Коллеги!
Есть интересная задачка.
Имеется ISR с 12.4Т IOSом.
Задача реализовать DMZ.
Делаем по классической схеме через subint-ы. Проблем нет.
Хотелось бы, допустим с адреса 10.0.2.2 DMZ почтового сервера протранслировать в inside сеть 25/tcp. interface FastEthernet0/0
description Trunk to Catalyst 4507 (core)
no ip address
duplex auto
speed auto
!
interface FastEthernet0/0.39
description Connected to DMZ
encapsulation dot1Q 39
ip address 10.0.2.1 255.255.255.248
no ip redirects
no ip unreachables
no ip proxy-arp
ip nat inside
ip virtual-reassembly
!
interface FastEthernet0/0.40
description Connected to WAN (TTK)
encapsulation dot1Q 40
ip address 80.92.102.218 255.255.255.252
ip access-group 120 in
no ip redirects
no ip unreachables
no ip proxy-arp
ip nat outside
ip virtual-reassembly
ip policy route-map MAP
crypto map SRRT
service-policy output QoS-YRR
!
interface FastEthernet0/1
description Connected to Local Area Network
ip address 172.28.76.6 255.255.255.252
no ip redirects
no ip unreachables
no ip proxy-arp
ip nat inside
ip access-group 130 in
ip virtual-reassembly
ip route-cache policy
ip route-cache flow
ip tcp adjust-mss 1280
duplex auto
speed auto
ip nat inside source route-map NoNAT interface FastEthernet0/0.40 overload
ip nat inside source static tcp 10.0.2.2 25 80.92.102.218 25 extendable
ip nat inside source static tcp 10.0.2.2 25 172.28.76.6 25 extendable
access-list 110 remark NAT0
access-list 110 deny ip 172.29.64.0 0.0.31.255 172.29.0.0 0.0.31.255
access-list 110 deny ip 10.0.2.0 0.0.0.7 172.29.0.0 0.0.31.255
access-list 110 permit ip 172.29.64.0 0.0.31.255 any
access-list 110 permit ip 10.0.2.0 0.0.0.7 any
route-map NoNAT permit 10
match ip address 110
match interface FastEthernet0/0.40
Согласно данной настройки я вижу 25/tcp только используя адрес 10.0.2.2.
Хотелось бы, чтобы пользователь из inside ничего не знал про данную сеть, а использовал адрес 172.28.76.6.
Access-list 130 понятное дело правильный, и не запрещает host-у из inside видеть отображенный 25 порт.
Есть ли варианты решения?
