Newsgroup: it.comp.reti.cisco
Titolo: PIX, router e server

Saluti a tutti,
avrei necessità di configurare un sistema costituito da un router ADSL Cisco
827, un PIX ed un mailserver/proxy.
Avevo pensato ad una configurazione con due indirizzi pubblici, uno sul
router e l'altro sul PIX, sarà poi il PIX ad inoltrare le richieste sulle
porte 25/80/110 al mio server in modo tale da permettere il corretto flusso
della posta sul server.
Il mailserver ha anche funzione di proxy, e deve quindi essere in grado di
uscire su internet senza problemi per far navigare gli utenti della LAN.
Inizialmente mi è stata proposta una configurazione con "doppio NAT", dove
veniva utilizzato un solo indirizzo pubblico, in seguito sono stati
acquistati 4 indirizzi, ma subito dopo mi è stato detto che non sono
sufficienti per supportare un impianto costituito da un router, un PIX ed
una LAN...
Sono decisamente poco convinto della necessità di acquistare una subnet di 8
IP per installare solo un router, un PIX ed un server.
Purtroppo non conosco nulla riguardo alla configurazione dei PIX e ai
problemi che ne derivano e avrei bisogno di qualche indicazione per poter
capire come distinguere una soluzione valida da una assolutamente
inefficiente.
Spero di essere stato sufficientemente chiaro nell'esposizione del mio
problema e vi ringrazio per qualunque aiuto
Bye
Renato

 ha scritto nel messaggio
news:B8C01B40.1093%RMas...@computer-line.it...


La tua soluzione sembrerebbe coincidere con la prima soluzione che mi è
stata prospettata.
Su questa rete il proxy serve essenzialmente ad assegnare i diritti di
accesso ad internet, in base alle credenziali di accesso alla rete e
suddivisi per protocolli/servizi.
Se non ho capito male la configurazione che mi hai suggerito, dovrei avere
un sistema così configurato (spero che lo schema sia comprensibile):
Internet
   |
   |
Router Cisco 827
   | IP1
   |
   | IP2
Firewall PIX (credo 506)
   | IP3
   |
   | IP4
Proxy/Exchange
   | IP5
   |
  LAN
L'ISP dovrebbe quindi fornire una subnet di 4 indirizzi (di cui il primo e
l'ultimo sono inutilizzabili). Assegno quindi i restanti 2 indirizzi (IP1 e
IP2) al router ed al PIX.
Definisco quindi una subnet privata da cui prelevare gli indirizzi IP3 e IP4
da utilizzare tra PIX e server (per es. 
192.168.1.0/30
).
Sul server configuro poi la scheda dal lato LAN con un altro indirizzo
privato (per es. dalla subnet 
192.168.2.0/24
)
Sul PIX bisognerà quindi configurare delle regole che inoltrino verso il
server i pacchetti provenienti dall'esterno e destinati alle porte
25/80/110.
Infine bisognerà configurare il PIX per consentire l'uscita su internet del
proxy (non dovrebbe servire nulla per i client, visto e considerato che si
trovano dietro ad un proxy).
Fin qui tutto è logico e non mi sembra presentare particolari ostacoli se
non fosse che...
l'ennesima segnalazione di "possibili problemi" mi fa presente che non posso
configurare simultaneamente l'instradamento verso l'interno delle porte
25/80/110 ed il nat per l'uscita verso internet. La spiegazione, così mi è
stata riportata, risiede nella struttura dell'IOS del PIX e quindi si tratta
di un problema insormontabile a meno di acquistare una subnet di 8 indirizzi
(con un costo decisamente maggiore)
Resto sempre più convinto della validità della soluzione descritta, ma ho
bisogno di elementi tangibili per impedire l'acquisto di risorse inutili
(almeno nell'ambito di questo progetto).
Grazie dell'aiuto 
Bye
Renato
In 0lCm8.12513$
pT1.3...@news1.tin.it
, poker, 
po...@paoloavena.net
, il


 ha scritto nel messaggio
news:B8C136FF.11D5%RMas...@computer-line.it...


   LAN
mi sfugge una cosa: perche' usi due interfacce per il proxy?
(aggiungendo una rete..)
 Internet
    |
    |
 Router Cisco 827
    |
[rete privata, solo router e pix]
    |
 Firewall PIX (credo 506)
   |
[rete interna privata, con proxy, client e quant'altro]
sul pix fai uscire solo il proxy e cosi' se i client non lo utilizzano, non
escono...
Lyl

In a7ntbe$edc$
1...@newsreader.mailgate.org
, Lyl, 
ly...@hkem.com
, il 25-03-2002
20:25 ha scritto:

Ops... nell'esposizione iniziale del problema mi sono dimenticato di
specificare che il PIX è soltanto in prova, non è detto che venga poi
effettivamente acquistato ed utilizzato.
Inizialmente c'erano soltanto router e proxy, solo ultimamente si è pensato
di aggiungere un firewall, quindi la configurazione proposta è soltanto un
"aggiornamento" di quella iniziale.
Da persona assolutamente impreparata in materia, continuo però ad apprezzare
la suddivisione fornita dal proxy (probabilmente superflua) tra WAN e LAN.
Probabilmente uno dei vantaggi offerti da questa soluzione è quello di poter
tranquillamente intervenire sul PIX senza particolari conseguenze sul resto
della rete: quando il PIX verrà tolto (se verrà tolto) basterà riconfigurare
un paio di impostazioni sul proxy o sul router e tutto dovrebbe funzionare
senza problemi. Dovrebbe.
Devo d'altra parte riconoscere che quest'ultima soluzione permetterebbe
eventualmente di gestire situazioni in cui i client non siano completamente
supportati da MS Proxy 2 e quindi debbano accedere ad internet in modo
"alternativo".
Grazie
Renato