Newsgroup: it.comp.reti.cisco
Titolo: Problema NAT dinamico con CBAC.

Salve tutti,
Ho un problema con 2 router (1720 e 827) configurato per fare firewall
con CBAC.
Il problema e' che il router funziona benissimo per qualche ora, poi non
fa
piu' il NAT dinamico. Se faccio <<sh ip nat trans>>, vedo che non c'e'
nessun
translazione.
Sul 827 che ha solo NAT dinamico, i PC all'interno della LAN non
riescono
piu' a connetersi a Internet perche' non c'e' la translazione degli
indirizzi (se faccio telnet verso un POP server per esempio, mi da
subito
host unreachable).
Mentre sul 1720 che ha anche NAT statico per server interni, dopo
qualche
ora che funziona bennisimo, i PC all'interni non riescono piu' a
collegarsi
(stesso problema di 827) per la stessa causa che il router non riesce
piu'
fare NAT dinamico. Mentre i server e' sempre raggiungibile da fuori
perche'
il NAT statico continua a funzionare (conferma anche l'output di
<<sh ip nat trans>>)
Su questo router 1720 ho messo "ip inspect" sia  su interfaccia FastEth
che
ATM (controlla sia per connesione in uscita che in entrata), allora non
mi
sembra colpa e' del CBAC, perche' il "ip inspec" sessione in entrata
(da Internet verso server) continua a funzionare.
SU 1720 (con 48 MB di RAM il massimo credo) ho messo:
c1700-k9o3sy7-mz.122-4.T3.bin, penultimo IOS 1720 per CBAC che neccesita
48 MB di RAM.
Mentre su 827 (con 32 MB di RAM il massimo credo) ho messo:
c820-k9osy6-mz.122-2.T4.bin, penultimo IOS 827 per CBAC che necesita
24 MB di RAM.
Sono "abbastanza" sicuro che la configurazione del CBAC e' corretto +
non
faccio nessun logging/allert.
All'inizzio pensavo colpa di SSH che ho abbilitato su router... poi
giorno
dopo ho letto il bug  annunciato su "Cisco Security Advisory: Scanning
for SSH
Can Cause a Crash" allora ho dissabilitato SSH, ma il problema persiste.
Se riavio il router, tutto ritorna normale, poi dopo qualche ora si
blocca,  di
nuovo non fa NAT dinamico  [:-(]
Colpa di memoria?
Colpa di IOS?
Oppure c'e' un trucco per NAT dinamico che smette a funzionare dopo
qualche ora?
Qualcuno ha un sugerimento?
Grazie mille,
Ting2.

 nessun translazione.
sho proc e sho mem  che dicono?
e' vero che per quell'ios bastano 48 mb per eseguirlo, ma se hai messo
il router davanti ad una rete ad elevato traffico puo' darsi che termini
la memoria riempiendola di translation e di xlates.
abbassando i timeout del nat aumenta il tempo di funzionamento?
un mayhem e le ipotesi avventate
--
Cisco FAQ: 
http://mayhem.oltrelinux.com/icrc
HackLabVR: 
http://www.m2net.it.eu.org
Remove ME to reply

 abbassando i timeout del nat aumenta il tempo di funzionamento?
Per evitare problemi con CBAC io invece ho aumentato "ip inspect tcp
idle-time" da
3600 a 10800 [:-B] era un router in piena produzione non volevo rischiare, e
non
ho neanche il tempo di seguire bene per avere un configurazione ottimale
(contavo
collaudare meglio in un altro giorno). Ma anche dopo CBAC dissabilitato
problema persiste.
Cmq abbasare il timeoute di NAT sembra una buona cosa da provare, pero' il
router ha
problemi anche con una configurazione quasi identico come quando non aveva
problemi
(almeno che da IOS 12.0 a 12.2.2 hanno cambiato i default time out di NAT).
Io ho notato, quando il CBAC ancora applicato e il router e il NAT dinamico
bloccato,
ci sono qualche righe di temporary ACL che il CBAC a aggiunto ma non ha piu
cancelato,
anche dopo la connesione terminata.
Comincio avere dubbi su CBAC, ma ci sono tanti in giro che lo utilizzano? o
solo un
optional che meglio evitare di configurare?
grazie mayhem
PS: ho sbagliato a scrivere nel mio  primo post, l'IOS che ho messo sul 1720
necesita
"solo" di 32 MB di RAM non 48 MB, mentre il RAM e' 48 MB.
PPS: scusate ho risposto con un post lunghissimo.
