Newsgroup: it.comp.reti.cisco
Titolo: Nattare una rete attraverso due interfacce pubbliche.

Ho un PIX con due interface con indirizzi pubblici: outside e Interfaccia-VPN.
Queste due si hanno 2 IP pubblici. Per via delle VPN che devono terminare su Interfaccia-VPN ho 
delle route che mandano i pacchetti verso questa interfaccia. Ho però problemi a collegarmi via ssh 
agli endpoint di queste VPN e lo posso fare solo mediante un terzo PC.
Sapete se si può dire al PIX:
se i pacchetti della rete interna escono dall'interfaccia outside natta con un indirizzo, se escono 
dall'altra interfaccia nattali con l'altro indirizzo? E come?
Grazie,
Alex.

Sapete se si puņ dire al PIX:
se i pacchetti della rete interna escono dall'interfaccia outside natta con 
un indirizzo, se escono
dall'altra interfaccia nattali con l'altro indirizzo? E come?
Il policy nat dovrebbe servire proprio a quello, sul sito cisco ci sono 
diversi esempi.
Ciao,
        Tosh. 

 Sapete se si può dire al PIX:

Grazie Tosh, ho letto un articolo di Cisco
http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/products_tech_note09186a00800b6e1a.shtml
Ho un dubbio che spero tu mi possa togliere.
L'articolo si riferisce all'ipotesi in cui volendo raggiungere 2 IP diversi creo 2 ACL in cui in una PERMETTO il 
traffico da una certa rete (quella dietro l'interfaccia inside) verso un certo host e nell'altra PERMETTO il traffico 
verso l'altra destinazione. Posso così nattare la stessa rete ma con 2 ACL.
Il mio problema è il seguente:
- io vorrei avere una regola generale affinché gli indirizzi della rete interna siano tradotti con il pool globale 
asegnato all'interfaccia outside per la navigazione su internet, ma quando la destinazione è quella di alcuni IP che io 
specifico la traduzione deve avvenire con il pool dell'altra interfaccia.
A questo punto ho pensato "semplice!" faccio come per le VPN; creo 2 ACL in cui in una permetto il traffico verso 
indirizzi ben specifici e nell'altra nego il traffico verso gli stessi indirizzi e poi permetto il traffico verso tutti 
gli altri.
In questo modo le due ACL sono complementari e non ci sono sovrapposizioni.
Il problema nasce quando l'articolo di Cisco dice che NON si posso usare espressioni DENY nelle regole. A questo punto 
io mi domando: basta che specifico solo una access list (quella per gli IP specifici) e applico un nat tramite ACL e 
l'altro in modo tradizionale oppure cosa? C'é una priorità nella traduzione degli indirizzi? E' forse il numerino che 
segue il classico "nat (inside) ........"
Scusa se tiro in ballo te, ma vorrei capire se e come si può fare 'sta cosa. Mi rendo conto che la mia situazione è 
particolare perché ho 2 interfacce pubbliche (non IP) tramite le quali devo accedere a internet ma in questo momento 
abbiamo 2 provider a internet e vorremmo passare gradatamente da uno all'altro.
Scusate il post molto lungo,
Alessandro.


Per fare quello che vuoi tu dovrebbe bastare creare un nat regolato da acl 
(il solito policy nat) per l'interfaccia vpn lasciando invariato l'attuale 
nat verso internet.
Eventualmente prova a ricrearli entrambi mettendo per primo il policy nat, 
nel senso di dargli un nat-id (il numerino) piů basso, ad esempio 1 per il 
policy e 2 per il nat verso internet.
Ovviamente devi avere una route statica che punta al router della linea vpn 
per gli indirizzi indicati nella acl del policy nat, altrimenti non funziona 
nulla.
Ciao,
         Tosh.