Newsgroup: it.comp.reti.cisco
Titolo: Dmz-Outside Pix 515

Salve a tutti.
Cortesemente mi date una mano a risolvere il seguente problema:
Internet<-->Router<-->Pix<-->Dmz
Ho una macchina in Dmz (172.168.16.50 255.255.255.0) che ho nattato con un 
indirizzo pubblico (es: 85.85.85.76 255.255.255.240) aprendo la porta 80.
Quando mi collego dall'interno da un'altra macchina della rete 85.85.85. 
(es: 85.85.85.75) riesco a collegarmi tranquillamente sulla porta 80, ma 
quando arrivo da Internet non ci riesco.
Mi date una mano a capire cosa c'è di sbagliato nella seguente 
configurazione?
Grazie mille,
refra
PIX Version 6.3(3)
interface ethernet0 auto
interface ethernet1 auto
interface ethernet2 auto
interface ethernet3 auto shutdown
interface ethernet4 auto shutdown
interface ethernet5 auto
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
nameif ethernet3 outside2 security10
nameif ethernet4 intf4 security8
nameif ethernet5 wan security90
enable password NR9HZq encrypted
passwd NR9kq encrypted
hostname xxx
domain-name 
xxx.it
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
access-list wan permit ip any any
access-list dmz permit ip any any
access-list 500 permit tcp any host 85.85.85.76 eq www
access-list 500 permit ip any any
pager lines 24
logging console informational
mtu outside 1500
mtu inside 1500
mtu dmz 1500
mtu outside2 1500
mtu intf4 1500
mtu wan 1500
ip address outside 85.85.85.69 255.255.255.240
ip address inside 192.168.0.1 255.255.255.0
ip address dmz 172.168.16.1 255.255.255.0
ip address outside2 x.x.x.213 255.255.255.248
no ip address intf4
ip address wan 172.168.116.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
failover
failover timeout 0:00:00
failover poll 15
no failover ip address outside
no failover ip address inside
no failover ip address dmz
no failover ip address outside2
no failover ip address intf4
no failover ip address wan
pdm history enable
arp timeout 14400
global (outside) 1 85.37.185.70
global (dmz) 100 interface
global (wan) 40 interface
nat (inside) 0 access-list inside_outbound_nat0_acl
nat (inside) 100 192.168.0.0 255.255.255.0 0 0
nat (dmz) 1 172.168.16.0 255.255.255.0 0 0
static (dmz,outside) 85.85.85.76 172.168.16.50 netmask 255.255.255.255 0 0
access-group 500 in interface outside
access-group dmz in interface dmz
access-group wan in interface wan
route outside 0.0.0.0 0.0.0.0 85.85.85.65 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 
1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
http server enable
http 192.168.0.0 255.255.255.0 inside
http 172.168.16.0 255.255.255.0 dmz
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd ping_timeout 750
dhcpd enable inside
terminal width 80
Cryptochecksum:9cd369
: end
[OK]

Ciao
Per internet intendi i pacchetti provenienti dall' interfaccia outside?
Se è cosi manca l' acl su quell' interfaccia, quindi non  è permesso
niente.
Cippa

 ha scritto nel messaggio 
news:1140164584.3...@g47g2000cwa.googlegroups.com...


Scusa avevo letto male...
Potrebbe essere un problema di proxy arp. l' indirizzo della static non
appartiene fisicamente a nessuna interfaccia.
Per far si che il pix risponda alla richieste arp per qesto ip deve
essere abilitato il servizio proxyarp, per abilitarlo il comando
dovrebbe essere.
sysopt proxyarp outside
Spero di esserti stato di aiuto stavolta.
Cippa


Così descritto sembra più un problema di routing, tipo che il pool di 
indirizzi invece che da 16 sia solo da 8 ip o mille altre motivazioni fino 
ad arrivare alla mancanza del default gateway sul pc.
Facendo uno show dell'acl sull'interfaccia esterna si potrebbe vedere se il 
traffico raggiunge il pix, il che significherebbe anche che il proxy arp 
funziona.
Ciao,
         Tosh. 

 ha scritto nel messaggio 
news:1140425387.7...@z14g2000cwz.googlegroups.com...
