Newsgroup: it.comp.reti.cisco
Titolo: Collegamento sedi remote

Salve a tutto l'NG,
non sono un'espertissimo di reti IP e non conosco i router Cisco. La 
mia è pricipalmente una richiesta di fattibilità.
Situazione:
In sede abbiamo un router Cisco 1841 a cui è collegata una linea ?DSL. 
Tale linea dovrebbe collegarci con le filiali sparse sul teritorio, le 
quali possiedono uguale apparecchiatura.
Tutte le LAN delle filiali sono su subnet:
in sed 192.168.xxx.0/24  (modificabile)
filiale1 
192.168.0.0/254
 (non modificabile)
filiale2 
192.168.0.0/254
 (non modificabile)
filiale3 
192.168.0.0/254
 (non modificabile - insomma sempre uguale)
Le interfacce pubbliche dei router sono su subnet:
in sede  
10.0.10.0/24
 (modificabile)
filiale1 
10.0.20.0/24
 (modificabile)
filiale2 
10.0.30.0/24
 (modificabile)
filiale3 
10.0.40.0/24
 (modificabile)
ecc ...
E' possibile collegare la LAN della sede con quella di tutte le 
figliali, in modo che dalla sede vedo tutte le LAN delle filiali, ma 
le filiali non possono vedersi tra loro?
Faccio notare che gli IP della LAN della filiale1 sono usati anche 
dalla LAN della filiale2, ecc...
Io pensavo ad un'escamotage del genere: l'interfaccia pubblica del 
cisco in sede avrà più IP (10.0.10.1,10.0.20.1, ecc..), così come la 
privata (192.168.1.254,192.168.2.254,ecc ...). Con una serie di regole 
di routing posso/volgio (?!) ottenere che: 
collegandomi al 192.168.1.254 esco tramite 10.0.10.1,
collegandomi al 192.168.2.254 esco tramite 10.0.20.1, ecc...
In linea di massimo il ragionamento è corretto? E' implemntabile una 
rete del genere?
Grazie per la pazienza e l'aiuto.
-- 
Gabriele Chervatin

 Gabriele Chervatin
Se le linee ADSL attraversano Internet non puoi utilizzare la rete 
10.0.0.0/8
 perché
č un indirizzo privato, quindi devi possedere un indirizzo pubblico 
registrato, che puoi richiedere
al tuo ISP.
Se poi la linea ADSL č un data-wan privato allora ok...
Per le regole di accesso, ritengo sia piů semplice impostare delle regole al 
firewall o creare delle
access list che servono, tra le altre cose, anche a regolare il traffico dei 
pacchetti IP.
Andrea. 

 ha scritto nel messaggio 
news:Xns9691770EF199Ec...@151.99.250.3...

quoto quanto detto da andrea....
francamente io invece di infilarmi in politiche di routing che cmq non ti 
garantirebbero sicurezza nelle connessioni a meno che tu non giri su rete 
MPLS ma allora la rete è già privata di suo e la configurazione dei router 
la fa il gestore (TI di solito....)
cmq sia il problema dal mio punto di vista rimane il subnetting....
mettiamo caso che tu faccia un ping dall'indirizzo del centro stella 
192.168.1.100 all'indirizzo 192.168.0.10... secondo te il tuo router come fa 
a sapere dove inviare il pacchetto, o meglio che rotta dargli se le 
destinazione dei presunti tunnel sono tutte uguali? ammettendo che possa 
funzionare sei sicuro che pingando il 192.168.0.10 ti risponde l'host X 
della filiale1 piuttosto che l'host Y delle filiale2?
francamente io la riprogetterei imponendoti di poter cambiare il subnetting 
di tutte le sedi, di dare almeno un subnet logica di differenza fra una sede 
e l'altra, di installare dei firewall e creare delle VPN in IPSec dal centro 
stella verso le varie sedi e dalle varie sedi solo verso il centro stella 
così sei sicuro che i pacchetti destinati alla LAN saranno confinati alla 
LAN e i pacchetti destinati alle lan remote andranno nella direzione giusta 
senza problemi..... questa soluzione è consigliabile se passi per internet 
così le comunicazioni sono criptate, se invece usi delle semplici regole di 
routing tutto passa in chiaro e ovviamente non è buono....
infine se invece vuoi fare tutto in privato allora con Telecom Italia ti fai 
metter su delle connessioni su MPLS e loro ti fanno tutto ciao luca 

 rete del genere?
in ragionamento non molto, la rete comunque è fattibile, anche se 
richiede qualche conoscenza in più...


Inanzi tutto vi ringrazio.
Non preoccupatevi non sarò io a dover configurare il tutto. Non ho 
messo mai le mani su un cisco e quindi lascerò (ben volentieri) il 
compito a chi ha competenze maggiori.
Sono interessato prettamente alla fattibilità della rete. Mi basta 
sapere che la rete in questione può essere realizzata ed avere uno 
stralcio di procedura da seguire per la sua implementazione.
Ricapitoliamo alcuni punti:
- trattasi di datawan privata della telecom (da gli IP 10.x.x.x)
  (Telecom ha assicurato della fattibilità ma non ha dato soluzioni 
  concrete)
- le filiali *non possono* cambiare subnetting
- al momento abbiamo solo i cisco 1841 (ma possono essere cambiati)
Il nat overlapping può essere la soluzione definitiva alla 
problematica?
Saluti
-- 
Gabriele Chervatin


pero' nell'ottica che hanno un'unica interfaccia per uscire su internet
e per andare verso un'altra sede, mi pare sempre comunque meglio la
soluzione di Luke, ovvero fare una VPN in IPSec, su cui NATtare il
traffico solo se diretto o proveniente dalle altre sedi cosi' da
evitare problemi di instradamento. Viceversa potrebbe mettere una
macchina linux con iptables subito a valle del router che si occupi del
postrouting e del masquerading solo se vede passare traffico tra le
diverse sedi...
facci sapere che soluzione adotterai alla fine ;)

Ancora una volta grazie, darò in mano il tutto ad un'azienda che già 
ci offre alcuni servizi di rete.
-- 
Gabriele Chervatin