前言:
想問一下各位大大有沒有人熟悉思科9300交換器的
我在客戶端建置一個很簡單獨立環境架構
ATUR—L3交換器（c9300)—L2交換器
L3交換器上長個種不需求的SVI當Gateway都有做HSRP下面再接一台cisco 9200當L2中間綁
lacp port-channel並打trunk all
L3交換器還扮演DHCP server(測試過PC接到L2交換器後可拿到指定網段及DNS IP)
依照客戶的標準會使用Route-map去包ACL
我是將NAT Pool A指定route-map
config如下
ip nat pool Inside_Trasfer_pool (start Public IP to end public IP) netmask 25
5.255.255.224
ip nat inside source route-map Inside_NAT_Policy pool Inside_Trasfer_pool over
load
SVI GW:ip nat inside
交換器其中一個physical port指定為route port設定public IP並設定為ip nat outside
路由設定為ip route 0.0.0.0 0.0.0.0 小烏龜public IP
L2接PC後可以成功拿到IP並可Ping到外網(168.95.1.1、8.8.8.8)
但開啟Web無法顯示網頁，在L3交換器上show ip nat translation及debug ip nat detai
led都沒有看到udp 53 port
查修:
用電腦直接接小烏龜並設定IP為交換器NAT後的pubic IP可使用Web(URL可成功解析為IP)
在L3交換器上用span抓取封包只看到其他協定的封包有source為轉譯成功的IP
DNS的封包都是帶我SVI的private IP所以無法成功回應
最後把route map拿掉改單純使用Extend ACL 就可有成功DNS解析
抓封包看source也成功轉成pool內的public IP destination 168.95.1.1及source為168.
95.1.1 destination 為pool中的public IP
結論:
使用Route-map match ACL中permit的IP address的方式無法使DNS協定的private IP成功
轉譯成pool中的pubic IP
單純只使用ACL DNS可成功轉譯網路服務也正常
想問一下為甚麼多套一層route-map會無法work有人知道嗎?謝謝
▂