NAT на внутренние хосты через cisco

[Mark Silinio]

стоит zelax(суть cisco) а за ним, во внутренней сетке, стоят прокси и почтовый сервер

в общем-то оно работает так:

 

ip nat inside source static 192.168.0.10 1.2.3.4

ip nat inside source static 192.168.0.11 1.2.3.4

ip nat inside source static 192.168.0.12 1.2.3.4

 

где 192.168.0.10 - прокси, 192.168.0.11 - почтовый сервер, 192.168.0.12 - веб сервер, 1.2.3.4 - адрес внешнего сетевого интерфейса

 

так понимаю, что если например кто-то снаружи соединяется с почтовым сервером по smtp, то сначала эти пакеты долбятся ко всем внутренним сервакам пока кто-то из них не ответит, и тогда уже соединение идёт нормально... тут и ненужный трафик, и что делать если необходимо будет запустить веб-сервер и на 192.168.0.11? на двух серваках с внутренней сетки будут открыты 80-е порты,- полный дурдом

 

как разрулить только необходимые входящие/исходящие протоколы через access-list'ы?

 

p.s. если делать даже просто:

access-list 101 default-action permit

ip nat inside source list 101 interface Serial 1/0

то уже не пашет

[SergeiK]

Надо для такой задачи писать статик для фикисрованных портов.

ip nat inside source static tcp 192.168.0.11 80 1.2.3.4 80

ip nat inside source static tcp 192.168.0.22 80 1.2.3.4 8080

 

И т.д.

[Mark Silinio]

спасибо, попробую

 

p.s. что-то бедный zelax вообще колбасит, и новые nat правила не применяются. пойду качать последнюю прошивку...