Newsgroup: it.comp.reti.cisco
Titolo: indovinare la configurazione di un router in comodato

sto gestendo una piccola rete di circa 50 pc. la rete è collegata a
internet con un contratto telecom full business company 2001 che prevede
8 indirzzi IP pubblici e un router adsl cisco soho 77 in comodato.
finora mi sono occupato della configurazione del firewall linux. non ho
invece accesso al router in comodato: non so come sia configurato e non
posso modificare la sua configurazione (la telecom può, ma se ho ben
capito me lo fa pagare). la configurazione attuale deriva da
un'implementazione precedente che non conosco ma presumo essere molto
semplice. ho provato a chiedere
informazioni al call-center; dopo un lunga e logorante attesa (non si
può parlare direttamente col back-office...) tutto quello che ho
scoperto è che è attivo il PAT da un certo IP pubblico alla rete privata
interna. intanto ho aperto una segnalazione per sperare di avere qualche
dettaglio in più tra qualche giorno.
comunque lo schema - semplicissimo - è più o meno questo:
internet -----> router ------->	firewall ----->	LAN
		cisco		linux
ho fatto dei test e tutto sembra funzionare come si deve: il router fa
PAT verso la rete interna dove si trova il firewall (diciamo per es.  
192.168.10.0/24
) e quest'ultimo, a sua volta, fa SNAT verso la LAN
(per es. 
192.168.0.0/24
). i pc della LAN navigano senza problemi.
ho però notato alcuni comportamenti strani del router e mi piacerebbe 
poter capire a cosa sono dovuti:
1. il call center ha detto che è attivo il PAT da un certo IP pubblico 
a 192.168.10.1. ma il PAT non dovrebbe essere n a 1, cioè da un IP
pubblico a una intera rete di IP privati? non è piuttosto un NAT 
statico? al momento sto usando solo uno degli IP della rete privata 
192.168.10.0/24
 sul lato interno del router assegnandolo al firewall.
2. facendo delle prove da un pc esterno ho notato che richiedendo un
servizio all'IP pubblico su cui è attivo il PAT (vedi punto 1) viene 
fatto un port-forwarding (NAT statico se non sbaglio) sull'IP del 
firewall (lato router). se si tratta di NAT statico è corretto
utilizzarlo anche per il PAT della LAN?
3. richiedendo dei servizi su un'altro IP pubblico mi trovo dei
pacchetti con lo stesso IP pubblico sull'interfaccia lato router del
firewall. naturalmente il firewall li instraderebbe di nuovo verso il
router (li filtra in realtà). cosa significano questi pacchetti? perchè
non vengono nattati?  come mai dei pacchetti con ip pubblico vengono
instradati sull'interfaccia interna del router? forse il router è
configurato in modo da passare alcuni IP pubblici verso l'interno? in
questo ultimo caso mi chiedo se sia una buona cosa, dal momento che il
router ha una sola interfaccia di rete interna e quell'interfaccia
dovrebbe appartenere ad una rete 192.168.10.0.
grazie per i suggerimenti
PS: tengo a precisare che le mie competenze su piattaforma cisco sono
pressochè zero. anche a livello di terminologia può darsi che commetta
delle imprecisioni visto che sono diversi dai loro corrispettivi in
linux (vedi PAT che per me è SNAT o MASQUERADING e simili).
-- 
Leonardo Canducci 
sostituisci CAMBIA con canducci per avere l'indirizzo email corretto

 dovrebbe appartenere ad una rete 192.168.10.0.
provo ad indovinare la config del tuo router, poi magari scrivo una boiata..
chissà..
dunque, secondo me il router ha un ip pubblico configurato sulla eth0, lo
stesso ip è usato su una dialer (un interfaccia virtuale che si appoggia
all'interfaccia fisica adsl) mediante il comando "ip unumbered Ethernet0"
lo stesso ip viene usato per il PAT di tutti gli ip dei client dietro il
router, mediante, per esempio:
ip nat inside source list 101 interface Ethernet0 overload
e con una ACL:
access-list 101 permit ip 192.168.10.0 0.255.255.255 any
il router, sulla ethernet, ha un ip address secondario sulla 
192.168.10.0/24
in modo da poter essere il gateway per le macchine di quella rete:
ip address 192.168.10.1 255.255.255.0 secondary
eventualmente poi una access-list estesa applicata in ingresso sulla dialer
sceglie i servizi da pubblicare verso la pubblica, se ti hanno impostato un
po' di filtraggio
ciao
Gotta

 po' di filtraggio
quindi, se ho capito bene, sulla ethernet del router sono configurati
due indirizzi, uno pubblico e uno privato. ma cosa sta succedendo quando
vengono inoltrati dei pacchetti con uno degli IP pubblici sul lato interno? 
il router sembra instradare questi pacchetti dalla sua eth0 verso una
macchina interna _senza_ fare NAT/PAT; insomma sembra che si aspetti di
trovare una macchina con IP pubblico destinata ad offrire servizi su
internet, sul lato dove è collegato il firewall. o sbaglio?
ciao e grazie 


 internet, sul lato dove è collegato il firewall. o sbaglio?
esattamente. Questo perchè il router fa PAT degli ip che corrispondono alla
ACL 101 (vedi esempio), ma invece non tocca gli ip pubblici che non
corrispondono alla ACL.
Il router quindi gestisce entrambe le reti sulla ethernet, sia la pubblica
che la privata.
Le macchine con indirizzo pubblico dovranno avere come gateway l'ip pubblico
del router.
Visto il tuo caso, io darei un ip pubblico all'interfaccia insicura del
firewall, e farei li il pat.
Inoltre se il tuo firewall ha la possibilità di avere una DMZ in bridge
mode, puoi mettere li i server pubblici, assegnandoci direttamente uno degli
ip pubblici liberi.
Ciao
Gotta

 ip pubblici liberi.
... ma non è meglio nattare anche i server in DMZ? non è più sicuro?
cosa ci guadagno ad assegnargli direttamente un ip pubblico invece che a
nattarli su un'ulterire lan privata? e comunque se metto la DMZ in
bridge mode poi riesco a filtrare i pacchetti destinati ai server con
iptables?
mi sto chiarendo le idee. grazie ancora.


 iptables?
beh volendo puoi nattarli, l'importante č che poi la macchina firewall
risponda anche a quegli ip sulla insicura.
Ciao
Gotta

 risponda anche a quegli ip sulla insicura.
chairo. ma se non faccio il NAT per la DMZ e semplicemente instrado i 
pacchetti, riesco a filtrare con iptables?
ciao


 ciao
Non l'ho mai fatto con una macchina linux, però cercando con google ho
trovato questo:
http://www.sjdjweis.com/linux/bridging/
ciao
Gotta