Newsgroup: it.comp.reti.cisco
Titolo: NAT: Telnet e VPN

Salve a tutti.
Spero perdonerete la ignoranza, ma ho un probemino relativo al Telnet.
Ho un router che fa fa "nat overload"...
L'interfaccia esterna "outside" (linea ADSL), ha un indirizzo IP statico.
Tutti i servizi configurati sul router funzionano alla grandissima, eccetto
il telnet!
Dall'interno sull'interfaccia LAN, tutto fila liscissimo.
Dall'esterno no. Se mi connetto ad Internet con il mio modemino 56K e tento
di fare telnet sulla interfaccia esterna... "ciccia". Non va. "Impossibile
connettere...".
La connettività IP c'è. Utilizzo un sito web situato dietro quel router
("nat static").
Ho fatto 100 ipotesi su NAT e ed eventuali route-map... qualcuno mi sa dire
come posso risolvere questo problema?
Grazie a tutti per il vostro aiuto.
JOSabor
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Salve a tutti.
[Cut...]
Aspetta su chi vuoi fare telnet, sul router o su un particolare
server nattato ?
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFCrNhuuxRXtjsR9sRA2h+AKCDpu/UtlGDBB2Bcu7vvp0hj9DqgwCfWXDK
EFbnQGL14PFkQGWgbiH3vDQ=
=MhqN
-----END PGP SIGNATURE-----

No no...
Semplicemente sul router.
Lui ha una interfaccia su internet, io ho una interfacia su internet... e
voglio fare "telnet".
Tutto qui.
Se voglio raggiungere un server nattato, ci riesco.
E' proprio sul router che non riesco...
Per raggiungere un server interno faccio un "NAT static"... ma per avere una
sessione telnet con il router?
Grazie infinite per il tuo aiuto.
JOSabor

--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 JOSabor
Aspetta, tu vuoi telnettare il tuo router da internet, nel senso che il
tuo pc sta su internet e vuoi poter entrare in console sul router
telnettando l'ip assegnato alla dialer.
Direi che forse il problema risiede sul fatto che hai delle acl che
limitano l'accesso sulla VTY...
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFCwzjuuxRXtjsR9sRA8pwAKCrmkwJ4mMmFiPC5mas62u8iOPObgCfRdKe
V3JtKHBvlpMmVriWjKcXE8g=
=4h72
-----END PGP SIGNATURE-----

Purtroppo credo di no.
L'unica ACL presente nella conf ha una sola riga:
"asccessl-list 101 permit any any"
E'
 il "match address" della route-map, applicata alla interfaccia inside.
Sulla VTY c'è cnfigurata una "authorization" (banale), che non credo che
costituisca problema.
Non è unproblema di accesso, ma proprio di connessione (logica).
Da internet il router non mi risponde nemmeno al ping.
Incollo qui sotto la configurazione...
Grazie infinite per il vostro aiuto.
JOSabor
==================================================
!
! No configuration change since last restart
! NVRAM config last updated at 00:35:37 ITA_sol Mon Sep 11 2006 by jo
!
version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname KKKK
!
boot-start-marker
boot-end-marker
!
enable secret 5 $1$y/JZ$PIfRuKNLw9vWuNN2mBv/Q0
!
username jo privilege 15 secret 5 $1$QHG/$vCeTmLGbdwxLW5U1TxlSZ.
clock timezone ITA(+1) 1
clock summer-time ITA_solare recurring last Sun Mar 2:00 last Sun Oct 2:00
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
aaa new-model
!
!
aaa authentication banner  
*******************************************************
* *
* A T T E N Z I O N E *
* *
* xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx. *
* xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx. *
* *
* - Hai al massimo 3 tentativi per autenticarti. - *
*******************************************************
 
aaa authentication fail-message
* Tentativo fallito, "riprova e controlla"... :-) *
 
aaa authentication login useraccess local
aaa authorization exec exec-auth local
aaa session-id common
ip subnet-zero
!
!
ip domain lookup source-interface FastEthernet0
ip domain name 
johome.ictsolutions.it
ip host 
KKKK.YYYY.XXXX.it
 192.168.1.1
ip host 
WWWW.YYYY.XXXX.it
 192.168.1.2
ip host dns ns 
KKKK.johome.ictsolutions.it
ip host krypto 217.133.84.146
ip name-server 195.130.224.18
ip name-server 195.130.225.129
no ip dhcp conflict logging
ip dhcp excluded-address 192.168.1.1 192.168.1.5
ip dhcp ping packets 1
ip dhcp ping timeout 100
ip dhcp limited-broadcast-address
ip dhcp binding cleanup interval 300
!
ip dhcp pool johome
   network 192.168.1.0 255.255.255.240
   dns-server 192.168.1.1
   netbios-node-type h-node
   default-router 192.168.1.1
   domain-name 
johome.ictsolutions.it
   netbios-name-server 192.168.1.2
!
!
ip cef
ip audit po max-events 100
no ftp-server write-enable
!
!
!
!
!
no crypto isakmp enable
!
!
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 dsl operating-mode auto
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
!
interface FastEthernet0
 ip address 192.168.1.1 255.255.255.240
 ip nat inside
 speed 100
 full-duplex
!
interface Dialer1
 ip address negotiated
 ip nat outside
 encapsulation ppp
 dialer pool 1
 ppp chap hostname 
jori...@tiscali.it
 ppp chap password 7 030D581F15002D595A00160B04
 ppp pap sent-username 
jori...@tiscali.it
 password 7
08284F5A1A1609020602030A39
!
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1 permanent
no ip http server
no ip http secure-server
ip nat inside source static tcp 192.168.1.2 21 interface Dialer1 21
ip nat inside source static tcp 192.168.1.2 20 interface Dialer1 20
ip nat inside source static tcp 192.168.1.2 9999 interface Dialer1 9999
ip nat inside source route-map natmap interface Dialer1 overload
ip nat inside source static tcp 192.168.1.2 4662 interface Dialer1 4662
ip nat inside source static udp 192.168.1.2 4672 interface Dialer1 4672
!
ip dns server
ip dns primary 
johome.ictsolutions.it
 soa 
KKKK.YYYY.XXXX.it
 ad...@iXXXX.it
21600 300 7776000 86400
ip dns primary 1.168.192.in-addr.arpa soa 
KKKK.YYYY.XXXX.it
 ad...@XXXX.it
21600 300 7776000 84600
!
!
access-list 101 permit ip any any
!
route-map natmap permit 1
 match ip address 101
!
!
control-plane
!
!
line con 0
line aux 0
line vty 0 4
 authorization exec exec-auth
 login authentication useraccess
line vty 5 15
 authorization exec exec-auth
 login authentication useraccess
!
ntp clock-period 17180037
ntp server 193.204.114.105
!
end
====================================

--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 
Ecco l'errore:
access-list 101 permit ip any any
Devi cambiarla in:
access-list 101 permit ip 192.168.1.0 0.0.0.15
Prova con questa modifica.
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFC9jauuxRXtjsR9sRAxhuAKD5HasozrgSYUPtOVtTJf/VcKLY+wCgkZSU
BCjUEm9WIGAR2EvMkmrphd0=
=yaer
-----END PGP SIGNATURE-----

[risultato]
E certo!!!
Funzia alla gradissima!
Il processo NAT con "any any" tenta di nattare qualsiasi cosa
indisitintamente.
Un debug mi ha mostrato che non sapendo come nattare l'indirizzo di
destinazione (non c'è un mapping) nattava solo la porta ( pre via
dell'overload).
Mi domando come mai non funzionassero i "deny" che avevo provato prima del
permit... matchavano certamente...
Ma adesso mi interessa molto meno scoprire quell'errore.... :-)
[Risata]
una soluzione "poco ortodossa" esisteva... te la scrivo:
"ip nat inside source static tcp [outside ip address] 23 interface dialer1
23"
Funziona... ma è davvero troooooooopppo "sporca"!
GRAZIE INFINITE per il tuo aiuto.
Preziosissimo e risolutivo.
JOSabor

--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 JOSabor
Hartigan
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFC+YluuxRXtjsR9sRA6oBAJ4jvAbxpZU6bvAuiFFEwe8e84A9YgCfR/yU
8LWdJBCV4MLmTs8HBpjek18=
=lx20
-----END PGP SIGNATURE-----