Newsgroup: it.comp.reti.cisco
Titolo: NAT ma quando accedono più di due IP il secondo non vede nulla

Ho un circuito Datwan con sedi ed indirizzi IP VPN che vengono NATtati in
rete pubblica con la configurazione di cui sotto. mi sono accorto di una
cosa però quando il secondo PC cerca di entrare in rete viene NATtato ma non
riceve pacchetti...potreste aiutarmi?
ip nat translation timeout never
ip nat translation tcp-timeout never
ip nat translation udp-timeout never
ip nat translation finrst-timeout never
ip nat translation syn-timeout never
ip nat translation dns-timeout never
ip nat translation icmp-timeout never
ip nat pool PUBBLIC 80.x.x.x 80.x.x.x netmask 255.255.255.0
ip nat inside source list 1 pool PUBBLIC overload
ip classless
access-list 1 permit 192.168.1.0 0.0.0.255
access-list 1 permit 192.168.2.0 0.0.0.255
e via con tutte le altre...!!!
Grazie
Gianluca Pizzi

Gianluca Pizzi wrote:

Ciao Gianluca,
Hai gia' controllato con "sh ip nat trans" ?
non c'e' nessun ACL che lo deny?
Sinceramente non ho mai cambiato il timeout del NAT, ma "never" mi sembra
un po' essagerato oppure e' gia' default? Poi non e' meglio mettere
come netmask del pool correto, non hai mica un classe C per caso?
ciao Ting2

In effetti h una classe c...per quel che riguarda il never lěho fatto perchč
dapprima mi dava questo problema, mentre navigavo bastava lasciassi l
browser senza fare nulla e dopo un pň non mi faceva piů navigare...
facendo un sh ip nat translation vedo regolarmente tutti gli indirizzi IP
nattati anche se sono due nella stessa sede...ma il secondo non naviga se ci
arriva il primo...
come faccio a negare (deny)!! cosa dovrei negare??
Grazie
Gianluca pizzi

ip nat pool PUBBLIC 80.x.x.x
80.x.x.x netmask 255.255.255.0
Suppongo che tu abbia una classe C
pubblica e che gli indirizzi del pool pubblic siano più di 1, vero?
Hai
messo il comando nat outside sull'interfaccia che esce verso rete pubblica?
Ciao
Faby
--------------------------------
Inviato via 
http://usenet.iol.it
 

Si ho inserito il nat outside sulla int eth0 che poi vede il gateway
telecom...apparentemente tutto funziona infatti si naviga regolarmente...ma
il mio problema arriva quando accede il secondo indirizzo da nattare....che
viene nattato ma non naviga.....BoH?????
Grazie per i consigli
Gianluca Pizzi


Non è che ti confondi?
Il
comando ip nat inside va messo sulle interfacce interne (indirizzo IP
Privato), quindi su eth0 ed il comando ip nat outside va messo
sull'interfaccia esterna (indirizzo IP pubblico), quindi sulla ser0 o sulla
BRI0.
Ciao
Faby.


No non mi sto confondendo....forse non hai letto le mie di prima nell NG...
il router che effettua la nat non la effettua per indirizzi interni, ma č
dotao di un collegamento sulla seriale ditipo datawan che comunica con altre
15 sedi, i queste sedi a sua volta vi sono Router, PC, e modem che prendono
un indirizzo di rete del tipo di quello riportato sopra nel primo messaggio
(192.168.1.1, 2.1, 3.1 ecc.ecc.) bene quindi la nat entra dalle seriali ed
esce dalla ethernet perchč nella sede vi č poi un gateway che interfaccia la
rete pubblica.
Forse adesso č piů chiaro.
Ciao
Gianluca
P.S. grazie!!

 P.S. grazie!!
ciao Ting2

no forse hai ragione...sono io che mi sono spiegato male...e comunque non
sono così esperto di queste cose...:-)....ti posto comunque la conf così ti
chiarisci un pò di cose..grazie ancora dell'aiuto..
la conf.
...
interface Ethernet0
 ip address 192.168.0.254 255.255.255.0 secondary
 ip address x.x.x.x 255.255.255.0 (Pubblico)
 ip mask-reply
 no ip redirects
 no ip unreachables
 no ip directed-broadcast
 no ip proxy-arp
 ip nat outside
 no ip route-cache
 no ip mroute-cache
 load-interval 30
!
interface Serial0
 bandwidth 10000000
 no ip address
 no ip directed-broadcast
 ip nat inside
 encapsulation frame-relay
 no ip route-cache
 no ip mroute-cache
 logging event subif-link-status
 logging event dlci-status-change
 no keepalive
 autodetect encapsulation ppp
!
interface Serial0.1 point-to-point
 ip address 10.0.0.1 255.255.255.252
 no ip directed-broadcast
 ip nat inside
 no ip route-cache
 no ip mroute-cache
 no arp frame-relay
 no cdp enable
 frame-relay interface-dlci 50 IETF
!
interface Serial0.2 point-to-point
 ip address 10.0.0.5 255.255.255.252
 no ip directed-broadcast
 ip nat inside
 no ip route-cache
 no ip mroute-cache
 no arp frame-relay
 no cdp enable
 frame-relay interface-dlci 70 IETF
e così per altre 13 sedi su cui per ogni interfaccia inizio da
192.168.1.1...2.1......3.1 ecc.ecc.
ip nat translation timeout never
ip nat translation tcp-timeout never
ip nat translation udp-timeout never
ip nat translation finrst-timeout never
ip nat translation syn-timeout never
ip nat translation dns-timeout never
ip nat translation icmp-timeout never
ip nat pool PUBBLIC x.x.x.x x.x.x.x netmask 255.255.255.0
ip nat inside source list 1 pool PUBBLIC overload
ip classless
ip route 0.0.0.0 0.0.0.0 x.x.x.x (che si trova sulla eth0)
ip route 192.168.1.0 255.255.255.0 10.0.0.2
ip route 192.168.2.0 255.255.255.0 10.0.0.6
ip route 192.168.3.0 255.255.255.0 10.0.0.10
ip route 192.168.4.0 255.255.255.0 10.0.0.14
ip route 192.168.5.0 255.255.255.0 10.0.0.18
ecc.ecc.
access-list 1 permit 192.168.1.0 0.0.0.255
access-list 1 permit 192.168.2.0 0.0.0.255
access-list 1 permit 192.168.3.0 0.0.0.255
access-list 1 permit 192.168.4.0 0.0.0.255
access-list 1 permit 192.168.5.0 0.0.0.255

 ...
<snip>
Hai provato di dividere il pool di IP pubblici con i somma dei sedi?
poi fare NAT per ogni sedi (pratticamente per ogni interfacce Serial dei sedi)
tipo:
ip nat pool PUBBLIC1 x.x.x.k x.x.x.k netmask 255.255.255.0
ip nat pool PUBBLIC2 x.x.x.l x.x.x.l netmask 255.255.255.0
ip nat pool PUBBLIC3 x.x.x.m x.x.x.m netmask 255.255.255.0
...
ip nat inside source list 1 pool PUBBLIC overload
ip nat inside source list 2 pool PUBBLIC overload
ip nat inside source list 3 pool PUBBLIC overload
...
access-list 1 permit 192.168.1.0 0.0.0.255
access-list 2 permit 192.168.2.0 0.0.0.255
access-list 3 permit 192.168.3.0 0.0.0.255
...
in modo che ogni interfaccie hanno pool separate per evitare il router faccia
confusione tra NAT, pool, e interfaccie...
spero che la mia idea fa senso.
ciao
Ting2

l'idea sembra abbastanza buona...e ci proverò a farla....pensa che dopo
girato tante configurazioni nattando tutto sulla eth (quindi su un solo
indirizzo) funziona tutto e tutti contemporaneamente....sarà strano ma
gestisce meglio se sono tutti a finire su uno stesso indirizzo anczichè su
diversi....mahh
grazie del consiglio.
Ciao
Gianluca