Newsgroup: it.comp.reti.cisco
Titolo: Riconfigurazione PIX 501

Stiamo passando ad altro operatore, e devo riconfigurare il PIX.
Però sto incontrando problemi che non riesco ad inquadrare.
 
Situazione attuale: il fornitore precedente (FastWeb) ci aveva dato 4 IP 
pubblici nattati sul suo apparato (192.168.0.1 - 4 che venivano nattati 
su 4 indirizzi pubblici).
La configurazione era la seguente:
 
ip address outside 192.168.0.1 255.255.255.0
global (outside) 1 192.168.0.2
route outside 0.0.0.0 0.0.0.0 192.168.0.254 1
 
L'indirizzo 192.168.0.2 era usato per la navigazione Internet, il 
192.168.0.1 per una VPN LAN-to-LAN, gli altri 2 per dei server.
 
Il nuovo fornitore ci dà una sottorete da 8 ip pubblici, in routing sul 
modem (nostro, ZyXEL P-660H): A.B.C.240 255.255.255.248. Secondo teoria, 
di questi indirizzi ne posso usare 6, essendo il 240 la rete e il 247 il 
broadcast.
Vorremmo mantenere più o meno lo stesso schema del precedente, con 
A.B.C.241 per la VPN e A.B.C.242 per la navigazione, più i server.
 
Se collego un portatile al modem, usando A.B.C.241..246 come IP e 
A.B.C.240 come gateway riesco a navigare senza problemi.
 
Ho quindi ri-configurato il PIX in questo modo:
 
ip address outside A.B.C.241 255.255.255.248
global (outside) 1 A.B.C.242
route outside 0.0.0.0 0.0.0.0 A.B.C.240 1
 
Però non navigo (riesco a pingare A.B.C.241, ma non A.B.C.240).
 
Ovviamente sbaglio qualcosa!
 

 route outside 0.0.0.0 0.0.0.0 A.B.C.240 1
 
La default route dovrebbe puntare all'ip del tuo default gateway (lo 
Zyxel) e non ad un network address
 
-- 
Bye
Gianfranco Bartolini
(gianfranco punto bartolini at tiscali punto it)


 
Appunto, quello è: A.B.C.240. Se uso altri gateway con il portatile non 
navigo più...
A meno che non devo impostare come gw l'indirizzo ip del modem, che però 
è su una rete diversa, A.E.F.86, a quel punto devo impostare:
 
ip address outside A.E.F.85 255.255.255.252
global (outside) 1 A.B.C.242
route outside 0.0.0.0 0.0.0.0 A.E.F.86 1
 
Ma mi pare difficile che funzioni....
 

 è su una rete diversa, A.E.F.86, a quel punto devo impostare:
 
Certo che devi impostare come gw l'ip del modem, ma la sua cfg e' 
sbagliata. Sulla sua interfaccia interna non devi impostare l'ip punto 
punto (quello della rete diversa) ma attribuirgli un A.B.C.246 
255.255.255.248 che diventera' il default gateway del pix
Consigliato anche disabilitargli il nat (o SUA negli Zyxel)



Ok, quello che avevo capito mi stava appunto facendo crollare le poche 
certezze che ho su come funzionano le reti!
 
Il modem non ha un parametro per indicare il default gw, ho messo nella 
lan A.B.C.246/29 e adesso mi considera il 246 come gw. Stasera riprovo 
la configurazione del PIX.
 
Ora, toglimi una curiosità: questo tipo di settaggio del modem (mettere 
come indirizzo di inizio il default gw) è una impostazione comune (ergo: 
cambia marca ma la procedura sarà la stessa, ovvero il modem calcola il 
range di indirizzi usando la netmask) od è una peculiarità di ZyXEL? 
Giusto per aggiungerlo alle cose "se non le sai, salle".
 
 

 Giusto per aggiungerlo alle cose "se non le sai, salle".
 
Presumendo che Telecom ti abbia assegnato una linea con protocollo 
RFC1483 ed una subnet di 8 ip pubblici aggiuntivi, in pratica il 
meccanismo è generalmente questo (a parte qualche rara variante secondo 
i casi):
 
- sulla wan del router va impostato l'ip punto-punto. Il default gateway 
del router viene ricavato dalla maschera di rete, in genere l'ip 
punto-punto diminuito di 1 se maschera 255.255.255.252 oppure l'ip con 
254 finale se maschera 255.255.255.0. Si può al limite anche inserire 
come default gw lo stesso ip punto-punto con maschera 255.255.255.255 
che funziona ugualmente.
In realtà l'impostazione del default gw sulla wan è facoltativa essendo 
una cfg punto-punto ed alcuni router in questo caso non la richiedono.
 
- sulla lan del router va impostato uno qualsiasi degli ip della subnet 
aggiuntiva, maschera 255.255.255.248, nat/sua solitamente disabilitato
 
- sulla wan del firewall va impostato un altro degli ip della subnet 
aggiuntiva, maschera 255.255.255.248, default gateway l'ip della lan del 
router
 
- sulla lan del firewall va impostato un ip privato della rete interna 
che diventera il default gateway di quella rete. Nat solitamente abilitato
 
A complicare le cose ci si mettono i router Zyxel in particolare quelli 
più datati che non dividono molto chiaramente le impostazioni wan e lan 
e quindi si rischia di fare confusione.
 
Un esempio di cfg di router Cisco su adsl RFC1483 routed la trovi qui
 
http://www.cisco.com/en/US/products/hw/routers/ps2167/products_configuration_example09186a0080093fc3.shtml
 



Grazie dello spiegone.
La cfg del modem l'avevo già fatta grazie al supporto tecnico, quello 
che non mi tornava era il default gw lato LAN che secondo tutti i 
manuali tecnici non poteva essere 240 né 247, in quanto riservati per 
network e broadcast, ma sulle impostazioni LAN dello ZyXEL non c'erano 
indicazioni che si potesse impostare a piacere. Quindi ho preso per 
buono che, mettendo 240 nella LAN, il default gw fosse 240.
Grazie a te ho scoperto che mettendo 246, il router prende 240-247 come 
range e mette il default gw a 246!
 
Comunque ho riconfigurato e sembra andare, un po' lento perché non ho 
flashato la cfg e ricaricato; passiamo da una linea 4/4 di FW (in realtà 
una 3/1) ad una 12/1 (in realtà una 6/1) di Wind/Infostrada: speriamo 
bene...
 
 

 range e mette il default gw a 246!
 
Chiaramente in base a ip/netmask inseriti lui calcola automaticamente 
network e broadcast.
Poi che metta lo stesso ip come gw è conseguenza del fatto che in ambito 
punto-punto non è cosi' importante definirlo sulla wan, come avevo gia' 
scritto puo' essere anche lo stesso ip
