Newsgroup: it.comp.reti.ip-admin
Titolo: Router in rete con indirizzi non riservati.

Salve, un nostro cliente ha una rete in tcp ip con indirizzo 129.10.0.0.
A Quanto ne so, questo tipo di indirizzo mi sembra che non sia del tipo
riservato per reti non connesse a internet (tipo la classica 192.168.0.0 o
10.0.0.0).
Ora, questo cliente ci ha chiesto la possibilita' di poter accedere a
Internet dai pc, abbiamo quindi installato un router isdn ATI ar 300.
Inizialmente abbiamo configurato questo router con un abbonamento isdn iol
pro ed andava molto bene. Successivamente abbiamo cambiato isp con uno
locale e non ha funzionato piu' nulla.
Succede che il router intercetta correttamente i pacchetti diretti verso
internet e attiva il collegamento. L'autenticazione avviene. Il ppp rimane
su, se si prova a pingare qualche indirizzo in Internet funziona, sia dai
vari client che dalla console del router, i nomi si risolvono correttamente,
ma non funzionano i vari servizi (telnet, www, posta) ne si riesce a fare un
traceroute. Non riesco a capire... com'e' possibile che funzioni il ping e
non il resto ? Ho provato anche ad usare indirizzi numerici invece dei nomi
(ad esempio facendo un telnet alla porta 110 del server della posta con
indirizzo numerico, ma niente).
C'e' la possibilita' che il provider sia configurato in modo tale che
l'address translation non funzioni? (mi sembra assurdo)
Oppure e' il fatto che utilizziamo indirizzi non riservati che ci frega ?
Il provider assegna indirizzi ip dinamicamente non di rete interna (tipo
194.106.106.220).
N.B.: c'e' la remota possibilita' che quando ho condotto le prove, per somma
sfiga, ci fossero problemi dall'isp (lo spero proprio, anche se una
connessione pstn con modem funzionava... boh)
Un grosso grazie a chi mi aiuta.

Oppure e' il fatto che utilizziamo indirizzi non riservati che ci frega ?
Non credo, se il NAT fa il suo lavoro l'ISP non vede alcuna differenza
qualsiasi sia l'indirizzo di rete privata che usate.
--
----------------------------------------------------------------------
Marco Coletti
Network Admin, Webmaster, Tuttologo :)
PGP public key:
http://keys.pgp.com:11371/pks/lookup?op=get&exact=on&search=0x96A79061
Fingerprint: 9F E5 80 61 F6 9F 05 2D  EA 53 6F 2D 82 8B C7 C2
----------------------------------------------------------------------

Un grosso grazie a chi mi aiuta.
Riprova quando tu sia certo che funzioni
Ciao.
____________________
Michele Ferraudo
Torino
email:
ferr...@NONusaRE.net
togli le maiuscole NON e RE per rispondere
ICQ 22344505
Tersite


Infatti.
Potreste spiegarmi una cosa? Il router trasforma i pacchetti che partono, ad
esempio, da 129.10.0.4 in pacchetti che partono sempre da, per dire,
194.106.106.224. E fin qui e' abbastanza semplice. Ma come diavolo fa a
capire con i pacchetti che ritornano da Internet, a quale indirizzo privato
deve mandarli? Inserisce qualche informazione nel pacchetto per poterlo
distinguere al ritorno?


Vi faro' sapere :-)
Grazie.

distinguere al ritorno?
No, si basa sulle porte aperte per ciascuna connessione.


w.x.y.a:A
Anche se per il colmo della sfortuna w.x.y.b avesse usato la stessa
porta sorgente A usata da w.x.y.a, il giochetto funziona lo stesso.
Siccome il NAT non ha una memoria infinita, a un certo punto deve
scartare alcune parti di storia; immagino allora che analizzi i flags
del protocollo TCP per capire quando una connessione TCP viene
terminata e in quel momento marca come "sacrificabile" il
corrispondente record storico.
Quindi mi pare che, oltre ad una eventuale limitazione del numero dei
clients dovuta alla memoria finita del NAT, c'e' una limitazione piu'
importante dovuta al fatto che il NAT deve impersonare tutti i clients
ma avendo a disposizione solo un totale di meno di 65535 porte TCP da
usare come sorgente.  Se per ipotesi ci fossero 1000 clients, ciascuno
con almeno 65 connessioni TCP attive, il NAT sarebbe gia' bello che
saturato.
Se poi si vuole fornire all'esterno dei servizi basati macchine della
rete privata, l'unica soluzione e' che il NAT tenga una tabella di
corrispondenza *fissa* del tipo:
80	->	w.x.y.k:80
21	->	w.x.y.f:21
25	->	w.x.y.r:25
Per cui ogni pacchetto in entrata che non sia classificabile col
metodo di cui sopra puo' essere considerato un potenziale inizio di
connessione verso un servizio interno e traslato opportunamente.


 25 -> w.x.y.r:25
Interessante... e' un altro dei quesiti che mi ero posto.
Ciao.