Newsgroup: it.comp.reti.locali
Titolo: doppio NAT, broadcast e strano comportamento del router cisco

mi trovo in questa situazione:
ho un router in comodato da telecom sul quale non posso mettere le mani
e del quale non conosco la configurazione (!).  questo router fa NAT
verso una rete 192.168.0.0 dove c'è una sola macchina, una linux box,
che fa da firewall/router per la LAN interna.  naturalmente anche il
firewall linux deve fare NAT per permettere la navigazione in internet
dalla LAN.  quindi un pc su una LAN che vuole andare in internet viene
"nattato" prima da firewall e poi ancora da router cisco. 
per intenderci un pacchetto proveninete da 192.168.10.5 (LAN) e con 
destinazione WAN viene nattato dal firewall (l'indirizzo sorgente diventa
quello del firewall, per es 192.168.0.1) e poi ancora dal router cisco, 
per uscire su WAN con uno degli 8 indirizzi pubblici disponibili.
mi chiedevo: ci sono controindicazioni a questa situazione dove viene
effettuato il NAT due volte? c'è una soluzione più 
pulita/sicura/elegante di questa? quale sarebbe la soluzione più sensata
in questo contesto?
secondo problema: 
monitorando il traffico con iptraf vengono rilevati dei pacchetti 
provenienti da macchine della LAN con destinazione 
192.168.10.255:137
(broadcast netbios). la cosa mi sorprende perchè l'interfaccia del fw
sulla LAN non è in promiscuous mode e iptables droppa tutti i pacchetti
in input dalla lan (compaiono nei log generati da iptables).  allora 
come fa un'applicazione in userspace a vederli? è possibile che il
firewall li accetti per "forwardarli" indietro sulla LAN?
terzo problema:
nei log di iptables trovo dei pacchetti scartati dalla catena forward
che entrano nel firewall dall'interfaccia verso il router cisco e hanno
come destinazione uno degli indirizzi pubblici a disposizione. il
firewall li scarta (dovrebbe rispedirli indietro per la default route,
cioè verso il router). com'è possibile questo? perchè il router mi
inoltra dei pacchetti senza nattarli?
ciao
PS non posso modificare la configurazione del router telecom. la telecom
può ma me lo fa pagare.
PPS sto postando sul ng giusto?
-- 
Leonardo Canducci 
sostituisci CAMBIA con canducci per avere l'indirizzo email corretto

 "nattato" prima da firewall e poi ancora da router cisco. 
Ti diro', questo tuo post ha catturato la mia attenzione: ho una
situazione analoga in un'altra sede della mia azienda. Anche in questo
caso c'e' di mezzo il solito Cisco 800 di proprieta' Telekozz che
effettua il NAT con un PC a fare da firewall (OpenBSD 3.4, non Linux, ma
il discorso non cambia). La medesima configurazione a casa mia funziona
senza problemi (con la differenza che il router e' mio, non e' un Cisco
ma c'e' anche in quel caso il doppio NAT) mentre li' invece ho notato
anche io il medesimo traffico sulle porte NetBios da indirizzi della LAN
e non solo, il doppio NAT non va minimamente nel senso che non si riesce
in nessun modo a fare uscire il client di test su Internet. Credo non mi
rimarra' altro che chiedere a Telekozz di far rimuovere il NAT mediante
il solito form di 
http://www.cgi.interbusiness.it
 e far fare il NAT solo
alla macchina OpenBSD. Nell'altra sede avevo in precedenza un'altra
macchina OpenBSD (poi purtroppo per scelte aziendali sostituita con un
Netscreen 10, un oggetto pietoso, a mio avviso, che non fa nemmeno un
logging decente a meno di usare prodotti di terze parti tipo quelli di
WebSense) e li' la configurazione era differente nel senso che il
firewall faceva NAT, il router nessun NAT ed usavo l'IP pubblico WAN
(uno di un pool di 16) per nattare l'intera LAN.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 in nessun modo a fare uscire il client di test su Internet. Credo non mi
un momento. io non ho alcun problema con la navigazione in internet dei 
miei client. mi sto solo chiedendo quale sarebbe il modo migliore di 
procedere e se è meglio evitare il doppio NAT.
semmai l'unica cosa che mi preoccupa è non conoscere la configuazione
del router telecom. e gli effetti si vedono. per esempio questi
pacchetti instradati dal router al firewall con destinazione uno degli 
ip pubblici 80.x.x.x (che dovrebbero essere nattati verso l'ip del
firewall 192.168.0.x). mah!


 procedere e se è meglio evitare il doppio NAT.
Nemmeno li', usando semplicemente il router come def gw non c'e' nessun
problema con la navigazione: e' passando attraverso il doppio NAT che
non si riesce piu' ad uscire.


 inoltra dei pacchetti senza nattarli?
nessun ha un suggerimento per questo problema? cosa può essere? router
mal configurato? purtroppo io sono subentrato a un collega nella
gestione di questo firewall (che ho completmente reimplementato) ma non
conosco a fondo i dettagli della sua configurazione e, in particolar
modo su router, posso solo tirare a indovinare...
