Newsgroup: it.comp.reti.cisco
Titolo: Info su PIX 515 unrestrict con 6 ethernet

Supponiamo di avere 3 router di cui due gestiscono due diverse subnet ( A+B,
C+D) e uno gestisce una subnet (E)da utilizzare per telefonia IP.
E' possibile utilizzando uno switch tra i router e un PIX 515 unrestrict con
6 interfacce di rete fare in modo che ad ogni interfaccia di rete del PIX
sia associata una diversa subnet ( 1:A, 2:B, 3:C,... ) ?
Grazie per qualsiasi info.
Don


Don, 
dovresti essere piu' preciso con" router che gestiscono ..."
Il Pix ti puo'gestire 6 segmenti di rete. A livelli di sicurezza cresenti, per
cui i router dovrebbero offrire al Pix il traffico delle varie net. Cioe' metti
l'interfaccia LAN dei 3 router e l'interfaccia outside del pix in una singola
net e poi hai due scelte:
-inserisci una route per ciascuna net che il router gestisce verso l'IP della
outside del Pix (questo genera anche entries nel log del pix quando qualcuno
cerca di accedere a IP che non hanno una xlate)
-Inserisci una route per ciascuna net che il router gestisce, che punta alla
ethernet del router, questo provochera' una richiesta ARP sul segmento ethernet
ed il PIX fara' proxy ARP solo per gli IP per cui ha una xlate attiva (normale
modo di funzionamento del PIX)
E' evidente che tutto il traffico quindi passera' sul segmento condiviso. Che
cio' sia accettabile o meno ..... sono fatti tuoi. 
Un ulteriore modo per proteggere il traffico da interferenze vicendevoli (i.e.
un router che comunica con un altro router ...) e' quello di creare dei VPN
tunnel tra il PIX ed il router (usa DES perche' ti interessa mantenereCPU load
baso e non garantire la sicurezza cripto del segmento che immagino sia tutto
sotto il tuo controllo (fisico) evitando, ovviamente, il peering tra i router
ma garantentolo solo tra router e PIX
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

Mi spiego meglio, o almeno ci provo:
ho una linea HDSL con due diverse subnet, es 218.12.12.x e 87.14.15.y ed una
linea ADSL con una subnet 88.11.12.z.
Vorrei usare la subnet 218 per la pubblicazione di alcuni siti e-commerce,
la 87 per la pubblicazione di siti standard, e la 88 per la gestione dei
server di posta.
La linea ADSL ha anche una connessione ISDN di backup.
Dato che vorrei utilizzare anche l'ITS, dovrei considerare l'utilizzo anche
di una intervaccia ISDN voice.
A questo punto la scelta migliore del router è a mio parere un 2691 che
dispone di 3 slot WAN e di un Network Module che può ospitare l'interfaccia
Voice.
A questo punto, il router fornisce 2 interfacce fast ethernet e devo
ovviamente utilizzarle per gestire tutto il traffico.
A questo punto ho considerato la connessione di una di queste interfacce con
un PIX con 6 porte utilizzando la outside per la connessione con il router,
la inside per connettere la rete interna, la dmz1 per i server di posta, la
dmz2 per la telefonia, la dmz3 per i server e-commerce e la dmz4 per i
server web standard.
Condifucando opportunamente le security, e ovviamente il SO, dovrei dalla
rete interna poter gestire i diversi server e garantirmi una certa
protezione (es ai server di posta non dovrà arrivare altro traffico che non
POP e SMPT, ecc..).
L'unico dubbio che mi rimaneva è l'interfaccia tra il router ed il PIX.
In pratica nel router posso creare delle sub interface o impostare degli
indirizzi con ip address xxx yyy secodnary, ma poi come faccio a far
'vedere' al pix tutti gli indirizzi IP presenti nel router ?
Devo nattare sul router e fornire in uscita una sola subnet o...........
Grazie per l'aiuto.
Don

Dimenticavo.. se hai qualche soluzione alternativa.. be ogni consiglio è be
accetto !
Ciao
Don

 Don
Ciao
