我最终尝试在防火墙内设置 PPTP VPN 服务器，但为了首先验证路由器是否配置正确，我尝试通过 Cisco 881 将 SSH 传递到 SSH 服务器 (10.10.100.20)。看来我的配置应该是正确的，但我无法从 Linode 上的 VPS 通过 SSH 返回我的网络。
我排除了调制解调器，因为我将笔记本电脑放在我们的静态 IP 上，并且能够从我的 Linode 通过 SSH 连接到它。一旦路由器挡住了路，我就无法通过 SSH 连接。
这是我的配置
！
！最后一次配置更改是在 2010 年 9 月 22 日星期三 08:51:36 PCTime 由 admin 进行
！
版本 15.0
无服务台
服务 tcp-keepalives-in
服务 tcp-keepalives-out
服务时间戳调试日期时间毫秒本地时间显示时区
服务时间戳日志日期时间毫秒本地时间显示时区
服务密码加密
服务序列号
！
主机名路由器
！
开机启动标记
引导结束标记
！
安全认证失败率 3 log
安全密码最小长度 6
无日志缓冲
没有日志控制台
启用机密 5
！
没有 aaa 新款
内存大小 iomem 10
时钟时区 PCTime -5
时钟夏令时 PCTime 日期 2003 年 4 月 6 日 2:00 2003 年 10 月 26 日 2:00
！
加密 pki 信任点 TP-自签名-1169761916
自签名注册
主题名称 cn=IOS-自签名证书-1169761916
吊销检查无
rsakeypair TP-自签名-1169761916
！
！
加密 pki 证书链 TP-self-signed-1169761916
证书自签名 01
辞职
没有 IP 源路由
！
！
ip dhcp 排除地址 10.0.0.1
ip dhcp 排除地址 10.100.0.1 10.100.10.0
ip dhcp 排除地址 10.100.10.255 10.100.255.254
ip dhcp 排除地址 10.10.100.1 10.10.100.40
ip dhcp 排除地址 10.10.100.150 10.10.100.250
！
IP DHCP 池 CCP-Pool1
全部导入
网络 10.10.10.0 255.255.255.0
dns 服务器 #DNS# #DNS#
默认路由器 10.10.10.1
！
ip dhcp 池 gpool
全部导入
网络 10.100.10.0 255.255.255.0
dns 服务器 #DNS# #DNS#
默认路由器 10.100.10.1
！
ip dhcp 池 wpool
全部导入
网络 10.10.100.0 255.255.255.0
dns 服务器 #DNS# #DNS#
默认路由器 10.10.100.1
！
ip dhcp 池 wgroup
原始文件 wgroup.txt
！
！
网际网络接入框架
没有 ip bootp 服务器
没有 IP 域名查询
ip 域名 viridianspark.com
ip 名称服务器 #DNS#
ip 名称服务器 #DNS#
没有 ipv6 cef
！
！
许可证 udi pid CISCO881W-GN-A-K9 sn FTX143081B2
许可代理通知http://192.168.56.1:9710/clm/servlet/HttpListenServlet虚拟虚拟2.0
！
！
用户名 admin 权限 15 机密 5
！
！
ip tcp synwait 时间 10
ip ssh 超时 60
ip ssh 身份验证-重试 2
！
类映射类型检查匹配任何 ccp-cls-insp-流量
匹配协议 cuseeme
匹配协议 DNS
匹配协议 ftp
匹配协议 h323
匹配协议 https
匹配协议 icmp
匹配协议 imap
匹配协议 pop3
匹配协议 netshow
匹配协议外壳
匹配协议 realmedia
匹配协议 rtsp
匹配协议 smtp
匹配协议 sql-net
匹配协议流工作
匹配协议 tftp
匹配协议 vdolive
匹配协议 tcp
匹配协议 udp
类映射类型检查匹配所有 ccp-insp-流量
匹配类映射 ccp-cls-insp-traffic
类映射类型检查匹配任何 ccp-cls-icmp-access
匹配协议 icmp
匹配协议 tcp
匹配协议 udp
类映射类型检查匹配所有 ccp-invalid-src
匹配访问组 100
类映射类型检查匹配所有 ccp-icmp-access
匹配类映射 ccp-cls-icmp-access
类映射类型检查匹配所有 ccp 协议 - http
匹配协议http
！
！
策略映射类型检查 CCP-允许-ICMPREPLY
类类型检查 CCP-ICMP 访问
检查
类类默认
经过
策略映射类型检查 ccp-inspect
类类型检查 ccp-invalid-src
删除日志
类类型检查 ccp-协议-http
检查
类类型检查 ccp-insp-流量
检查
类类默认
降低
策略映射类型检查 CCP 允许
类类默认
降低
！
区域安全 区域外
区域内安全
区域对安全 ccp-zp-self-out 源自身目标区域外
服务策略类型检查 ccp-permit-icmpreply
区域对安全 ccp-zp-in-out 源区域内目标区域外
服务策略类型检查 ccp-inspect
区域对安全 ccp-zp-out-self 源区域外目标自身
服务策略类型检查 CCP 许可
！
！
！
！
！
！
！
接口快速以太网0
交换机端口访问 VLAN 2
！
接口快速以太网1
交换机端口访问 VLAN 2
！
接口快速以太网2
交换机端口访问 VLAN 2
！
接口快速以太网3
交换机端口访问 VLAN 2
！
接口快速以太网4
描述$ES_WAN$$FW_OUTSIDE$$ETH-WAN$
IP 地址 #EXTERNAL_IP# 255.255.255.252
ip 访问组 VPN
无 IP 重定向
无 IP 不可达
没有 ip 代理 arp
ip nat 外部
ip 虚拟重组
区域成员安全区域外
自动双面打印
自动速度
！
接口 wlan-ap0
描述 服务模块接口用于管理嵌入式AP
ip 未编号 Vlan1
无 IP 重定向
无 IP 不可达
没有 ip 代理 arp
IP 流量入口
arp 超时 0
！
接口 Wlan-GigabitEthernet0
描述 连接嵌入式AP的内部交换接口
交换机端口模式中继
！
接口 Vlan1
描述$ETH-SW-LAUNCH$$INTF-INFO-HWIC 4ESW$$ES_LAN$$FW_INSIDE$
IP 地址 10.10.10.1 255.255.255.0
无 IP 重定向
无 IP 不可达
没有 ip 代理 arp
IP 流量入口
ip nat 内部
ip 虚拟重组
区域成员安全区域内
ip tcp 调整-mss 1452
！
接口 Vlan2
IP 地址 10.10.100.1 255.255.255.0
ip 访问组 102
ip 帮助器地址 10.10.100.104
无 IP 重定向
无 IP 不可达
没有 ip 代理 arp
IP 流量入口
ip nat 内部
ip 虚拟重组
区域成员安全区域内
！
接口 Vlan3
IP地址 10.100.10.1 255.255.255.0
ip 访问组 101
无 IP 重定向
无 IP 不可达
没有 ip 代理 arp
IP 流量入口
ip nat 内部
ip 虚拟重组
区域成员安全区域内
！
ip 转发协议 nd
ip http 服务器
ip http 认证本地
ip http 安全服务器
ip http 超时策略空闲 60 生命 86400 请求 10000
！
ip nat 内部源列表 2 接口 FastEthernet4 过载
ip nat 内部源列表 3 接口快速以太网4 过载
ip nat 内部源列表 4 接口 FastEthernet4 过载
ip nat 内部源静态 tcp 10.10.100.20 22 #EXTERNAL_IP# 22 可扩展
ip 路由 0.0.0.0 0.0.0.0#EXTERNAL_GATEWAY#
！
ip 访问列表扩展 VPN
允许 gre 任何主机 10.10.100.20
允许 TCP 任何主机 10.10.100.20 eq 22
允许 ip 10.0.0.0 0.255.255.255 任意
允许任何 IP
允许任何 ICMP
ip 访问列表扩展 vpn
允许 ip 10.0.0.0 0.255.255.255 任意
！
日志陷阱调试
日志记录 10.10.100.22
访问列表 1 注释 INSIDE_IF=Vlan1
访问列表 1 注释 CCP_ACL 类别=2
访问列表 1 允许 10.10.10.0 0.0.0.255
访问列表 2 注释 CCP_ACL 类别=2
访问列表 2 允许 10.10.10.0 0.0.0.255
访问列表 3 注释 CCP_ACL 类别=2
访问列表 3 允许 10.10.100.0 0.0.0.255
访问列表 4 注释 CCP_ACL 类别=2
访问列表 4 允许 10.100.10.0 0.0.0.255
访问列表 101 允许 ip 10.100.10.0 0.0.0.255 10.100.10.0 0.0.0.255
访问列表 101 拒绝 icmp 10.100.10.0 0.0.0.255 10.10.100.0 0.0.0.255
访问列表 101 拒绝 ip 10.100.10.0 0.0.0.255 10.10.100.0 0.0.0.255
访问列表 101 允许 ip 10.100.10.0 0.0.0.255 任意
访问列表 101 允许 udp any any eq bootpc
访问列表 101 允许 udp any eq bootps
访问列表 102 允许 ip 10.10.100.0 0.0.0.255 10.10.100.0 0.0.0.255
访问列表 102 允许 ip 10.10.100.0 0.0.0.255 任意
访问列表 102 允许 udp any any eq bootpc
访问列表 102 允许 udp any eq bootps
没有运行 CDP
！
！
！
！
！
控制平面
！
横幅执行 ^CCC
欢迎来到丛林。
^C
banner login ^CCC如果路由器坏了，周围没有人浏览互联网，它会丢弃任何数据包吗
^C
！
线路连接 0
登录本地
没有启用调制解调器
传输输出 telnet
辅助线路 0
登录本地
传输输出 telnet
2号线
无激活字符
没有执行
交通 首选 无
运输输入全部
线路 vty 0 4
特权级别 15
登录本地
传输输入 telnet ssh
！
调度程序最大任务时间 5000
调度程序分配 4000 1000
调度程序间隔 500
结尾
答案1
您似乎没有为“出”到“入”流量设置安全区域。您可能需要类似以下内容：
!
class-map type inspect match-any ccp-ssh
match protocol ssh
!
policy-map type inspect ccp-permit-ssh
class type inspect ccp-ssh
inspect
!
zone-pair security ccp-zp-out-in source out-zone destination in-zone
service-policy type inspect ccp-permit-ssh
答案2
尝试从不同的外部端口（例如 2222）转发到本地 IP 上的端口 22。您目前已为 Cisco 启用 SSH，因此这会导致一些问题。
答案3
几个故障排除步骤：
我将删除所有 ACL（删除 IP 访问组语句）以确保无误。您的 NAT 语句在我看来是正确的，但请确保您可以使用 看到它们show ip nat translations。
另外，请记住，ACL 是根据NAT 操作顺序因此您需要将外部接口上的 ssh 规则应用于公共 IP。