Newsgroup: it.comp.reti.cisco
Titolo: VPN site to site con NAT

Scusate se l'argomento è un po' trito, ma leggendo altri post non sono
riuscito a risolvere i miei problemi.
Dovrei instaurare una VPN site to site verso un cliente, il problema è
che sul suo concentratore esistono già dei tunnel IPSEC che usano tre
delle quattro subnet presenti sulla mia rete locale (
192.168.0.0/22
).
In sostanza dovrei cercare di nattare le mie reti in modo da non creare
casino sulle sue altre VPN, l'ulteriore problema è che il mio PIX è
già in produzione per cui ho questa situazione sulla inside:
global (TELECOM) 1 interface
nat (inside) 0 access-list NatZero
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
Cosa posso fare ?
Grazie a tutti.

In sostanza dovrei cercare di nattare le mie reti in modo da non creare
casino sulle sue altre VPN, l'ulteriore problema è che il mio PIX è
già in produzione per cui ho questa situazione sulla inside:
global (TELECOM) 1 interface
nat (inside) 0 access-list NatZero
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
Cosa posso fare ?
Semplicemente usare il comando "static".
Ciao,
         Tosh. 

L'access-list "NatZero" impedisce che venga fatta la nat fra le reti
che partecipano ai domini di encryption delle VPN.
Prima dovrei fare una static per tradurre la mia subnet 
192.168.1.0/24
in (
p.es
.) 
172.19.15.0/24
, ma solo se la destinazione è la rete locale
dell'altro estremo della VPN; inoltre dovrei aggiungere la rete
172.19.15.0/25
 nella ACL NatZero per evitare che passando attraverso
l'interfaccia pubblica TELECOM venga applicata la nat "overload".
Corretto ?
grazie 1000


Corretto ?
Errato!!
Per quale motivo, se devi nattare, metteresti un comando che esclude il nat?
Non ti sembra un controsenso?
Ciao,
        Tosh. 

No perchè spesso si mette la nat con ID 0 per evitare che al flusso
destinato alla VPN venga applicata la NAT global (ID 1) presente
sull'interfaccia pubblica (TELECOM).
Se succedesse questo credo che tutti i domini di encryption
diventerebbero inutili perchè ogni sorgente della rete interna sarebbe
nattato con l'ip dell'interfaccia pubblica e nessuna ACL che regola
l'encryption sarebbe pertinente.
L'ho visto in altre config e credo sia normale.

No perchè spesso si mette la nat con ID 0 per evitare che al flusso
destinato alla VPN venga applicata la NAT global (ID 1) presente
sull'interfaccia pubblica (TELECOM).
Ma tu DEVI fare nat per quelle destinazioni, per quale motivo esentare dal 
nat un traffico che deve essere nattato?
Se succedesse questo credo che tutti i domini di encryption
diventerebbero inutili perchè ogni sorgente della rete interna sarebbe
nattato con l'ip dell'interfaccia pubblica e nessuna ACL che regola
l'encryption sarebbe pertinente.
Chi ha detto ogni? Nessuno ha detto che devi rimuovere l'attuale nat 
exemption.
Ti consiglio di cercare "policy nat" sul sito cisco.
Ciao,
         Tosh. 

Ciao Tosh...
Sbaglio o una volta stavi provando il CCME con MyTCom ?
Come va ?
Ciao
Don
------------------------
http://www.ciscoshop.it

Su questo hai 1000 volte ragione.
Ti faccio un'ultma domanda anche se mi rendo conto di esaurire il bonus
delle cazzate: ho dato un'occhiata al manuale del PIX, ma non mi sembra
si possa fare contemporaneamente una Policy NAT (static con acl) e una
static fra reti (
p.es
. 10.10.10.0 11.11.11.0 netmask 255.255.255.0)
... Abbi pazienza ...


Non l'ho mai fatto personalmente, ma le doc cisco sembrano proprio indicare 
che si possa fare.
In pratica nella static devi indicare solo la rete "fittizia", il resto va 
specificato nella acl.
Magari controlla anche di non avere una release troppo vecchia.
Ciao,
        Tosh. 


Non sbagli, il fatto è che è passato un sacco di tempo e nel frattempo non 
ho mai avuto la necessità di implementarlo seriamente, comunque ero riuscito 
ad ottenere solo un funzionamento parziale, mi sembra che riuscivo a 
chiamare un altro utente mytcom ma non riuscivo a ricevere le chiamate ne 
tantomeno a chiamare in esterno.
Sono convinto che fossero in buona parte problemi di release, prima o poi 
troverò il tempo e la voglia di rimetterci le mani, anche perchè sono 
convinto che sia una feature interessante se funzionasse bene.
Ciao,
         Tosh. 

Ok grazie!