Newsgroup: it.comp.reti.cisco
Titolo: Help me , integrazione con Proxy ISA in DMZ !!!

Salve a tutti,
il mio scenario è il seguente:
due PIX525 Failover,
con 4 schede, così utilizzate:
1) INSIDE - Zona Server
2) OUTSIDE -> ISP 2 router Cisco 3620 ( non fanno NAT lo faccio io sui
PIX)
3) DMZ con ip privati 172.xxx.xxx.xxx che uso per PROXY ISA e FrontEnd
Microsoft Exchange
4) ZONA HOSTS
Per adesso tutto ok, tutti gli utenti in zona Hosts navigano su
Internet, nattati dal PIX in maniera dinamica anche con il PAT, le
macchine in DMZ sono Nattate in maniera statica senza PAT, e navigano
anche esse.
I pc della zona server possono vedere con il nat inside la zona DMZ,
così anche tutti gli hosts interni.
ADESSO vengo al mio grande dilemma, per utilizzare il proxy ed essere
sicuro che tutti gli utenti escano con il proxy che devo fare ?
devo togliere il nat outside , e cambio la route inside, che
attualmente punta allo switch di centro stella che fa una punto punto
con i due router di frontiera verso internet, facendo puntare il mio
pix direttamente al proxy ?
Ma così facendo tutti gli hosts, escono dal proxy direttamente, oppure
il proxy è a sua volta rigirato verso la punto punto con centro stella
? Dovrò mettere una rotta sul proxy, oppure lascio solo la route
outside sul pix verso la DMZ ???
OPPURE, suggeritemi voi .....
Vi do il dettaglio di quello che ho sul mio pix, così vi è tutto più
chiaro ....
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security40
nameif ethernet3 hosts security80
ip address outside 10.240.1.1 255.255.255.248
ip address inside 131.1.10.1 255.255.255.0
ip address dmz 172.168.1.1 255.255.255.0
ip address hosts 131.1.11.1 255.255.255.0
global (outside) 1 80.xxx.xxx.100-80.xxx.xxx.120 netmask
255.255.255.128
global (outside) 1 80.xxx.xxx.121
nat (inside) 1 131.1.10.1 255.255.255.0 0 0
nat (dmz) 1 172.168.1.1 255.255.255.0 0 0
nat (hosts) 1 131.1.11.1 255.255.255.0 0 0
PROXY 80.xxx.xxx.122
MS Exchange 80.xxx.xx.xxx.123
ROUTER di frontiera 10.240.1.2 (HSRP)
SWITH L3 di Centro Stella 131.1.10.2
route outside 0.0.0.0 0.0.0.0 10.240.1.2 1
route hosts 131.1.0.0 class-B-mask 131.1.10.2
Vi ringrazio anticipatamente per il vostro prezioso aiuto,
un saluto a tutti.
bye,bye.

 direttamente al proxy ?
a. metti una access-list che vieta tutto il traffico http/https/ftp e lo
permette solo al proxy: o hai il proxy o non esci.
b. se hai un router nella inside che fa da def gw per tutti e gira il
traffico non per la wan verso il pix fai una route map che gira quel
traffico sull'isa server.
c. butti via isa server e metti websense che si integra con il pix 
d. butti via isa server e cmq hai guadagnato molto :)
un mayhem e le scelte importanti
-- 
I dilettanti hanno costruito l'arca, i professionisti il Titanic
Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
SPP  wpage: 
http://www.spippolatori.com
Hacklab VR: 
http://www.m2net.it.eu.org

...


 installato.
ti pregherei di riportare solo la parte di testo a cui rispondi e prima
della tua risposta.
detto questo forse butterei isa per mettere squid + squidmanager
un mayhem che lo suggerisce sotto openbsd


OK, GRAZIE MAYHEM, ho capito che ISA ti sta proprio ....

 --
scusate, mi inserisco nel discorso con un piccolo OT, non conosco squid
ma conosco un po' ISA, squid permette di ripartire porzioni di banda su
gruppi di utenti anche in base al giorno e all'ora?
se lo metto su openbsd ho a disposizione un interfaccia grafica per
configurarlo? (non e' per me...da quando ho iniziato a studiare un po'
linux apprezzo la command line ma alcuni clienti proprio no  ;-))  )
inoltre c'e' qualche modo per avere due macchine con squid in stateful
failover e/o load balancing?
                         bebe
--
se vuoi scrivermi togli 6*3 dall'indirizzo
if u want to mail me remove 6*3 from my address

 balancing?
si ci sono diversi modi per il load balancing, per lo stateful failover
ricordo dei post su alt....openbsd che parlavano di un progetto
sperimentale, ma non ricordo bene.
qui tuttavia stiamo parlando di firewalling, non di proxy.
 
un mayhem dolorante
