Доступ к внешнему серверу

@Daeno · Регистрация: 28.05.2014

Студворк — интернет-сервис помощи студентам

Доброго времени суток!
Прошу прощения, за скорее всего избитый вопрос, но увы не очень понимаю.

Ситуация: Есть сеть офиса 192.168.1.0. Спрятанная за CISCO ASA 5505. На кошке поднят VPN, проброшены порты для сервера видеонаблюдения в офисе (доступ из вне есть, всё ок, порты проброшены (не http)). VPN работает нормально.
С удалённой точки по VPN подключается клиент (сервер видеонаблюдения удалённой точки). Он прекрасно виден из локальной сети офиса, всё пашет (обращение идёт по IP, выданному VPN-Server, по 80-му порту).
В офисе естественно есть выделенный IP и привязан он к внешнему интерфейсу кошки.

Вопрос: Из случайных мест необходимо предоставить доступ к удалённому серверу видеонаблюдения (с внутриофисным сервером видеонаблюдения, опять таки всё ок), а он не даётся. Уважаемые гуру, подскажите, пожалуйста, в какую сторону копать?

Сеть наглядно:

Небольшое пояснение: НЕТ ДОСТУПА ТОЛЬКО ОТ УДАЛЁННОГО КЛИЕНТА К УДАЛЁННОМУ СЕРВЕРУ (подключение идёт по одному внешнему ip на оба сервера)

ACL:

NAT:

Packet Tracer:

Все разрешения вроде есть... Не могу больше его ковырять...

Текущий конфиг:

Кликните здесь для просмотра всего текста

ASA Version 8.2(5)
!
hostname ciscoasa
domain-name trgp.local
enable password KfJhcv8A0NCmwwuF encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
names
name 192.168.1.100 Video_Msk
name 192.168.1.12 Video_Piter
name XXX.XXX.XXX.230 www
name XXX.XXX.XXX.229 GateAway
!
interface Ethernet0/0
switchport access vlan 2
!
interface Ethernet0/1
!
interface Ethernet0/2
!
interface Ethernet0/3
!
interface Ethernet0/4
!
interface Ethernet0/5
!
interface Ethernet0/6
!
interface Ethernet0/7
!
interface Vlan1
nameif inside
security-level 100
ip address 192.168.1.1 255.255.255.0
!
interface Vlan2
nameif outside
security-level 0
ip address www 255.255.255.0
!
ftp mode passive
dns server-group DefaultDNS
domain-name YYY.local
object-group network Video_Msk
access-list outside_access_in extended permit ip any any
access-list inside_nat0_outbound extended permit ip any 192.168.1.96 255.255.255.240
access-list inside_access_in extended permit ip any any
pager lines 24
logging asdm informational
mtu inside 1500
mtu outside 1500
ip local pool vpn_pool Video_Msk-192.168.1.109 mask 255.255.255.0
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list inside_nat0_outbound
nat (inside) 1 0.0.0.0 0.0.0.0
static (inside,outside) tcp interface 111 Video_Piter 111 netmask 255.255.255.255
static (inside,outside) tcp interface 112 Video_Piter 112 netmask 255.255.255.255
static (inside,outside) tcp interface www Video_Msk www netmask 255.255.255.255
access-group inside_access_in in interface inside
access-group outside_access_in in interface outside
route outside 0.0.0.0 0.0.0.0 GateAway 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
timeout tcp-proxy-reassembly 0:01:00
timeout floating-conn 0:00:00
dynamic-access-policy-record DfltAccessPolicy
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec transform-set TRANS_ESP_3DES_SHA esp-3des esp-sha-hmac
crypto ipsec transform-set TRANS_ESP_3DES_SHA mode transport
crypto ipsec transform-set ESP-AES-256-MD5 esp-aes-256 esp-md5-hmac
crypto ipsec transform-set ESP-DES-SHA esp-des esp-sha-hmac
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac
crypto ipsec transform-set ESP-AES-192-MD5 esp-aes-192 esp-md5-hmac
crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac
crypto ipsec transform-set ESP-AES-256-SHA esp-aes-256 esp-sha-hmac
crypto ipsec transform-set ESP-AES-128-SHA esp-aes esp-sha-hmac
crypto ipsec transform-set ESP-AES-192-SHA esp-aes-192 esp-sha-hmac
crypto ipsec transform-set ESP-AES-128-MD5 esp-aes esp-md5-hmac
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
crypto dynamic-map SYSTEM_DEFAULT_CRYPTO_MAP 65535 set transform-set TRANS_ESP_3DES_SHA ESP-AES-128-SHA ESP-AES-128-MD5 ESP-AES-192-SHA ESP-AES-192-MD5 ESP-AES-256-SHA ESP-AES-256-MD5 ESP-3DES-SHA ESP-3DES-MD5 ESP-DES-SHA ESP-DES-MD5
crypto dynamic-map SYSTEM_DEFAULT_CRYPTO_MAP 65535 set reverse-route
crypto map outside_map 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP
crypto map outside_map interface outside
crypto map inside_map 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP
crypto map inside_map interface inside
crypto isakmp enable inside
crypto isakmp enable outside
crypto isakmp policy 10
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 86400
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd dns XXX.XXX.225.4 XXX.XXX.224.4
dhcpd auto_config outside vpnclient-wins-override
!
dhcpd address 192.168.1.30-192.168.1.50 inside
dhcpd enable inside
!

threat-detection basic-threat
threat-detection statistics access-list
no threat-detection statistics tcp-intercept
webvpn
group-policy DefaultRAGroup internal
group-policy DefaultRAGroup attributes
vpn-tunnel-protocol l2tp-ipsec
default-domain value YYY.local
username admin password HbelpnGMU25oVew8 encrypted
username vpnuser password ZRy81hueAT36R2mmOid9bg== nt-encrypted privilege 0
username vpnuser attributes
vpn-group-policy DefaultRAGroup
username vpnuser2 password ZRy81hueAT36R2mmOid9bg== nt-encrypted privilege 0
username vpnuser2 attributes
vpn-group-policy DefaultRAGroup
tunnel-group DefaultRAGroup general-attributes
address-pool vpn_pool
default-group-policy DefaultRAGroup
tunnel-group DefaultRAGroup ipsec-attributes
pre-shared-key *****
tunnel-group DefaultRAGroup ppp-attributes
authentication ms-chap-v2
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum client auto
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
inspect ip-options
!
service-policy global_policy global
prompt hostname context
no call-home reporting anonymous
Cryptochecksum:3f755f18e829ce7b83c7bf0b0 7e69303
: end

С уважением, Олаф.

@MonaxGT · 28.05.2014, 10:53

Добавте в inside_nat0_outbound
Что трафик из пула ip local pool vpn_pool Video_Msk-192.168.1.109 mask 255.255.255.0 может идти на ваш Удаленный видео центр

@Daeno · 28.05.2014, 11:08 **[ТС]**

Эм, простите?
По-моему произошло недопонимание.

Удалённый сервер подключен по VPN к ASA. Адрес серверу выдаётся 192.168.1.100. Внутренняя сетка 192.168.1.0 прекрасно коннектится к серваку по адресу 192.168.1.100.

Проблема в том, что удалённый клиент не может попасть на тот же сервак по внешнему ip ASA.

Ну, или я вас просто не понял.

Новые блоги и статьи Все статьи Все блоги /
Идея фильтра интернета (сервер = слой+фильтр). Hrethgir 31.03.2026 Суть идеи заключается в том, чтобы запустить свой сервер, о чём я если честно мечтал давно и давно приобрёл книгу как это сделать. Но не было причин его запускать. Очумелые учёные напечатали на. . .	Модель здравосоХранения 6. ESG-повестка и устойчивое развитие; углублённый анализ кадрового бренда anaschu 31.03.2026 В прикрепленном документе раздумья о том, как можно поменять модель в будущем	10 пpимет, которые всегда сбываются Maks 31.03.2026 1. Чтобы, наконец, пришла маршрутка, надо закурить. Если сигарета последняя, маршрутка придет еще до второй затяжки даже вопреки расписанию. 2. Нaдоели зима и снег? Не надо переезжать. Достаточно. . .	Перемещение выделенных строк ТЧ из одного документа в другой Maks 31.03.2026 Реализация из решения ниже выполнена на примере нетипового документа "ВыдачаОборудованияНаСпецтехнику" с единственной табличной частью "ОборудованиеИКомплектующие" разработанного в конфигурации КА2. . . .
Functional First Web Framework Suave DevAlt 30.03.2026 Sauve. IO Апнулись до NET10. Из зависимостей один пакет, работает одинаково хорошо как в режиме проекта так и в интерактивном режиме. из сложностей - чисто функциональный подход. Решил. . .	Автоматическое создание документа при проведении другого документа Maks 29.03.2026 Реализация из решения ниже выполнена на нетиповых документах, разработанных в конфигурации КА2. Есть нетиповой документ "ЗаявкаНаРемонтСпецтехники" и нетиповой документ "ПланированиеСпецтехники". В. . .	Настройка движения справочника по регистру сведений Maks 29.03.2026 Решение ниже реализовано на примере нетипового справочника "ТарифыМобильнойСвязи" разработанного в конфигурации КА2, с целью учета корпоративной мобильной связи в коммерческом предприятии. . . .	Автозаполнение реквизита при выборе элемента справочника Maks 27.03.2026 Программный код из решения ниже на примере нетипового документа "ЗаявкаНаРемонтСпецтехники" разработанного в конфигурации КА2. При выборе "Спецтехники" (Тип Справочник. Спецтехника), заполняется. . .

@Daeno 2 / 2 / 0 Регистрация: 28.05.2014 Сообщений: 30

	Доступ к внешнему серверу 28.05.2014, 10:27. Показов 1311. Ответов 2 Метки нет (Все метки) Доброго времени суток! Прошу прощения, за скорее всего избитый вопрос, но увы не очень понимаю. Ситуация: Есть сеть офиса 192.168.1.0. Спрятанная за CISCO ASA 5505. На кошке поднят VPN, проброшены порты для сервера видеонаблюдения в офисе (доступ из вне есть, всё ок, порты проброшены (не http)). VPN работает нормально. С удалённой точки по VPN подключается клиент (сервер видеонаблюдения удалённой точки). Он прекрасно виден из локальной сети офиса, всё пашет (обращение идёт по IP, выданному VPN-Server, по 80-му порту). В офисе естественно есть выделенный IP и привязан он к внешнему интерфейсу кошки. Вопрос: Из случайных мест необходимо предоставить доступ к удалённому серверу видеонаблюдения (с внутриофисным сервером видеонаблюдения, опять таки всё ок), а он не даётся. Уважаемые гуру, подскажите, пожалуйста, в какую сторону копать? Сеть наглядно: Небольшое пояснение: НЕТ ДОСТУПА ТОЛЬКО ОТ УДАЛЁННОГО КЛИЕНТА К УДАЛЁННОМУ СЕРВЕРУ (подключение идёт по одному внешнему ip на оба сервера) ACL: NAT: Packet Tracer: Все разрешения вроде есть... Не могу больше его ковырять... Текущий конфиг: Кликните здесь для просмотра всего текста ASA Version 8.2(5) ! hostname ciscoasa domain-name trgp.local enable password KfJhcv8A0NCmwwuF encrypted passwd 2KFQnbNIdI.2KYOU encrypted names name 192.168.1.100 Video_Msk name 192.168.1.12 Video_Piter name XXX.XXX.XXX.230 www name XXX.XXX.XXX.229 GateAway ! interface Ethernet0/0 switchport access vlan 2 ! interface Ethernet0/1 ! interface Ethernet0/2 ! interface Ethernet0/3 ! interface Ethernet0/4 ! interface Ethernet0/5 ! interface Ethernet0/6 ! interface Ethernet0/7 ! interface Vlan1 nameif inside security-level 100 ip address 192.168.1.1 255.255.255.0 ! interface Vlan2 nameif outside security-level 0 ip address www 255.255.255.0 ! ftp mode passive dns server-group DefaultDNS domain-name YYY.local object-group network Video_Msk access-list outside_access_in extended permit ip any any access-list inside_nat0_outbound extended permit ip any 192.168.1.96 255.255.255.240 access-list inside_access_in extended permit ip any any pager lines 24 logging asdm informational mtu inside 1500 mtu outside 1500 ip local pool vpn_pool Video_Msk-192.168.1.109 mask 255.255.255.0 icmp unreachable rate-limit 1 burst-size 1 no asdm history enable arp timeout 14400 global (outside) 1 interface nat (inside) 0 access-list inside_nat0_outbound nat (inside) 1 0.0.0.0 0.0.0.0 static (inside,outside) tcp interface 111 Video_Piter 111 netmask 255.255.255.255 static (inside,outside) tcp interface 112 Video_Piter 112 netmask 255.255.255.255 static (inside,outside) tcp interface www Video_Msk www netmask 255.255.255.255 access-group inside_access_in in interface inside access-group outside_access_in in interface outside route outside 0.0.0.0 0.0.0.0 GateAway 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute timeout tcp-proxy-reassembly 0:01:00 timeout floating-conn 0:00:00 dynamic-access-policy-record DfltAccessPolicy http server enable http 192.168.1.0 255.255.255.0 inside no snmp-server location no snmp-server contact snmp-server enable traps snmp authentication linkup linkdown coldstart crypto ipsec transform-set TRANS_ESP_3DES_SHA esp-3des esp-sha-hmac crypto ipsec transform-set TRANS_ESP_3DES_SHA mode transport crypto ipsec transform-set ESP-AES-256-MD5 esp-aes-256 esp-md5-hmac crypto ipsec transform-set ESP-DES-SHA esp-des esp-sha-hmac crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac crypto ipsec transform-set ESP-AES-192-MD5 esp-aes-192 esp-md5-hmac crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac crypto ipsec transform-set ESP-AES-256-SHA esp-aes-256 esp-sha-hmac crypto ipsec transform-set ESP-AES-128-SHA esp-aes esp-sha-hmac crypto ipsec transform-set ESP-AES-192-SHA esp-aes-192 esp-sha-hmac crypto ipsec transform-set ESP-AES-128-MD5 esp-aes esp-md5-hmac crypto ipsec security-association lifetime seconds 28800 crypto ipsec security-association lifetime kilobytes 4608000 crypto dynamic-map SYSTEM_DEFAULT_CRYPTO_MAP 65535 set transform-set TRANS_ESP_3DES_SHA ESP-AES-128-SHA ESP-AES-128-MD5 ESP-AES-192-SHA ESP-AES-192-MD5 ESP-AES-256-SHA ESP-AES-256-MD5 ESP-3DES-SHA ESP-3DES-MD5 ESP-DES-SHA ESP-DES-MD5 crypto dynamic-map SYSTEM_DEFAULT_CRYPTO_MAP 65535 set reverse-route crypto map outside_map 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP crypto map outside_map interface outside crypto map inside_map 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP crypto map inside_map interface inside crypto isakmp enable inside crypto isakmp enable outside crypto isakmp policy 10 authentication pre-share encryption 3des hash sha group 2 lifetime 86400 telnet timeout 5 ssh timeout 5 console timeout 0 dhcpd dns XXX.XXX.225.4 XXX.XXX.224.4 dhcpd auto_config outside vpnclient-wins-override ! dhcpd address 192.168.1.30-192.168.1.50 inside dhcpd enable inside ! threat-detection basic-threat threat-detection statistics access-list no threat-detection statistics tcp-intercept webvpn group-policy DefaultRAGroup internal group-policy DefaultRAGroup attributes vpn-tunnel-protocol l2tp-ipsec default-domain value YYY.local username admin password HbelpnGMU25oVew8 encrypted username vpnuser password ZRy81hueAT36R2mmOid9bg== nt-encrypted privilege 0 username vpnuser attributes vpn-group-policy DefaultRAGroup username vpnuser2 password ZRy81hueAT36R2mmOid9bg== nt-encrypted privilege 0 username vpnuser2 attributes vpn-group-policy DefaultRAGroup tunnel-group DefaultRAGroup general-attributes address-pool vpn_pool default-group-policy DefaultRAGroup tunnel-group DefaultRAGroup ipsec-attributes pre-shared-key ***** tunnel-group DefaultRAGroup ppp-attributes authentication ms-chap-v2 ! class-map inspection_default match default-inspection-traffic ! ! policy-map type inspect dns preset_dns_map parameters message-length maximum client auto message-length maximum 512 policy-map global_policy class inspection_default inspect dns preset_dns_map inspect ftp inspect h323 h225 inspect h323 ras inspect rsh inspect rtsp inspect esmtp inspect sqlnet inspect skinny inspect sunrpc inspect xdmcp inspect sip inspect netbios inspect tftp inspect ip-options ! service-policy global_policy global prompt hostname context no call-home reporting anonymous Cryptochecksum:3f755f18e829ce7b83c7bf0b0 7e69303 : end С уважением, Олаф. 0

@MonaxGT 278 / 278 / 25 Регистрация: 02.08.2012 Сообщений: 1,232
	28.05.2014, 10:53
	Добавте в inside_nat0_outbound Что трафик из пула ip local pool vpn_pool Video_Msk-192.168.1.109 mask 255.255.255.0 может идти на ваш Удаленный видео центр 0

@Daeno 2 / 2 / 0 Регистрация: 28.05.2014 Сообщений: 30
	28.05.2014, 11:08 [ТС]
	Эм, простите? По-моему произошло недопонимание. Удалённый сервер подключен по VPN к ASA. Адрес серверу выдаётся 192.168.1.100. Внутренняя сетка 192.168.1.0 прекрасно коннектится к серваку по адресу 192.168.1.100. Проблема в том, что удалённый клиент не может попасть на тот же сервак по внешнему ip ASA. Ну, или я вас просто не понял. 0