проблема NAT через VPN-туннель

[freeman6351]

У меня есть следующий сценарий, в котором мне нужна помощь для понимания/решения: PC1 подключен к маршрутизатору Cisco (R1) в локальной сети 10.254.0.1/24, который имеет точечный IPSEC VPN-туннель к другому маршрутизатору Cisco (R2) с PC2 в локальной сети 10.254.1.1/24. Я могу обмениваться данными по TCP 443 с PC1 на PC2, пока не добавлю маршрут NAT ниже в R2, чтобы разрешить доступ TCP 443 к PC2 (10.254.1.200) из R2 WAN на внешнем порту 11443: ip nat inside source static tcp 10.254.1.200 443 61.0.1.2 11443 extendable С помощью вышеуказанного маршрута NAT я могу получить доступ к PC2 из R2 WAN, но это прерывает трафик TCP 443 с PC1 через VPN-туннель. Как я могу получить TCP 11443 из R2 WAN в TCP 443 на PC2, сохранив при этом работу трафика TCP 443 между PC1 и PC2 через VPN-туннель? Похоже, что вышеуказанное правило NAT удерживает открытым порт 443? Спасибо за любую помощь/предложения!

[Philip D'Ath]

Чтобы сделать NAT условным, необходимо объединить его с маршрутной картой. Пример: access-list 104 remark Traffic not to NAT Inbound
access-list 104 deny ip 10.254.1.0 0.0.0.255 10.254.0.0 0.0.0.255
access-list 104 permit ip any any
route-map no-nat permit 1
match ip address 104
ip nat inside source static tcp 10.254.1.200 443 61.0.1.2 11443
route-map no-nat reversible extendable

[BIIT]

Большое спасибо за это! Вы решили проблему, которую мы пытались решить в течение некоторого времени.

[paul driver]

Здравствуйте,
я бы не рекомендовал использовать «any any» для любого NAT ACL — лучше уточнить трафик, который вы хотите преобразовать.
Пример
:
access-list 104 permit host 10.254.1.200 any access-list 105 permit ip 10.254.1.0 0.0.0.255 any
route-map nat deny 10
match ip address 104
route-map nat permit 100
match ip address 105 Пожалуйста, оцените и отметьте как принятое решение, если вы нашли полезной какую-либо из предоставленной информации.
Это поможет другим участникам форума найти ценный ответ и расширит глобальную сеть сообщества.
С уважением,
Пол