Newsgroup: it.comp.reti.cisco
Titolo: Ancora access-list

salve, sempre alle prese con queste benedette access-list...
scenario:
router con 2 subinterface:
f0/0.1 - 
192.168.2.0/24
 vlan 2 - nat inside
f0/0.2 - 
192.168.3.0/24
 vlan 3 - nat inside
Dialer1 - ip dinamico - nat outside
NAT:
ip nat inside source list 100 interface Dialer1 overload
access-list 100 permit ip 192.168.2.0 0.0.0.255 any
access-list 100 permit ip 192.168.3.0 0.0.0.255 any
Mi piacerebbe che:
la rete 192.168.2.0 andasse regolarmente su internet
la rete 192.168.3.0 potesse utilizzare SOLAMENTE smtp e pop3 cioè inviare e 
ricevere posta (quindi no www ecc ecc..)
sembra una cosa da niente ma ormai ho incasinato il router con tutte le 
prove che ho fatto..
un aiutino? :) grazie.

-----BEGIN PGP SIGNED MESSAGE-----
Hash: RIPEMD160

Ascolta ci sono dei bellissimi tutorial sulle ACL...
visto che lo devi gestire quel router sarebbe il caso che non
ti affidassi ai post sui newsgroup...
Cmq, per avere il risultato che chiedi cambia la riga legata alla
192.168.3.0 cosi':
access-list 100 permit tcp 192.168.3.0 0.0.0.255 eq 25
access-list 100 permit tcp 192.168.3.0 0.0.0.255 eq 110
Pero' se fai cosi' non permetterai ai pc della rete 
192.168.3.0/24
di fare risoluzione dns...potrebbero avere problemi nel cercare
smtp."ilprovider".it ... quindi sarebbe anche il caso di aggiungere
il dns...
Per raffinare meglio la tua acl ti direi di cambiarla cosi'
complessivamente:
access-list 100 permit ip 192.168.2.0 0.0.0.255 any
access-list 100 permit tcp 192.168.3.0 0.0.0.255 eq 25
access-list 100 permit tcp 192.168.3.0 0.0.0.255 eq 110
access-list 100 permit udp 192.168.3.0 0.0.0.255 eq 53
access-list 100 permit tcp 192.168.3.0 0.0.0.255 eq 53 (Opzionale...a
volte serve per certi strati di rete...)
deny ip any any log-input
L'ultima riga e' l'esplicitazione del deny ip any any conclusivo
pero' con l'opzione di logging in console dei messaggi di deny...
Cosi' hai anche una idea di cosa stai bloccando e ti puo' aiutare a
fare diagnostica dei problemi...
Tieni conto che se il pc da cui fai queste operazioni e' nella rete
che puo' solo fare pop3/smtp, ti blocchi anche l'accesso al router.
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFCqfjuuxRXtjsR9sRA9l3AJ9J9zPIpj942bGXoQAL+aNitrvmoACgw68H
MOw24odQyy2/RpF/HgVoPt0=
=jYCZ
-----END PGP SIGNATURE-----

> la rete 192.168.3.0 potesse utilizzare SOLAMENTE smtp e pop3 cioč inviare 

Gentilissimo, Grazie.
Si, infatti sto cercando di fare come mi hai detto... ho una guida sotto 
mano ma per adesso ho solo confuzione nella testa...
mi prende la voglia di imparare tutto e subito e quindi finisco con avere 
tantissimi dubbi...
per esempio:
io l'access-list 100 la usavo solamente per permettere il nat alle 2 reti e 
quindi cercavo di crearne altre  associandole alle interfacce inbound e 
outbound con il comando ip access-group.
Interpreto male io quanto mi hai scritto oppure č necessario utilizzare 
l'access-list 100 che io uso per abilitare il NAT?
Fammi capire questo punto e poi non ti disturbo piů! :)
Grazie cmq, se stato gentilissimo!
a buon rendere...(tra qualche anno magari :(  quando ne saprň di piů!
Ciaoo.

 a buon rendere...(tra qualche anno magari :(  quando ne saprò di più!
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFCucRuuxRXtjsR9sRA1HnAKDooxqHJey2xusOar6QxoSlqfNslQCgoaW2
UL86vy67BLmD4/ww35guR28=
=J361
-----END PGP SIGNATURE-----

"Hartigan" <hart...@sincity.real.life> ha scritto nel messaggio 
news:oGBOg.24410$6Z1....@tornado.fastwebnet.it...

Ehi, siamo in diretta?
Per le cavolate nessun problema, non c'è rischio di creare disservizio 
perchè la rete è solo per divertirmi un pò con queste cose.. solo per 
passione!
Questa è una soluzione che ho provato:
access-list 102  permit  tcp 192.168.3.0 0.0.0.255 any eq 110
access-list 102  permit  tcp 192.168.3.0 0.0.0.255 any eq 25
f0/0.3
ip access-group 102 in
ma non mi permetteva di fare nulla...
forse come mi spiegavi tu si dovrebbe abilitare il dns ecc...
farò delle prove con quanto consigliato da te...
grazie ancora

 grazie ancora
Tu ricorda questo, ogni acl implicitamente chiude con un deny,
quindi se ti dimentichi di permettere qualcosa sara' eliminato.
Nel caso di una connessione tcp verso un qualsiasi host su internet,
nel caso in cui la destinazione sia rappresentata non in formato IP,
ma tipo nome host, ovviamente il tuo pc dovra' risolvere tale nome nel
corrispondente IP, e quindi contattare un dns che nel tuo caso ipotizzo
sia quello del provider e quindi deve passare per il router.
Capito ?
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFCvEMuuxRXtjsR9sRA+E2AKCP/1AxPOiyFENARPlf3UsnrUNzrACbBUgM
ECG2WSDyc97rpZ7TH+QM0ZY=
=l++f
-----END PGP SIGNATURE-----

"Hartigan" <hart...@sincity.real.life> ha scritto nel messaggio 
news:kiCOg.24473$6Z1....@tornado.fastwebnet.it...

OK!!!!
Ho provato e funziona a meraviglia!!!!
Quindi era il DNS che non mi permetteva di scaricare la posta!
Io permettevo solo smtp e pop3... e logicamente non funzionalva!
ma.. se io in outlook avessi messo invece di 
in.alice.it
 e 
out.alice.it
 il 
rispettivi indirizzi ip non avrei avuto problemi vero? :) forse comincio a 
capire qualcosa..
Grazie sei stato preziosissimo!!!!
dimmi quanto ti devo ;)

 dimmi quanto ti devo ;)
De nada...tempo fa ero io a chiedere ed altri a rispondere...
E' una ruota che gira :)
Domani...tocchera' a Te.
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFCvMXuuxRXtjsR9sRA2KYAKDvT9MyJm2gnvID5BOENja+gQfODACfUrw8
ymO3UjUeC2g39PBZGEoANTo=
=FHXV
-----END PGP SIGNATURE-----