Newsgroup: it.comp.reti.cisco
Titolo: NAT con + ip pubblici

Ciao.
fino ad oggi con configurato NAT con cisco 827 utilizzando l'ip 
punto-punto della WAN . come mi conviene fare se, per fare il nat, 
volessi  utilizzare uno degli IP pubblici assegnati da telecom che non 
sia quello del punto-punto ? metto un secondary sulla ethernet ? sulla wan ?
creo una interfaccia di loopback ?  e per le VPN con ipsec (usato sempre 
il punto-punto della wan).
ammesso che una delle soluzioni sopra proposte funzioni, qual'e' la piu' 
corretta o pulita ?
grazie mille
bob

Premesso che la seguente configurazione funziona correttamente,
ovvero che la classe 192.168.0.X esce Nattata con l'IP della loopback 1
e la classe 192.168.1.X con quello della loopback2
quello che chiedo e':
1) e' una schifezza ? (la logica usata, non il fatto che sia incompleta)
2) c'e' un modo piu' elegante ? se avessi usato i nat pool anziche' le 
loopback cosa cambiava  sostanzialmente ?
3) perche' se da remoto faccio un telnet sul router usando l'ip pubblico 
di  una loopback entro solo con quello della loopback1 (o 2) mai con 
entrambi contemporaneamente?  (connection refused)
4) se utilizzassi le loopback come peer in una crypto map, la VPN 
funzionerebbe ? e se cosi non fosse come potrei fare senza usare l'IP 
assegnato alla ATM0.1 (punto-punto) come peer ?
grazie di cuore a chi rispondera.
bob
--------
Current configuration : 1506 bytes
!
version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname prova
!
boot-start-marker
boot-end-marker
!
no logging console
enable secret 5 $XXXXXXXXXXXXXXXXXXXX
!
no aaa new-model
ip subnet-zero
!
!
!
ip cef
ip audit notify log
ip audit po max-events 100
ip ssh break-string
no ftp-server write-enable
no scripting tcl init
no scripting tcl encdir
!
!
!
!
no crypto isakmp enable
!
!
!
!
interface Loopback1
  ip address 81.X.X.X.1 255.255.255.255
!
interface Loopback2
  ip address 81.X.X.X.2 255.255.255.255
!
interface ATM0
  no ip address
  ip nat outside
  no atm ilmi-keepalive
  dsl operating-mode auto
!
interface ATM0.1 point-to-point
  ip address 82.X.X.X 255.255.255.0
  ip nat outside
  pvc 8/35
   encapsulation aal5snap
  !
!
interface BRI0
  no ip address
  shutdown
!
interface FastEthernet0
  ip address 192.168.1.253 255.255.255.0 secondary
  ip address 192.168.0.253 255.255.255.0
  ip nat inside
  speed auto
!
ip nat inside source list 110 interface Loopback1 overload
ip nat inside source list 120 interface Loopback2 overload
ip classless
ip route 0.0.0.0 0.0.0.0 atm0.1
no ip http server
no ip http secure-server
!
!
!
access-list 110 permit ip 192.168.0.0 0.0.0.255 any
access-list 120 permit ip 192.168.1.0 0.0.0.255 any
!
route-map nat permit 10
  match ip address 110
!
!
control-plane
!
!
line con 0
line aux 0
line vty 0 4
  password ciccio
  login
!
no scheduler allocate
!
end

 wrote in message
news:2jd8d0F...@uni-berlin.de...


 wrote in message
news:NiCAc.348042$hc5.14...@news3.tin.it...


 un nat dinamico utilizzando un ip diverso da quello assegnato alla tua
grazie per la risposta :-)
il nat pool lo avevo gia' preso in considerazione (vedi domanda 2 al 
post che ho fatto in risposta a me stesso) e provato. in effetti 
funziona. temo, tuttavia che cosi facendo, se io volessi fare una VPN, 
non potrei usare l'IP pubblico con cui NATto
come uno dei peer.
mentre, *credo* che, creando una loopback (quindi una interfaccia), la 
VPN possa essere fatta. mi confermi questa ipotesi ?
ancora grazie
ciao
bob

 wrote in message
news:2jic49F...@uni-berlin.de...

Ciao Bob.
La soluzione che prevede l'utilizzo di un IP pubblico diverso da quella
dell'interfaccia wan per fare NAT, non prescinde dal fatto che tu possa
utilizzare l'ip di questa interfaccia sia per nattare che per fare VPN.
Anzi, l'utilizzo dell'ip dell'interfaccia wan tende a far "risparmiare" ip
pubblici, utilizzabili per altri scopi.
Ciao
Carlo

 Ciao
grazie ancora.
il problema e' che utilizzando l'ip della punto-punto si rischia che le 
cose non funzionino e smettando di funzionare all'improvviso. dipende da 
come si sveglia mamma telecom.
giusto un paio di giorni fa mi e' capitato di configurare un cisco con 
una adsl "nuovo profilo interbusiness". Ebbene l'ip della punto-punto
e' filtrato (provato. non funziona nulla) e quindi SI DEVE usare uno di 
quelli pubblici assegnati.
mi aspetto che da un momento all'altro anche vecchie installazioni 
smettano di funzionare.
mi confermi che se io utilizzo una loopback con un degli IP pubblici
riesco a fare una VPN con quest'ultima ?
vorrei evitare di assegnare alla ATM sia il punto-punto che un IP 
pubblico per risolvere il problema. grazie ancora.
ciao
bob

 wrote in message
news:2jleb5F...@uni-berlin.de...

Ciao
Si funziona anche con la loopback comunque all'atm un ip pubblico glielo
devi dare altrimenti non usciresti su internet.
Ora capisco perchč non sei il primo a dirmi che l'ip pubblico
dell'interfaccia wan di Telecom non funziona....
Forse avranno notato che in molti utilizzano proprio quell'ip per vari scopi
:)
Ciao
Carlo

 Forse avranno notato che in molti utilizzano proprio quell'ip per vari scopi
ovvio. l'atm deve avere un ip pubblico, ma vorrei assegnarli solo quello 
della punto-punto.
insomma non riesco a capire come fare una VPN utilizzando come
punto di origine un IP pubblico che non sia quello della porta
WAN, punto-punto o "assegnato per la rete interna" che sia.
per il momento ho "risolto" assegnando un IP pubblico della rete alla 
ATM e come secondary quello della punto-punto.
cosi facendo il router si presenta a quello remoto (nel mio caso un PIX)
con l'IP "primario" ovvero quello assegnato da telecom e non 
filtrato(punto-punto).
mi piacerebbe, pero', poter fare questo lavoro specificando, se 
possibile, un interfaccia (loopback ?) e quindi un IP diverso da quello
che usa il router, ovvero l'IP primario della interfaccia con cui esce.
ho provato con ip unnumbered, route-map ecc...niente.
grazie
ciao
bob

 > Ora capisco perchè non sei il primo a dirmi che l'ip pubblico
