Newsgroup: it.comp.reti.cisco
Titolo: Neofita e PIX501 configurazione di base e port forwarding

Mi sto cimentando nella configurazione di un PIX501 il cui scopo oltre
a quello di proteggere la rete sara' quello di rendere disponibile un
servizio WEB molto semplice a un ristretto numero di IP (fissi e che
gia' conosco) pubblici.
Dato che sono a zero in fatto di configurazione di dispositivi CISCO
volevo un vostro parere/consiglio su questa mia idea in merito alla
configurazione (ricavata dopo un giretto su 
cisco.com
 e 
google.com
):
1 - lasciar perdere PDM e usare la CLI :)
2 -
LAN (indirizzi 10.x.x.x/24)
|
firewall PIX501 (Ip inside 10.x.x.1/24, outside <ip pubblico aggiuntivo
fornito dal provider>)
|
router (Zyxel in bridge mode)
....
Ora arrivano le istruzioni che pensavo di mettere per settare il
firewall, ho usato come base di partenza le istruzioni che si trovano
sul sito OpenSkills:
nameif ethernet0 outside security0
nameif ethernet1 inside security100
ip address outside <indirizzo ip aggiutivo fornito dal provider>
255.255.255.0
ip address inside 10.x.x.1 255.255.255.0
hostname pixfw
arp timeout 14400
names
name 10.x.x.x web_int
* name <indirizzo ip pubblico fornito dal provider e diverso
dall'indirizzo ip outside del FW) web_est
pager lines 24
logging buffered debugging
nat (inside) 3 10.x.x.x 255.255.255.0
global (outside) 3 <indirizzo ip aggiuntivo diverso dall'IP del FW e
del web_est>
** route outside 0 0 xxx.xxx.xxx.254 1
static (inside, outside) web_int web_est netmask 255.255.255.255 0 0
access-list accessoweb permit tcp any host web_est eq 80
access-group accessoweb in interface outside
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323
0:05:00 sip 0:30:00 sip-media 0:02:00 timeout uauth 0:05:00 absolute
e poi un write mem :)
Ho ignorato il fatto di limitare gli indirizzi da cui autorizzare le
richieste web ma credo basti cambiare "any" con l'elenco degli ip da
autorizzare.
Ora io ho dei dubbi sulle istruzioni precedute dall'asterisco:
* - e' giusto procedere in questo modo? Ed e' gia' a posto cosi' per
quanto riguarda la raggiungibilita' del fw da internet e la navigazione
in internet dei client? O devo sostituire gli ip pubblici con ip di un
altra rete tipo 192.168.1.x e poi mappare sul router una corrispondenza
1 a 1 tra gli ip?
** come ci si comporta con questa istruzione nel mio caso? Sostituisco
ovviamente l'indirizzo ip terminante con 254 con quello del gateway
remoto fornitomi dal provider ed esso funzionera' o in questo caso
metto l'ip lato lan del router? A rigor di logica dovrebbe essere
l'indirizzo IP lato Lan del mio router che poi si arrangera' ad
inoltrarlo al gateway remoto.
Insomma quello che non mi quadra molto e' tutto il giro di indirizzi ip
e mappature varie. E anche se non ho molti problemi di fermo macchine
(anche se stanno ferme 10 ore con internet non e' un problema) volevo
ovviamente evitare di fare un attacca-stacca-resetta a configurazione
di fabbrica.
Grazie in anticipo per il vostro aiuto, e buon anno!
Diego

 del web_est>
 > * - e' giusto procedere in questo modo? Ed e' gia' a posto cosi' per
 > quanto riguarda la raggiungibilita' del fw da internet e la
 > navigazione in internet dei client? O devo sostituire gli ip pubblici
 > con ip di un altra rete tipo 192.168.1.x e poi mappare sul router una
 > corrispondenza 1 a 1 tra gli ip?
Se riesci ad evitare di fare doppio NAT (sia sul Cisco che sullo Zyxel) 
e' meglio. Quindi ti tieni la rete interna 10.x.x.x, e la tua rete 
pubblica - supponiamo ad esempio 1.1.1.0 - 1.1.1.7
A questo punto l'indirizzo IP esterno del Cisco e' 1.1.1.1, l'IP interno 
dello Zyxel e' 1.1.1.2 (che e' anche il default route del Cisco), l'ip 
pubblico del tuo servizio Web e' 1.1.1.3.
Per la navigazione, ti basta il NAT che hai gia' definito, e il default 
route correttamente configurato. Per la raggiungibilita' del tuo 
servizio Web da internet, credo che dovrai aggiungere sul *Cisco* un NAT 
statico per l'host che pubblica il tuo servizio Web. Purtroppo non 
ricordo i comandi esatti, io uso il PDM (:-)
Qualcun altro ci potra' dare un suggerimento?
HTH
--
Francesco