Newsgroup: it.comp.reti.cisco
Titolo: PIX & default gateway

Dovrebbe essere possibile indicare come default route l'indirizzo IP di 
un'interfaccia del PIX invece di indicare, come di consueto, l'indirizzo IP 
del router connesso sull'interfaccia outside.
Quindi, se si definisce come default route l'indirizzo IP dell'interfaccia 
outside, e all'interfaccia outside sono connessi 2 o più router.. cosa 
succede ?
Graie per qualsiasi info in merito.
Don
------------------------
http://www.ciscoshop.it
 

 Graie per qualsiasi info in merito.
Ma devi farlo per forza? Non capisco come le workstations sulla LAN pssano interpretare un Default 
gateway che non sta sulla loro LAN. O forse ho stracapito la domanda.
Ciao Alex.

Ciao Alex.
Non parlavo del default gateway degli host che stanno sull'inside e che, 
ovviamente, useranno l'indirizzo IP della porta inside del PIX come gateway.
Intendevo la default route del PIX: per intenderci, nel configurare un PIX 
devi idnicare tale default route per identificare il router al quale inviare 
i pacchetti in uscita; di solito si usa il comando route outside a.b.c.d 
255.255.255.0 1, però è possibile definire non il router come gateway ma 
bensì la stessa interfaccia outside del PIX.
La mia curiosità era: cosa succede in tal caso ai pacchetti in uscita ?
Ciao
Don
------------------------
http://www.ciscoshop.it
 

 La mia curiosità era: cosa succede in tal caso ai pacchetti in uscita ?
Penso che il PIX chieda sulla rete dell'outside qual é l'indirizzo IP cui mandare determinati 
pacchetti con destinazione IP generica (non appartenenti alla sotto rete dove è attaccata 
l'outside). Se c'é qualcuno (tale feature ha a che fare con il proxyARP se non sbaglio) i pacchetti 
verranno presi in consegna, cioè qualcuno dirà al PIX "dalli a me, dalli a me" e proseguiranno nel 
loro percorso, altrimenti verranno ignorati perché nessuno si sente "tirato in ballo" :-)
Penso che quello che ho detto sia ragionevole, no?
Alex.


Se si comporta come la maggior parte dei sistemi operativi dovrebbe generare 
un arp request alla quale risponderà uno dei router, sempre che non abbia il 
proxy arp disattivato, dopo di che il pix popolerà la tabella arp con il mac 
address del router associato a quell'indirizzo e fino a che non andrà in 
aging la userà per inoltrare il traffico verso quell'indirizzo.
Non credo però sia una buona soluzione, ammesso che funzioni, in primo luogo 
perchè allargherebbe notevolmente la tabella arp mangiando memoria per gli 
altri importanti scopi (xlates, connections, ecc..), in secondo luogo, se 
pensi di usarlo come una sorta di load balancing verso internet, c'è di 
mezzo il nat che guasta la festa.
Ciao,
         Tosh. 

         Tosh.
In effetti non è il massimo come load balancing.. però proverò a fare 
qualche test.
Un'altro problema da risolvere per avere un link balancing (più che load 
balancing) è la gestione del DNS dinamico.
So che ci sono i vari F5, Radware LinkProof, Foundry Serveriron, ecc ecc e 
che esiste qualcosa di Cisco ma a costi stratosferici.. e alcuni 
probabilmente diranno.. usa linux... ma non ci sono alternative ?



Hai citato uan serie di prodotti abbastanza poliedrici, ce ne sono diversi 
che fanno solo link balancing e che in teoria dovrebbero costare meno, tipo 
il netrely di extracube, il quale alla fine probabilmente č un'appliance 
linux con un'applicazione sviluppata da loro.
Ciao,
         Tosh. 

         Tosh.
Quelli citati sono in un certo senso i piů noti..
Ci sono anche i prodotti ascensit, edimax, ecc ecc che costano meno e sono 
piů limitati e che in effetti sono appliance con linux embedded.
Mi piacerebbe perň avere una soluzione solo Cisco... purtroppo.....idee al 
rigurado ?



Cisco, da quanto ne so io, non ha un prodotto del genere, si dovrebbe 
riuscire ad adattare i GSS o addirittura i CSS per fare qualcosa del genere, 
ma non credo che il gioco valga la candela dal punto di vista dei costi.
Non credo nemmeno si possano facilmente adattare delle funzionalità 
esistenti, vista la specificità del problema.
Per fare load balancing in uscita è necessario che l'apparato tenga 
monitorate le due linee, e questo potrebbe essere l'SAA dell'ios, ma poi 
deve distribuire il traffico in modo intelligente, cercando di tenere le 
stesse sessioni sempre verso le stesse connessioni in uscita, altrimenti 
molte applicazioni non funzionerebbero, vedi telnet o ftp, ma anche https; 
questa è una cosa che mi sa manchi del tutto in ios.
Per il load balancing in ingresso serve avere un dns autoritativo integrato 
con un sistema di monitoring delle linee (sempre eventualmente SAA), cosa 
anche questa che non mi risulta essere ancora implementata in ios.
La beffa è che in ios le singole tecnologie ci sarebbero già tutte, server 
dns, saa, pbr, ma manca il collante che le tenga insieme, sempre per quanto 
ne so io.
Forse è una questione di marketing, forse è una tecnologia che cisco reputa 
poco affidabile, forse non si sposa bene con le mille altre funzionalità di 
ios.
Se l'interesse per questa cosa continuerà ad essere alto non ho dubbi che 
cisco uscirà prima o poi con qualcosa di "abbordabile" al riguardo, 
integrato o meno in ios.
Ciao,
         Tosh.