Newsgroup: it.comp.reti.cisco
Titolo: aiuto routing serie 800

Scusate la domanda da principiante, ma non riesco a far andare un routing
con un 831.
Lo scopo è instradare traffico da una rete verso un router che si trova su
un'altra rete, e da qui all'esterno. La connessione fra queste due reti
avviene tramite il router su cui sto lavorando.
In particolare il router è attivo sulle due interfacce, e risponde ai ping.
Lui riesce a pingare sia l'host che sta da una parte (rete interna), che
l'altro router che fa da gw sull'altra rete (quello su cui voglio instradare
il traffico in uscita). Se però dall'host certo di raggiungere l'altro
router (attraversando quello su cui sto lavorando) o a maggior ragione di
uscire, non funziona.
192.168.16.0/24
 è la rete interna a questo router
192.168.1.5 è l'indirizzo di questo router sull'altra rete connessa
192.168.1.250 è l'altro router verso cui voglio instradare tutto il
traffico.
Inizialmente non c'era il NAT (che fatto come è ora mi sa che non va...) ma
non cambiava nulla. Le accesslist impostate non sono usate, ma ho attivato
solo la 190 proprio per vedere se funzionava.
A scando di richi l'host ha un ip statico, perchè non mi fido della
configurazione di dhcp che ho fatto.
Questa è la configurazione a cui sono ora:
Current configuration : 1691 bytes
!
version 12.3
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname myName
!
!
no aaa new-model
ip subnet-zero
no ip domain lookup
!
ip dhcp pool myPool
   network 192.168.16.0 255.255.255.0
   domain-name mydomain
   default-router 192.168.16.1
   lease 2
!
!
ip audit notify log
ip audit po max-events 100
no ftp-server write-enable
!
!
!
!
!
!
!
interface Ethernet0
 ip address 192.168.16.1 255.255.255.0
 ip access-group 190 in
 ip access-group 190 out
 ip nat inside
!
interface Ethernet1
 ip address 192.168.1.5 255.255.255.0
 ip access-group 190 in
 ip access-group 190 out
 ip nat outside
 duplex auto
!
interface FastEthernet1
 no ip address
 duplex auto
 speed auto
!
interface FastEthernet2
 no ip address
 duplex auto
 speed auto
!
interface FastEthernet3
 no ip address
 duplex auto
 speed auto
!
interface FastEthernet4
 no ip address
 duplex auto
 speed auto
!
ip classless
ip route 0.0.0.0 0.0.0.0 192.168.1.250
no ip http server
no ip http secure-server
!
access-list 110 deny   ip 192.168.16.0 0.0.0.255 192.168.0.0 0.0.255.255
access-list 110 permit ip 192.168.16.0 0.0.0.255 any
access-list 150 deny   ip 192.168.0.0 0.0.255.255 192.168.16.0 0.0.0.255
access-list 150 permit ip any 192.168.16.0 0.0.0.255
access-list 190 permit ip any any
access-list 190 permit tcp any any
access-list 190 permit icmp any any
!
line con 0
 password 123456
 login
 no modem enable
line aux 0
line vty 0 1
 password 123456
 login
line vty 2 4
 login
!
scheduler max-task-time 5000
!
end
Qualcuno mi può dare una mano?
grazie


Hai fatto i ragionamenti giusti ma li hai applicati male :-)
Il tuo problema è probabilmente dovuto al fatto che il router remoto non
conosce la rete che sta dietro al tuo router, in pratica i pacchetti dalla
192.168.16.x gli arrivano regolarmente, ma lui non sa come mandargli le
risposte.
Quindi o metti una route che punti alla 192.168.16.0 sul router remoto
(preferibile) o attivi il nat, che in effetti così com'è non funziona.
Una possibile configurazione del nat, oltre ai comandi "ip nat inside" e "ip
nat outside" che hai già messo è la seguente:
ip nat inside source list 1 interface e1 overload
access-list 1 permit 192.168.16.0 0.0.0.255
Ciao,
        Tosh.

         Tosh.
grazie, è proprio come avevo messo a punto empiricamente (non ho ben capito
il significato del comando "source list"  e dell'access-list collegata)
stanotte!
Così in effetti funziona: da un pc nella rete interna riesco ad andare su
internet transitando per i due router.
Ho però un problema con il dhcp, credo legato alle access-list.
queste sone le due ethernet:
interface Ethernet0
 ip address 192.168.16.1 255.255.255.0
 ip access-group 120 in
 ip access-group 121 out
 ip nat inside
!
interface Ethernet1
 ip address 192.168.1.5 255.255.255.0
 ip access-group 190 in
 ip access-group 190 out
 ip nat outside
 duplex auto
!
e queste le access list:
access-list 102 permit ip 192.168.16.0 0.0.0.255 any
access-list 120 permit icmp any host 192.168.1.250
access-list 120 deny   ip any 192.168.0.0 0.0.255.255
access-list 120 permit ip any any
access-list 121 permit icmp host 192.168.1.250 any
access-list 121 permit ip host 192.168.16.1 any
access-list 121 deny   ip 192.168.0.0 0.0.255.255 any
access-list 121 permit ip any any
access-list 190 permit ip any any
access-list 190 permit tcp any any
access-list 190 permit icmp any any
con la 120 e 121 caricate sulla eth0 al posto della 190 non riesco a
ricevere l'ip dal dhcp server del router.. mentre se imposto la 190 (che
apre tutto, quindi penso sia lì il problema) l'ip arriva. Cosa devo aprire
per far andare il dhcp?
In sostanza la logica che ho usato è quella di bloccare sulla eth0 tutto il
traffico che dalla rete 16 va verso le altre reti interne, tranne quello che
va all'esterno o l'icmp che va all'altro router (per diagnostica mia). E poi
di bloccare tutto quello che entra in questa rete se non proviene dall'icmp
dell'altro router (risposte a quanto sopra), o da reti non interne oltre che
dal router stesso (credo non serva a niente, ma l'ho messo per vedere se il
dhcp così rispondeva).
La configurazione del dhcp è questa:
ip dhcp excluded-address 192.168.16.1  --> ip del router
!
ip dhcp pool myPool
   network 192.168.16.0 255.255.255.0
   domain-name 
mydomain.com
   default-router 192.168.16.1
   dns-server 212.216.112.222 212.216.172.162
   lease 2
grazie

 per far andare il dhcp?
Devi inserire una riga del tipo:
"access-list 120 permit udp any any eq bootps"
altrimenti i pacchetti dhcp vengono filtrati e non arriveranno mai al
server, il quale ovviamente non potrŕ assegnare nessun indirizzo.
Ciao,
        Tosh.

         Tosh.
Perfetto, ora funziona tutto!
posso farti un'ultima domanda? come faccio a riordinare una access list?
Adesso quando devo inserire un comando in testa (per esempio quello che mi
hai suggerito per il dhcp, che ho messo in testa alla 120) la cancello e
ricarico le voci nell'ordine giusto. Ma immagino ci sia un modo più
diretto...
grazie mille


Da qualche release a questa parte c'è la possibilità, credo solo per le
"named" acl, di cancellare e inserire le righe selettivamente, ma ci sono
dei limiti per cui è una tecnica che non uso normalmente.
Una tecnica molto comoda e veloce invece è quella di fare un copia/incolla
di tutta la acl in un editor (notepad va benissimo), modificarla all'interno
dell'editor stesso, poi cancellarla per intero sul router e fare un
copia/incolla al contrario di tutta la acl modificata in un fiato solo.
L'unico possibile inconveniente di questa tecnica è quello di tagliarsi
fuori se sei collegato in telnet e se la acl è applicata su un'interfaccia
che stai attraversando per accedere al router, cosa che potrebbe interrompe
l'invio della acl dopo la prima riga e ti obbligherebbe a correre alla
console del router per ripristinarne il funzionamento.
Per evitare questo antipaticissimo inconveniete bisogna ricordarsi di
"disapplicare" l'acl (no ip access-group ....) prima di iniziare e di
riapplicarla una volta finito l'upgrade, oppure mettere per primo il comando
che permette il traffico dal tuo terminale, ma per sicurezza è meglio
adottare la prima soluzione se sei lontano dal router e verificare molto
bene la acl prima di riattivarla.
Ciao,
        Tosh.

Grazie!

 "named" acl, di cancellare e inserire le righe selettivamente
Ciao
E' possibile anche con le numbered access-list......
ip access-list extended 100
(config-ext-nacl)#no permit.....(la regola che ti interessa eliminare)
invece la IOS  12.2 S ti permette una cosa ancora più carina....
numerare la sequenza delle acl in modo da poter inserire o togliere la
regola che ti interessa.. e posizionarne una dove vuoi....
http://www.cisco.com/en/US/customer/products/sw/iosswrel/ps1838/products_feature_guide09186a0080134a60.html#1027129
ES.
output di una sequenced ACL....
Extended IP access list 150
    10 permit ip host 10.3.3.3 host 172.16.5.34
    15 permit icmp any any
    20 permit tcp any host 10.3.3.3
    25 permit ip host 10.4.4.4 any
    30 permit ip host 172.16.2.2 host 10.3.3.12
    35 permit ip host 10.3.3.3 any log
    40 permit tcp host 10.3.3.3 host 10.1.2.2
    45 permit ip host 10.3.3.3 any
    50 permit ip any any
Se volessi inserire una ACL in testa a tutte, normalmente dovresti
cancellare completamente l'ACL, editarla e poi ri-incollarla sulla config
(mentre ti ricordo che su tutte le ios è possibile rimuovere una singola
riga)
invece qui è sufficiente specificare il numero sequenziale della acl e poi
la regola che ti interessa.
ES
Router(config)#ip access-list extended 150
Router(config-ext-nacl)#5 deny tcp host 10.3.3.3 host 172.16.5.34 eq www
L'output della nuova ACL sarà
Extended IP access list 150
     5 deny tcp host 10.3.3.3 host 172.16.5.34 eq www
    10 permit ip host 10.3.3.3 host 172.16.5.34
    15 permit icmp any any
    20 permit tcp any host 10.3.3.3
    25 permit ip host 10.4.4.4 any
    30 permit ip host 172.16.2.2 host 10.3.3.12
    35 permit ip host 10.3.3.3 any log
    40 permit tcp host 10.3.3.3 host 10.1.2.2
    45 permit ip host 10.3.3.3 any
    50 permit ip any any
Mentre per rimuoverne una....
Router(config)#ip access-list extended 150
Router(config-ext-nacl)#no 15
L'Output  sarà il seguente
Extended IP access list 150
     5 deny tcp host 10.3.3.3 host 172.16.5.34 eq www
    10 permit ip host 10.3.3.3 host 172.16.5.34
    20 permit tcp any host 10.3.3.3
    25 permit ip host 10.4.4.4 any
    30 permit ip host 172.16.2.2 host 10.3.3.12
    35 permit ip host 10.3.3.3 any log
    40 permit tcp host 10.3.3.3 host 10.1.2.2
    45 permit ip host 10.3.3.3 any
    50 permit ip any any
Ciao
Carlo

 ip access-list extended 100
Quella è una named acl che è stata chiamata con un numero per farla
assomigliare ad una numbered.
Sei perdonato solo perchè hai spiegato con dovizia di particolari quello che
non avevo voglia di fare io ;-)
Ciao,
        Tosh.


...perchè ero accusato di qualcosa?
:-0
Ciao
Carlo


Voleva essere una battuta, ovviamente a questo punto fuori luogo.
Ciao,
        Tosh.