Newsgroup: it.comp.reti.cisco
Titolo: Configurazione Cisco 1721 con tiscali e ip statici, no nat

Ciao a tutti,
grazie a quei simaptici c@z?0n! di Tiscali & Telecom ho dovuto
recuperare un router Cisco 1721 per rimpiazzare il router Aethra che
danno con Tiscali, e non  mi danno neanche un aiuto per configurarlo!
Sul loro sito
(
http://assistenza.tiscali.it/adsl/guide_test/cisco827_router/index.html
)
ho recuperato le informazioni per configurare un Cisco 827 (supponendo
che vadano bene anche per il mio 1721), le ho seguite passo passo (ad
esclusione della creazione del NAT sulla rete interna che non mi
interessa) ma ho ancora grossi problemi: il router si connette, fa
l'autenticazione correttamente, recupera l'indirizzo privato assegnato
da Tiscali.
Sull'interfaccia ethernet del router ho assegnato come indirizzo ip il
primo dei 30 ip pubblici che ho acquistato.
Ma così dal router stesso non riesco a pingare nessun ip esterno:
sembra proprio che al router manchino le informazioni di routing... e
non c'é neanche il default gateway: come glielo si dice? e che ip ci
metto?
Allego la configurazione (sulla quale poi e' stata aggiunta, in fase di
disperazione, anche qualche riga di troppo rispetto a quanto riportato
sul sito Tiscali):
Router#sh running-config
Building configuration...
Current configuration : 937 bytes
!
version 12.2
service config
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Router
!
!
ip subnet-zero
no ip routing
!
!
!
!
!
interface ATM0
 no ip address
 no ip route-cache
 no atm ilmi-keepalive
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 dsl operating-mode auto
!
interface FastEthernet0
 ip address 217.233.133.1 255.255.255.240
 no ip route-cache
 speed auto
 full-duplex
 no cdp enable
!
interface Dialer0
 ip address negotiated
 ip nat outside
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 ppp chap hostname ************
 ppp chap password 0 ***********
!
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
no ip http server
!
!
dialer-list 1 protocol ip permit
!
...
!
end
Qualcuno sarebbe così gentile dà darmi una mano?
Grazie in anticipo
Alex

OK mi rispondo da me!
Dalle prove fatte era evidente che mancavano istruzioni di routing,
quindi aggiungendo
1) ...(config)# ip routing
2) ...(config)# ip default-gatway xxx.yyy.zzz.www
3) ...(config)# ip route 0.0.0.0 0.0.0.0 Dialer0
la navigazione ha incominciato a funzionare.
Non escludo che qs configurazione abbia qualche svarione (di
sicurezza), se c'è qualche esperto, lo evidenzi grazie ;-)
Cmq, in 1/2 giornata, configurare un Cisco 1721 partendo da zero, senza
la ben che minima esperienza sui router cisco, solo googlando un poco ,
non è stato male ;-)
Saluti
Alex


Un paio di ACL non ci starebbero male (deny blocca il trafficco che 
soddisfa la condizione specificata e permit invece lo permette):
access-list 101 remark INBOUND CONNECTIONS
access-list 101 deny   ip 127.0.0.0 0.255.255.255 any log-input
access-list 101 deny   ip 0.0.0.0 0.255.255.255 any log-input
access-list 101 deny   ip 10.0.0.0 0.255.255.255 any log-input
access-list 101 deny   ip 169.254.0.0 0.0.255.255 any log-input
access-list 101 deny   ip 172.16.0.0 0.15.255.255 any log-input
access-list 101 deny   ip 192.168.0.0 0.0.255.255 any log-input
access-list 101 deny   ip 224.0.0.0 31.255.255.255 any log-input
access-list 101 deny   ip 255.0.0.0 0.255.255.255 any log-input
...
access-list 101 permit udp <IP_SORGENTE> <IP_DESTINAZIONE>
access-list 101 permit tcp <IP_SORGENTE> <IP_DESTINAZIONE>
access-list 101 permit icmp <IP_SORGENTE> <IP_DESTINAZIONE>
...
access-list 101 deny   ip any any
access-list 102 remark OUTBOUND CONNECTIONS
access-list 102 deny   ip 127.0.0.0 0.255.255.255 any log-input
access-list 102 deny   ip 10.0.0.0 0.255.255.255 any log-input
access-list 102 deny   ip 169.254.0.0 0.0.255.255 any log-input
access-list 102 deny   ip 172.16.0.0 0.15.255.255 any log-input
access-list 102 deny   ip 192.168.0.0 0.0.255.255 any log-input
access-list 102 deny   ip any 127.0.0.0 0.255.255.255 log-input
access-list 102 deny   ip any 10.0.0.0 0.255.255.255 log-input
access-list 102 deny   ip any 169.254.0.0 0.0.255.255 log-input
access-list 102 deny   ip any 172.16.0.0 0.15.255.255 log-input
access-list 102 deny   ip any 192.168.0.0 0.0.255.255 log-input
...
access-list 102 permit udp <IP_SORGENTE> <IP_DESTINAZIONE>
access-list 102 permit tcp <IP_SORGENTE> <IP_DESTINAZIONE>
access-list 102 permit icmp <IP_SORGENTE> <IP_DESTINAZIONE>
...
access-list 102 deny   ip any any
Poi ad es. le applichi entrambe sull'interfaccia Dialer1 (la 101 in 
ingresso e la 102 in uscita):
interface Dialer1
  ...
  ip access-group 101 in
  ip access-group 102 out
  ...
Per capire bene come funzionano le ACL (visto che parti da zero) è 
comunque necssario documentarsi un po'.
Ad esempio ho usato le ACL estese ma esistono anche quelle standard; con 
"log-input" registri l'evento su un server syslog che specifichi con 
"logging <IP_SERVER_SYSLOG>"; oltre a <IP_SORGENTE> <IP_DESTINAZIONE> 
puoi specificare anche delle porte o dei range di porte ecc.:
...
access-list 101 permit tcp any eq www any
access-list 101 permit tcp any eq pop3 any
access-list 101 permit tcp any eq smtp any
access-list 101 permit tcp any eq 3389 any
access-list 101 permit tcp any range 6881 6889 any
...
Ciao
----------
Akira

 
Sorry, nel tuo caso le ACL vanno applicate sulla Dialer0.
Ciao
----------
Akira

Grazie innanzitutto della risposta, effettivamente per l'aspetto del
'documentarsi', hai perfetamente ragione, ho trovato 'quasi'
casualmente "dopo la fatica configurativa!" un testo edito da
CiscoPress "Cisco Router Configuration" ISBN 1-57870-022-1, un poco
datato (1998) ma proprio x i newbie like me, e ho trovato nei primi
capitoli la conferma/spiegazione di quanto fatto.
Lo sto leggendo nello spare time, credo ci sia anche una parte sulle
ACL.
Pensa un po', che nel '98 si parlava ancora , oltre che di IP, di di
protocolli come Vines, XNS,DEcnet, AppleTalk,IPX.... ne è passata di
H20 sotto i ponti !!!
Saluti
Alex