Newsgroup: it.comp.reti.cisco
Titolo: 827 e Nat

ciao
allora espongo la questione
ho installato una multigroup mega di TI con 8 ip statici, supponiamo:
da 90.43.240.168 a 90.43.240.175     255.255.255.248
ed ip punto-punto 90.43.234.98    255.255.255.252
devo implementare NAT per permettere la navigazione della LAN con classe ip
privati ad es. 
10.10.1.0/24
 e nello stesso tempo permettere a dei server
(DNS, HTTP, MAIL, FTP) con IP pubblici 191.1.1.168 - .169 - .170 - .171 di
essere raggiungibili dall'esterno.
posto di seguito la config presunta, datemi qualche dritta grazie...
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname router
!
enable secret 5 xxxxxxxxxxxxxxxxxxxxxxxxxx
!
ip subnet-zero
ip name-server 151.99.125.2
ip name-server 151.99.125.3
!
!
!
!
interface Ethernet0
 ip address 90.43.240.169 255.255.255.248
 ip nat inside
 hold-queue 100 out
!
interface ATM0
 no ip address
 ip nat outside
 no atm ilmi-keepalive
 dsl operating-mode auto
!
interface ATM0.35 point-to-point
 ip address 90.43.234.98 255.255.255.252
 ip nat outside
 pvc 1/33
  encapsulation aal5snap
 !
!
ip nat inside source list 101 interface ATM0.35 overload
access-list 1 permit 90.43.240.168 255.255.255.248
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.35
no ip http server
!
!
!
line con 0
 stopbits 1
line vty 0 4
 password xxxxxxxxxxxxxxxx
 login
!
scheduler max-task-time 5000
end


premesso che per una cosa del genere ti consiglierei vivamente l'acquisto di
un firewall a cui delegare il nat e il compito di creare una DMZ ove mettere
le macchine pubbliche,
direi che sulla ethernet del router metterei un ip privato ed appoggerei il
nat su una loopback, probabilmente usando il secondo indirizzo della subnet
pubblica che ti ha assegnato telecom; dopodichč ti tappi il naso, definisci
un ip secondary sulla ethernet del router in modo da avere 2 subnet private,
di cui su una attesti le macchine che vuoi rimangano private, mentre
sull'altra le macchine pubbliche; il tutto ben condito da vari PAT ed ACL
adeguate ed il gioco č fatto.
Ciao

 Ciao
interface Ethernet0
 ip address 192.168.1.1 255.255.255.0
 ip address  secondary 192.168.2.1 255.255.255.0
 ip nat inside
 hold-queue 100 out
!
interface Loopback0
ip address 90.43.240.170 255.255.255.248 *(invece del 90.43.240.169)
ip nat outside
!
interface Virtual-Template1
ip unnumbered loopback0
no ip directed-broadcast
ip nat outside
!
interface ATM0
 no ip address
 ip nat outside
 no atm ilmi-keepalive
 dsl operating-mode auto
!
interface ATM0.35 point-to-point
 ip address 90.43.234.98 255.255.255.252
 ip nat outside
 pvc 1/33
  encapsulation aal5snap
!
!
ip nat inside source list 101 interface ATM0.35 overload
ip nat inside source static tcp 191.1.1.168 80 90.43.234.98 80 extendable
ip nat *etc... per gli altri server e "servizi
access-list 1 permit 192.168.1.1 255.255.255.0
access-list 1 permit 192.168.2.1 255.255.255.0
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.35
o qualcosa del genere.... dove mi sono perso?... capirai a quest'ora della
notte non è che sono molto lucido!! :-))
grazie x le dritte!!

 access-list 101 permit 192.168.2.1 255.255.255.0


 ha scritto nel messaggio
news:wmSKa.110$ge4....@news.it.colt.net...



guarda che va alla fine altrimenti tutte le altre che vengono dopo sono
inutili!

 ha scritto nel messaggio
news:Xd2La.126$ge4....@news.it.colt.net...



attenzione che ci sono due ACL: la 101 è per il nat, mentre la 102 è sulla
int esterna, per fiiltrare quel che entra da fuori verso l'interno

 ha scritto nel messaggio
news:9n3La.127$ge4....@news.it.colt.net...



scusami tanto ma non č per far polemica, perň io avevo scritto la acl nel
modo che segue e Ti assicuro che l'ho testata e funziona
access-list 102 deny udp any eq netbios-ss any
access-list 102 deny udp any eq netbios-dgm any
access-list 102 deny udp any eq netbios-ns any
access-list 102 deny tcp any eq 137 any
access-list 102 deny tcp any eq 138 any
access-list 102 deny tcp any eq 139 any
access-list 102 deny tcp any eq 137 any eq domain
access-list 102 deny udp any eq ntp any
access-list 102 deny udp any eq 0 any
access-list 102 permit ip any any
Se invece metto "access-list 102 permit ip any any" alla prima riga, quindi
in via prioritaria rispetto le successive, succede che in pratica non filtro
piů nulla ... correggimi se sbaglio

 ha scritto nel messaggio
news:c1iLa.128$ge4....@news.it.colt.net...


 ha scritto nel messaggio
news:wmSKa.110$ge4....@news.it.colt.net...



teoricamente sì, ma okkio alla sicurezza