 ip address 192.168.150.61 255.255.255.0 ip nat inside ip virtual-reassembly ip flow egress ! ! ip local pool PPTP 192.168.150.196 192.168.150.224 ip classless ip route 0.0.0.0 0.0.0.0 x.x.x.x ip flow-export version 5 ip flow-export destination x.x.x.x 9996 ! no ip http server ip http authentication local no ip http secure-server ip http timeout-policy idle 5 life 86400 requests 10000 ip nat inside source list 10 interface FastEthernet0/0 overload ! access-list 10 permit 192.168.150.0 0.0.0.255 access-list 102 permit ip host 192.168.190.131 host 192.168.190.130 access-list 110 permit ip any any access-list 199 deny   ip any any route-map FLOW permit 10 match ip address 199 ! ! ! control-plane ! ! line con 0 login local line aux 0 line vty 0 4 exec-timeout 0 0 privilege level 15 login local transport input ssh line vty 5 15 privilege level 15 login local transport input ssh ! end если включить на vlan1 ip route-cache flow, то нат работает, но трафик экспортируется и исходящий с интерфейса и входящий, игрался с ip policy route-map -- не помогло.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "ip flow egress && nat ?"
	Сообщение от vinni_jopa (ok) on 16-Авг-06, 11:38
	на интерфейсах (ip nat outside и ip nat inside ) включи ip route-cache flow - была такая грабля - решилась именно так
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "ip flow egress && nat ?"
	Сообщение от Rom1kz (ok) on 21-Авг-06, 15:30
	>на интерфейсах (ip nat outside и ip nat inside ) включи ip >route-cache flow - была такая грабля - решилась именно так Траф снимается как приходящий так и уходящий, а нужно только egress.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	9. "ip flow egress && nat ?"
	Сообщение от vinni_jopa (ok) on 21-Авг-06, 15:33
	ip flow-egress input-interface - почитай, не уверен что это оно
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	10. "ip flow egress && nat ?"
	Сообщение от Rom1kz (ok) on 21-Авг-06, 16:16
	>ip flow-egress input-interface - почитай, не уверен что это оно Пока проблему решил через no ip route-cache cef на нужном интерфейсе..
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	11. "ip flow egress && nat ?"
	Сообщение от Rom1kz (ok) on 10-Ноя-06, 11:03
	>>ip flow-egress input-interface - почитай, не уверен что это оно > >Пока проблему решил через no ip route-cache cef на нужном интерфейсе.. Рано я радовался, не весь траф попадает в кэш.. Попадает только 1 пакет. Например тяну с фтп файло, а в кэше вижу такое Tu51          x.x.x.x    Vl1*          192.168.150.101 06 0014 040E     1 И значение пакетов не растёт.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]