Misterio: NAT deja de funcionar parcialmente después de 20 min

[carlos.mancilla.c]

Estimados,

   nos pasa algo muy extraño y ya he consultado con varias personas pero no han logrado solucionar este problema. Tenemos una configuración que está funcionando en un router 1710 sin problemas, pero cuando pasamos esa configuración a otro router, en nuestro caso un 1811 y un 3925 esta funciona por un rato y a los 20 min. se cae el servicio que está en la ip interna 192.168.0.129 y a los siguientes 10 min. (30 en total) se caen los servicios que están en la ip interna 192.168.0.11, quedando los demás funcionando sin problemas.

Adjunto la configuración que está en los routers basados en la que está operativa en el router 1710 (ios 12.3), reemplazando las verdaderas ip externas por las 1.2.3.x.

Current configuration : 13182 bytes

!

version 12.3

service timestamps debug datetime msec

service timestamps log datetime msec

service password-encryption

!

hostname ejemplo

!

boot system flash c1710-k9o3sy-mz.122-13.T1

boot system flash c1710-k9o3sy-mz.122-8.YN.bin

enable secret 5 xxxxxxxxxxxxxxxxxx

enable password 7 xxxxxxxxxxxxxx

!

username admin privilege 15 password 7 xxxxxxxxxxxxxxxxxxx

memory-size iomem 25

no aaa new-model

ip subnet-zero

!

!

ip ftp username cisco

ip ftp password 7 xxxxxxxxxxxxxxxxx

ip domain name isp.com

!

ip flow-cache timeout active 1

ip cef

ip inspect name Firewall tcp

ip inspect name Firewall cuseeme

ip inspect name Firewall h323

ip inspect name Firewall rcmd

ip inspect name Firewall realaudio

ip inspect name Firewall streamworks

ip inspect name Firewall vdolive

ip inspect name Firewall sqlnet

ip inspect name Firewall tftp

ip inspect name Firewall udp

ip audit notify log

ip audit po max-events 100

no ftp-server write-enable

!

!

!

!

!

!

interface Ethernet0

description Lado isp Internet

bandwidth 10000

ip address 1.2.3.4 255.255.255.248 secondary

ip address 1.2.3.5 255.255.255.248 secondary

ip address 1.2.3.6 255.255.255.248 secondary

ip address 1.2.3.7 255.255.255.248

ip access-group filtro_escuelum in

no ip proxy-arp

ip nat outside

ip route-cache flow

half-duplex

no cdp enable

crypto map mymap

!

interface FastEthernet0

description Lado Red Interna

ip address 192.168.0.254 255.255.255.0

ip access-group Filtro_Lan in

no ip proxy-arp

ip nat inside

ip inspect Firewall in

ip route-cache flow

speed auto

no cdp enable

!

ip local pool DIAL-IN 192.168.1.1 192.168.1.10

no ip nat service sip udp port 5060

ip nat pool NET0 1.2.3.3 1.2.3.3 netmask 255.255.255.248

ip nat inside source list 101 pool NET0 overload

ip nat inside source static 192.168.0.10 1.2.3.2

ip nat inside source static 192.168.0.13 1.2.3.8

ip nat inside source static 192.168.0.23 1.2.3.9

ip nat inside source static 192.168.0.168 1.2.3.10

ip nat inside source static 192.168.0.2 1.2.3.11

ip nat inside source static 192.168.0.198 1.2.3.12

ip nat inside source static 192.168.0.129 1.2.3.13

ip nat inside source static 192.168.0.9 1.2.3.14

ip nat inside source static 192.168.0.11 1.2.3.15

ip nat inside source static 192.168.0.5 1.2.3.17

ip nat inside source static 192.168.0.6 1.2.3.5

ip nat inside source static 192.168.0.21 1.2.3.4

ip nat inside source static 192.168.0.24 1.2.3.6

ip nat inside source static 192.168.0.201 1.2.3.18

ip nat inside source static 192.168.0.200 1.2.3.19

ip nat inside source static 192.168.0.3 1.2.3.20

ip nat inside source static 192.168.0.7 1.2.3.21

ip classless

ip route 0.0.0.0 0.0.0.0 1.2.3.22

ip route 10.10.0.0 255.255.0.0 192.168.0.1

no ip http server

no ip http secure-server

ip flow-export source FastEthernet0

ip flow-export version 5

ip flow-export destination 192.168.0.8 2055

!

!

!

ip access-list extended Filtro_Lan

deny   tcp any host 192.168.0.1 eq 445

deny   tcp any host 192.168.0.1 eq 135

deny   udp any host 192.168.0.1 eq netbios-ns

deny   udp any host 192.168.0.1 eq 1434

permit ip any any

ip access-list extended filtro_escuelum

permit tcp host 1.2.3.23 any eq telnet

permit tcp host 1.2.3.24 any eq telnet

permit icmp 1.2.0.0 0.0.255.255 1.2.3.25 0.0.0.7 time-exceeded

permit icmp 1.2.0.0 0.0.255.255 1.2.3.25 0.0.0.7 echo

permit icmp 1.2.3.25 0.0.0.7 any echo

permit icmp 1.2.3.25 0.0.0.7 any time-exceeded

permit icmp host 1.2.3.22 host 1.2.3.7 echo log

permit icmp host 1.2.3.22 host 1.2.3.7 echo-reply log

permit tcp any host 1.2.3.14 eq www

permit tcp any host 1.2.3.8 eq 407

permit tcp any host 1.2.3.8 eq 139

permit tcp any host 1.2.3.8 eq 427

permit tcp any host 1.2.3.8 eq 548

permit tcp any host 1.2.3.8 eq 1417

permit tcp any host 1.2.3.8 eq 1418

permit tcp any host 1.2.3.8 eq 1419

permit tcp any host 1.2.3.8 eq www

permit tcp any host 1.2.3.8 eq 1024

permit tcp any host 1.2.3.8 eq 1420

permit tcp any host 1.2.3.8 eq 19813

permit tcp any host 1.2.3.8 eq ftp

permit tcp any host 1.2.3.8 range ftp-data 24

permit tcp any host 1.2.3.14 eq ftp-data

permit tcp any host 1.2.3.14 gt 1023

permit tcp any host 192.168.0.51 eq 1175

permit udp any host 192.168.0.51 eq 1175

permit udp any host 192.168.0.51 eq domain

permit udp any host 192.168.0.51 eq tftp

permit tcp any host 192.168.0.51 range 1000 65535

permit udp any host 192.168.0.51 range 1000 65535

permit tcp any host 1.2.3.8 gt 1023

permit ip any host 1.2.3.8

permit tcp any host 1.2.3.7 eq 47

permit gre any host 1.2.3.7

permit tcp any host 1.2.3.7 eq 1723

permit ip 192.168.1.0 0.0.0.255 any

permit ip any host 192.168.1.0

permit icmp any host 192.168.1.1

permit icmp 192.168.1.0 0.0.0.255 any

permit ip any host 192.168.1.1

permit ip host 1.2.3.26 any

permit ip any host 1.2.3.26

permit ip 1.2.3.27 0.0.0.7 any

permit icmp 1.2.3.27 0.0.0.7 any echo

permit icmp 1.2.3.27 0.0.0.7 any time-exceeded

permit tcp any 1.2.3.27 0.0.0.7 gt 1023

permit udp any 1.2.3.27 0.0.0.7 gt 1023

permit tcp any host 1.2.3.9 eq 8080

permit tcp any host 1.2.3.9 range ftp-data ftp

permit tcp any host 1.2.3.14 eq domain

permit udp any host 1.2.3.14 eq domain

permit tcp any host 192.168.0.23 gt 1023

permit tcp any host 1.2.3.9 eq 2222

permit tcp any host 192.168.0.21 gt 1023

deny   tcp 0.0.0.0 255.255.255.0 any eq 1863

deny   tcp any any eq 1863

deny   tcp any eq 1863 any

permit tcp any host 1.2.3.9 gt 1023

permit tcp any host 1.2.3.9 eq 81

permit tcp any host 1.2.3.15 eq ftp-data

permit tcp any host 1.2.3.15 eq www

permit tcp any host 1.2.3.9 eq ftp-data

permit icmp 1.2.3.28 0.0.0.7 any echo

permit icmp 1.2.3.28 0.0.0.7 any time-exceeded

permit ip 1.2.3.28 0.0.0.7 any

permit tcp any host 1.2.3.11 range www 81

permit tcp any host 1.2.3.11 eq 139

permit tcp any host 1.2.3.11 eq 407

permit tcp any host 1.2.3.11 eq 427

permit tcp any host 1.2.3.11 eq 443

permit tcp any host 1.2.3.11 eq 548

permit tcp any host 1.2.3.11 eq 3283

permit tcp any host 1.2.3.11 eq 5900

permit tcp any host 1.2.3.11 eq 3689

permit tcp any host 1.2.3.11 eq 8770

permit tcp any host 1.2.3.11 eq 5901

permit udp any host 1.2.3.11 range netbios-ns netbios-dgm

permit udp any host 1.2.3.11 eq 3283

permit udp any host 1.2.3.11 eq 5900

permit tcp any host 1.2.3.19 eq www

permit tcp any host 1.2.3.19 eq 5995

permit tcp any host 1.2.3.9 eq www

permit icmp any host 1.2.3.19 echo

permit icmp any host 1.2.3.19 time-exceeded

permit tcp any host 1.2.3.14 eq 22

permit tcp any host 1.2.3.14 eq smtp

permit tcp any host 1.2.3.14 eq pop3

permit tcp any host 1.2.3.14 eq 143

permit tcp any host 1.2.3.29 eq smtp

permit tcp any host 1.2.3.29 eq pop3

permit tcp any host 1.2.3.29 eq 143

permit tcp any host 1.2.3.14 eq ftp

permit tcp any host 1.2.3.15 eq ftp

permit tcp any host 1.2.3.10 eq 22

permit tcp any host 1.2.3.10 eq 3789

permit tcp any host 1.2.3.30 eq 3789

permit tcp any host 192.168.0.168 eq 3789

permit tcp host 1.2.3.30 any

permit tcp any host 1.2.3.10 eq 3306

permit tcp any host 1.2.3.10 eq 8080

permit tcp any host 1.2.3.10 eq www

permit ip any host 1.2.3.10

permit ip any host 1.2.3.30

permit ip host 1.2.3.30 any

permit tcp any host 1.2.3.11 range ftp-data ftp

permit tcp any host 1.2.3.11 gt 1023

permit tcp any host 1.2.3.11 eq 135

permit udp any host 1.2.3.11 eq netbios-ns

permit udp any host 1.2.3.11 eq netbios-dgm

permit tcp any host 1.2.3.11 eq 445

permit tcp any host 1.2.3.12 eq www

permit icmp any host 1.2.3.12 echo

permit icmp any host 1.2.3.12 time-exceeded

permit tcp any host 1.2.3.7 eq 22

permit udp any host 192.168.0.1 range snmp snmptrap

permit tcp any host 1.2.3.20 eq www

permit tcp any host 1.2.3.13 eq www

permit tcp any host 1.2.3.13 eq ftp-data

permit tcp any host 1.2.3.13 range 49152 65534

permit tcp any host 1.2.3.13 eq ftp

permit tcp any host 1.2.3.13 eq 5903

permit tcp any host 1.2.3.15 eq 143

permit tcp any host 1.2.3.15 eq pop3

permit tcp any host 1.2.3.15 eq smtp

permit tcp any host 1.2.3.15 eq 3789

permit tcp any host 1.2.3.17 eq smtp

permit tcp any host 1.2.3.17 eq pop3

permit tcp any host 1.2.3.17 eq 143

permit tcp any host 1.2.3.17 eq www

permit tcp any host 1.2.3.17 eq 22

permit tcp any host 1.2.3.13 range 5901 5929

permit tcp any host 1.2.3.5 range 19813 19817

permit tcp any host 1.2.3.5 eq 5995

permit tcp any host 1.2.3.5 range 137 139

permit udp any host 1.2.3.5 range netbios-ns netbios-ss

permit tcp any host 1.2.3.5 eq 135

permit tcp any host 1.2.3.5 eq 445

permit tcp any host 1.2.3.5 eq www

permit tcp any host 1.2.3.4 eq 3789

permit tcp any host 1.2.3.13 range 3788 3790

permit tcp any host 1.2.3.6 eq www

permit tcp any host 1.2.3.5 eq 19822

permit tcp any host 1.2.3.5 eq 19823

permit tcp any host 1.2.3.5 eq 8081

permit tcp any host 1.2.3.5 eq 8082

permit tcp any host 1.2.3.5 eq 19824

permit tcp any host 1.2.3.18 eq 22

permit udp any host 1.2.3.18 eq 4569

permit udp any host 1.2.3.18 eq 5060

permit udp any host 1.2.3.18 range 10000 10500

permit tcp any host 1.2.3.18 eq www

permit tcp any host 1.2.3.18 eq 443

permit tcp any host 1.2.3.5 eq 19832

permit tcp any host 1.2.3.5 eq 19833

permit tcp any host 1.2.3.5 eq 19834

permit tcp any host 1.2.3.5 eq 8083

deny   ip host 209.51.135.233 any

deny   ip host 216.108.231.236 any

permit tcp any host 1.2.3.2 eq www

permit tcp any host 1.2.3.2 range ftp-data ftp

permit tcp any host 1.2.3.15 eq 2525

permit tcp any host 1.2.3.15 eq 8080

permit tcp any host 1.2.3.19 eq 8081

permit tcp any host 1.2.3.4 eq 8080

permit tcp any host 1.2.3.2 eq 8080

permit tcp any host 1.2.3.19 eq 443

permit tcp any host 1.2.3.19 eq 5900

permit tcp any host 1.2.3.19 eq 8080

permit tcp any host 1.2.3.19 eq 139

permit tcp any host 1.2.3.19 eq 548

permit tcp any host 1.2.3.19 eq 8008

permit tcp any host 1.2.3.19 eq 8443

permit tcp any host 1.2.3.21 eq www

permit tcp any host 1.2.3.13 eq 3791

permit tcp any host 1.2.3.20 eq 443

permit tcp any host 1.2.3.21 eq 22

permit tcp any host 1.2.3.20 eq 2002

permit tcp any host 1.2.3.13 eq 6443

permit tcp any host 1.2.3.20 eq 22

ip access-list extended forwarding

permit tcp any host 192.168.0.100 eq 2525

access-list 1 permit 192.168.0.2

access-list 99 permit 192.168.0.30

access-list 99 deny   any log

access-list 101 deny   ip host 192.168.0.10 any

access-list 101 deny   ip host 192.168.0.2 any

access-list 101 permit ip 192.168.0.0 0.0.0.255 any

snmp-server community public RO

snmp-server ifindex persist

snmp-server enable traps tty

no cdp run

!

privilege exec level 1 ping

privilege exec level 1 clear arp-cache

privilege exec level 1 clear counters

privilege exec level 1 clear

!

line con 0

line aux 0

line vty 0 4

password 7 xxxxxxxxxxxxxxxx

login local

transport input telnet ssh

!

no scheduler allocate

!

end

Además hicimos un último intento agregando el comando ip virtual-reassembly in en la configuración de las interfaces, pero el problema sigue igual.

Tampoco funciona borrando la tabla de NAT clear ip nat translations *. La única forma que vuelve a funcionar es reseteando el router.

¿Que puede estar fallando?¿Porque funciona un rato y deja de funcionar?.

De antemano muchas gracias !!!.