Newsgroup: it.comp.reti.cisco
Titolo: Quale NAT  ????

Ciao a tutti,
in uscita verso internet dalla LAN ho i seguenti apparati/server :
Cisco Router 1760 >>>>>  Cisco PIX 515 >>>> Cisco Router MC 3800 (telecom)
Gli indirizzo in uscita vengono "nattati" dal PIX.
Sul PIX (ver. 5.1.2) ho i seguenti comandi per gestire il NAT :
global (outside) 1 62.110.139.35-62.110.139.43 netmask 255.255.255.224
global (outside) 1 62.110.139.44
global (DMZ) 1 192.168.250.50-192.168.250.253
nat (inside) 0 access-list vpn      [ho configurato una VPN in PPTP)
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
Purtroppo esco sempre con lo stesso indirizzo IP pubblico che  addirittura
non fa parte del POOL di NAT specificato sul PIX.
Non capisco perchè il NAT sul PIX non funziona e perchè esco con un
indirizzo non presente in POOL
Mi è venuto il dubbio che faccia NAT anche il router Telecom ; ho fatto
controllare la configurazione da Telecom che ha escluso che il router faccia
NAT
Mentre sono collegato a Internet se faccio uno SHOW XLATE, eccoil risultato
:
Global 192.168.250.51 Local ISA-EX   [NAT verso DMZ è OK]
Global 62.110.139.xxx Local 192.168.xxx.xxx static
Global 62.110.139.xxx  Local ISA-EX static
Non c'è traccia del NAT verso outside...............
Non so davvero dove possa essere il problema
Grazie in anticipo
Nitro


Mi sembra molto strano, se esci su internet tramite il pix una xlate devi
averla, prova a dare un "clear xlate" e rifare uno "sh xlate" subito dopo
aver generato del traffico su internet da un pc.
Ciao,
        Tosh.

 ha scritto nel messaggio
news:2he8qjF...@uni-berlin.de...



Boh, magari quella è una vecchia release e non gli piace, hai guardato i log
se dicono qualcosa?
Ciao,
        Tosh

 Nitro
Ciao
Michael


Mi chiedevo se č corretto utilizzare lo stesso ID (poi usato anche sul
comando di NAT inside) in 2 global , cioč in quella per DMZ e in quella per
OUTSIDE
Se faccio un "sh static" :
static (inside,outside) 62.110.139.xx xx.xx.xx.xx netmask 255.255.255.255 0
0
static (DMZ,outside) 62.110.139.xx xx.xx.xx.xx netmask 255.255.255.255 0 0
ci sono solo static da outside.
Ieri ho provato a cancellare tutte le GLOBAL e i comandi di NAT.
Ho fatto un CLEAR XLATE e ho navigato sul WEB : esco sempre con quel
maledetto Ip pubblico !!!!
Aggiungo un dettaglio, che forse a questo punto non č piů un
dettaglio...................
Verso outside, prima del pix, c'č un firewall software che fa NAT con
indirizzo 192.168.x.x
Quindi il mio traffico internet dovrebbe subire 2 NAT.......... sta forse
qui il problema ?
Per quanto ne so il natting effettuato dal firewall software dovrebbe essere
trasparente al PIX............quindi boh ??
Non "quadra" che funziona il Nat del PIX verso la DMZ e non verso
Outside..............
Bye
Nitro


 Nitro
ciao
Michael



Spiegato il mistero
E' proprio così.
sul pix ho :
static (inside,outside) 62.110.139.aa  IPisa netmask 255.255.255.255 0 0
1) esco sempre con IP pubblico 62.110.139.aa
2) sulla inside del PIX arriva sempre e solo l'indirizzo IPisa  che è quello
di NAT del server ISA. Quindi tutti i client della LAN si presentano al pix
con indirizzo IPisa
Però rispiegamelo. Ho capito la causa, ma non la dinamica : perchè succede
questo problema sul NAt del PIX ?
Grazie 1000
Nitro


Ok tutto chiaro,ma.........
la static (inside,outside) 62.110.139.aa  IPisa netmask 255.255.255.255 0 0
io l'avevo creata per permettere a chi da Internet raggiunge l'indirizzo
62.110.139.aa  di essere indirizzato a IPisa
E' cioč una statica creata per esempio per accedere ad esempio a un server
WEB
Credo mi sia sfuggito un dettaglio sui manuali Cisco : "......static command
creates a two-way translation that allows inside hosts out and outside hosts
in......"
Quindi la STATIC "traduce" gli indirizzi sia in entrata che in
uscita....................... giusto ?
Potrei fare come segue ?
- assegno un secondo indirizzo all'interfaccia Outside del server ISA
- ISA continua a fare NAT usando solo il primo indirizzo (quello principale)
- modifico la STATIC per usare il secondo indirizzo di ISA
Quindi chi raggiunge da Internet l'indirizzo 62.110.139.aa   viene dirottato
a IPisa 2 (il secondo IP dell'outside di ISA)
Chi dalla LAN si presenta al PIX con indirizzo IPisa utilizza le GLOBAL per
il NAT
Potrebbe funzionare ?
Bye
Nitro



Si esatto! cosi funzionerebbe
ma c'e' anche un'altra soluzione per evitare di inserire un secondo ip sulla
scheda di rete del server,
se vuoi rendere visibile su internet l'ip privato del server isa SOLO su un
deterninato numero di servizzi (es www, http, ftp ssh ecc...) puoi risolvere
il problema inserendo AL POSTO della nat statica totale dell'Ip delle nat
statiche sui sindoli servizi, la sintassi e':
static (inside,outside) (protocollo) 62.110.139.aa (porte/servizio) IPisa
(porte/servizio) netmask 255.255.255.255 0 0
es. per la porta 80 (www)
static (inside,outside) tcp 62.110.139.aa 80 IPisa 80 netmask
255.255.255.255 0 0
in questo modo gli utenti esterni che cercano di raggiungere il server
tramite l'ip pubblico sulla porta 80 vengono indirizzati al IPisa le altre
richieste no mentre tutte le richieste provenienti dalle macchine interne
verso l'outside vendono nattate con il nat dinamico (Global)
di queste nat ne puoi mettere qunte ne vuoi ma ovviamente la soluzione va
bene per un numero limitato di servizi (5 - 10)
Se invece ti serve che l'ip privato sia raggiungibile da internet su tutte
le porte di tutti i protocolli la soluzione migliore e' la prima
ciao
Michael


Facco 2 conti e poi decido
Però mi sembra che il PAT con le STATIC funzioni solo dalla release 6.0 e io
ho la 5.1.2............ però in via di aggiornamento
Grazie 1000, non ci sarei mai arrivato
Bye
Nitro


mi sfugge una sola cosa
Se da un lato uscire con un solo indirizzo IP può essere vantaggioso per
esempio per accedere a sistemi per i quali è necessario aprire porte
firewall (così le faccio aprire  solo per un determinato ip pubblico), quale
vantaggio ho a utilizzare un pool di IP per il NAT?
C'è forse un limite ai transaction slot gestibili su un solo indirizzo dal
PIX ?
Bye
Nitro


Micheal


Ok , correrò questo rischio.........ho 80 client e 20 server ...:-))))
Grazie ancora per le info
Bye
Nitro

Nitro
di ninete
ciao
Michael