Meg@wolt

Доброе время суток!!!!!

Прошу помощи в консультации по настройке киски роутера: CISCO SOHO 91 SB-101

Весь измаялся, настраиваю первый раз, так что дилетант в этом деле.... Уже третий день и пока без успешно.

Задача простая, сделать маршрутизацию статическую для 4-х портов в диапазоне 192.168.1.0 до 192.168.1.255 с маской 255.255.255.0
возможность подключение через telnet, и поднять WAN соединение по протоколу PPoE c компанией "Медиалан"

Вроде все просто... НО :

Локалку я кое как настроил, работает, компьютеры внутри сети друг друга видят...
С подключением через telnet уже сложнее, терминал подключается, выводит запрос Логина, потом пароля, и постоянно говорит что пароль не верный!!!!
С WAN еще хуже, интернет так и не поступает во внутреннюю сеть обмена данными не идет, хотя звонил провайдеру, тот говорит что маршрутизатор подключен и сессия открыта идет....

Вот и ломаю голову что я не так настроил???

Прошу подсказать или указать на мои ошибки и не точность, может рабочий листинг настроек у кого завалялся???

Вот мои настройки:

!
version 12.4
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname Meg@wol't
!
boot-start-marker
boot-end-marker
!
enable secret 5 $1$FMWq$JhB3XfDs13KFko9Z0kHlz1
enable password 7 053D0F0435435C00130428405B5D50
!
aaa new-model
!
!
!
aaa session-id common
!
resource policy
!
no ip dhcp use vrf connected
ip dhcp excluded-address 192.168.1.1 192.168.1.255
!
ip dhcp pool CLIENT
import all
network 192.168.1.0 255.255.255.0
dns-server 192.168.1.1 8.8.8.8
default-router 192.168.1.1
lease 0 2
!
!
vpdn enable
vpdn authen-before-forward
!
!
!
!
!
!
!
bba-group pppoe global
!
!
interface Ethernet0
ip address 192.168.1.1 255.255.255.0
ip nat inside
ip tcp adjust-mss 1452
no cdp enable
hold-queue 32 in
!
interface Ethernet1
no ip address
no ip unreachables
ip tcp adjust-mss 1452
no ip mroute-cache
duplex auto
pppoe enable
pppoe-client dial-pool-number 1
no keepalive
no cdp enable
!
interface Dialer0
ip address negotiated
ip access-group 101 in
ip mtu 1452
ip nat outside
encapsulation ppp
ip tcp adjust-mss 1452
no ip mroute-cache
dialer pool 1
dialer-group 1
no cdp enable
ppp authentication chap pap callin
ppp chap hostname user27031
ppp chap password 7 01055F36635F36
ppp pap sent-username user27031 password 7 01055F36635F36
ppp ipcp dns request
!
ip route 0.0.0.0 0.0.0.0 Dialer0
no ip http server
no ip http secure-server
!
ip nat inside source list 1 interface Dialer0 overload
ip nat inside source list 101 interface Dialer0 overload
ip nat inside source list 102 interface Dialer0 overload
!
access-list 101 permit ip any any
access-list 102 permit ip 192.168.1.0 0.0.0.255 any
dialer-list 1 protocol ip permit
no cdp run
!
control-plane
!
bridge 1 protocol ieee
!
line con 0
exec-timeout 120 0
password 7 122F0C1C06041E0D202A1B7A636476
no modem enable
transport preferred ssh
transport output telnet
line aux 0
exec-timeout 120 0
password 7 053D0F0435435C00130428405B5D50
transport preferred ssh
transport output telnet
line vty 0 4
access-class 1 in
exec-timeout 120 0
password 7 053D0F0435435C00130428405B5D50
transport preferred ssh
transport input telnet ssh
transport output telnet
!
scheduler max-task-time 5000
end


Заранее всем спасибо!!!! Жду Ваших ответов!!!!

Hirurg

1. Забудьте слово telnet

Для SSH:

aaa authentication login default local
ip ssh version 2

access-list 99 permit 192.168.1.2
access-list 99 deny any

line vty 0 4
access-class 99 in

2. Интернет проверяется просто: с циски пингуем "интернет"
если интернета нет - накосячили с подключением
если есть - проблема с acl

на беглый взгляд проблемы с acl
вообще надо вот так:
access-list 1 permit 192.168.1.0 0.0.0.255
access-list 1 deny any

Meg@wolt

Спасибо, попробую

Meg@wolt

Воспользовался вашими советами по настойке...
Вот что получилось:
version 12.4
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname Meg@wol't
!
boot-start-marker
boot-end-marker
!
enable secret ЧЧЧЧЧЧЧЧЧ
enable password ЧЧЧЧЧЧЧЧЧ
!
aaa new-model
!
!
aaa authentication login default local
!
aaa session-id common
!
resource policy
!
no ip dhcp use vrf connected
ip dhcp excluded-address 192.168.1.1 192.168.1.255
!
ip dhcp pool CLIENT
import all
network 192.168.1.0 255.255.255.0
dns-server 192.168.1.1 8.8.8.8
default-router 192.168.1.1
lease 0 2
!
!
ip domain name ЧЧЧЧЧЧЧЧЧ
ip ssh version 2
vpdn enable
vpdn authen-before-forward
!
!
!
username ЧЧЧЧЧЧЧЧЧ privilege 15 secret ЧЧЧЧЧЧЧЧЧ
!
!
!
!
bba-group pppoe global
!
!
interface Ethernet0
ip address 192.168.1.1 255.255.255.0
ip nat inside
ip tcp adjust-mss 1452
no cdp enable
hold-queue 32 in
!
interface Ethernet1
no ip address
no ip unreachables
no ip mroute-cache
duplex auto
pppoe enable
pppoe-client dial-pool-number 1
no keepalive
no cdp enable
!
interface Dialer0
ip address negotiated
ip access-group 101 in
ip mtu 1492
ip nat outside
encapsulation ppp
no ip mroute-cache
dialer pool 1
dialer-group 1
no cdp enable
ppp authentication chap pap callin
ppp chap hostname user27031
ppp chap password ЧЧЧЧЧЧЧЧЧ
ppp pap sent-username user27031 password ЧЧЧЧЧЧЧЧЧ
ppp ipcp dns request
!
ip route 0.0.0.0 0.0.0.0 Dialer0
no ip http server
no ip http secure-server
!
ip dns server
ip nat inside source list 102 interface Dialer0 overload
!
access-list 99 permit ЧЧЧЧЧЧЧЧЧ
access-list 101 permit ip any any
access-list 102 permit ip 192.168.1.0 0.0.0.255 any
dialer-list 1 protocol ip permit
no cdp run
!
control-plane
!
bridge 1 protocol ieee
!
line con 0
exec-timeout 120 0
password ЧЧЧЧЧЧЧЧЧ
no modem enable
transport preferred ssh
transport output ssh
line aux 0
exec-timeout 120 0
password ЧЧЧЧЧЧЧЧЧ
transport preferred ssh
transport output ssh
line vty 0 4
access-class 99 in
exec-timeout 120 0
password ЧЧЧЧЧЧЧЧЧ
transport preferred ssh
transport input ssh
transport output ssh
!
scheduler max-task-time 5000
end
Теперь без проблем удаленно заходит по SSH, телнет я вообще отключил. Благо теперь не надо бегать из комнаты в комнату, а можно спокойно настраивать удаленно Воспользовался советом, заменил все пароли
Интернет пока не проверял отпишусь пойже.....

Meg@wolt

УРА!!!! Интернет тоже заработал!!!! *YAHOO* *THUMBSUP* *BRAVO*

Осталось дело за небольшим... Как я понимаю access-list 101 permit ip any any пропускает все пакеты в обоих направлениях....
Теперь для безопасности файервол бы настроить.... Подскажете в каком направлении двигаться????

Hirurg

ни в каком)) у вас маршрутизатор а не файрвол. Для файрвола вам надо было покупать Cisco ASA

p.s.
вот надо только это
access-list 101 permit ip 192.168.1.0 0.0.0.255 any
а 102 удалить
тогда у вас юзерам будет тоступ в Интернет
а с Интернета доступа в сеть не будет
в большинстве случаев этого достаточно

Meg@wolt

А если поподробней расписать

access-list 101 permit ip 192.168.0.0 0.0.0.255 any
access-list 102 permit tcp any any gt 1023 established
access-list 102 permit tcp any any eq www
access-list 102 permit tcp any any eq smtp
access-list 102 permit tcp any any eq pop3
access-list 102 permit tcp any any eq ftp
access-list 102 permit tcp any any eq ftp-data
access-list 102 permit tcp any any eq domain
access-list 102 permit udp any any eq domain
access-list 102 permit udp any eq domain any
access-list 102 permit tcp any eq domain any
access-list 102 permit icmp any any
access-list 102 deny ip any any
dialer-list 1 protocol ip permit
no cdp run