У нас есть маршрутизатор Cisco 1921 под управлением IOS 15.1 в одном из наших филиалов, который через L2L IPsec VPN подключен к ASA5510 с ASA 8.2 в нашем головном офисе.
Сеть выглядит примерно так:
192.168.14.0/24 - RT - Internet - ASA - 192.168.10.0/24
|----L2L VPN----|
В RT настроен NAT, позволяющий локальным пользователям выходить в Интернет. Конфигурация выглядит так:
crypto isakmp policy 10 encr aes authentication pre-share group 2 crypto isakmp key SECRETKEY address HQ_ASA_IP ! ! crypto ipsec transform-set ESP-AES-SHA esp-aes esp-sha-hmac ! crypto map outside_map 10 ipsec-isakmp set peer HQ_ASA_IP set transform-set ESP-AES-SHA match address 120 ! interface GigabitEthernet0/0 ip address 192.168.14.252 255.255.255.0 ip nat inside ip virtual-reassembly in duplex auto speed auto no mop enabled ! interface Dialer0 mtu 1492 ip address negotiated ip access-group 101 in ip nat outside ip virtual-reassembly in encapsulation ppp ip tcp adjust-mss 1452 dialer pool 1 dialer-group 1 ppp authentication chap callin ppp chap hostname SECRETUSERNAME ppp chap password 0 SECRETPASSWORD ppp pap sent-username SECRETUSERNAME password 0 SECRETPASSWORD crypto map outside_map ! ip nat inside source route-map nonat interface Dialer0 overload route-map nonat permit 10 match ip address 110 ! access-list 110 deny ip 192.168.8.0 0.0.7.255 192.168.8.0 0.0.7.255 access-list 110 permit ip 192.168.14.0 0.0.0.255 any access-list 120 permit ip 192.168.14.0 0.0.0.255 192.168.8.0 0.0.7.255 access-list 120 permit ip 192.168.8.0 0.0.7.255 192.168.14.0 0.0.0.255
Теперь у нас есть служба, к которой необходимо получить доступ из Интернета на одном из хостов в сети 192.168.14.0/24, и мы настроили переадресацию портов с помощью следующей команды:
ip nat inside source static tcp 192.168.14.7 8181 EXT_IP 31337 extendable
Пересылка работает, и к службе можно получить доступ через EXT_IP: 1337, но мы больше не можем получить доступ к 192.168.14.7:8181 через VPN из сети 192.168.10.0/24, хотя это работало нормально до того, как пересылка была на месте.
Любой намек на то, что мне не хватает или почему это ведет себя таким образом, будет очень оценен.
Вот хорошее описание проблемы, с которой вы столкнулись: