Newsgroup: it.comp.reti.cisco
Titolo: Risposta al mio quesito PIX515

salve a tutti,
trovata la soluzione: NON SI PUO' FARE!!!
Ma è normale che un prodotto come il pix non sia in grado di gestire
due isp!!!!!??????
il router a monte avete suggerimenti per come configurarlo?
grazie
ciao a tutti
ste
Q. Can I connect two different ISPs to my Cisco Secure PIX Firewall
(for load-balancing)?
A. No, you cannot load-balance on the PIX. The Cisco Secure PIX
Firewall is designed to handle only one default route. Connecting two
ISPs to a single PIX means that the the Firewall would need to make
routing decisions at a much more intelligent level. Instead, use a
gateway router outside the PIX so that the PIX continues to send all of
its traffic to one router. That router can then route/load-balance
between the two ISPs. An alternative is to have two routers outside the
PIX using Hot Standby Router Protocol (HSRP) and set the default
gateway of the PIX to be the virtual HSRP address. Alternatively, (if
possible) you can use Open Shortest Path First (OSPF) which supports
load balancing among a maximum of three peers on a single interface.
Buongiorno a tutti,
volevo chiedere se secondo voi è fattibile una cosa del genere:
           |----ROUTER ADSL-|*
INTERNET---|                |----PIX------LAN
           |----ROUTER A----|     |
                                  |
                                 DMZ
al ROUTER A è assegnata una classe di ip pubblici x.y.x.0 con subnet
255.255.255.240 che è diretta verso l'ip pubblico x.y.x.2 (che è
l'indirizzo ip assegnato all'interfaccia outside del pix).
il router ADSL ha un indirizzo ip pubblico nattato sull'indirizzo IP
10.10.10.41 che è assegnato ad un'altra interfaccia del pix, (il pix
ha 6 schede di rete).
attualmente quando le richieste arrivano al ROUTER A vengono mandate in
DMZ a seconda del servizio e a seconda dell'ip pubblico  , la
funzionalità che vorrei aggiungere è questa:
se le richieste arrivano al ROUTER ADSL il pix dovrebbe mandarle in DMZ
a seconda del servizio richiesto.
questo perchè vorrei utilizzare il server che ho in DMZ sia come mx10
(ROUTER A) che come mx40 (ROUTER ADSL).
sul sito della cisco non ho trovato nessun esempio di configurazione
con due interfacce "outside", avete quelche link da consigliarmi?
si risolve giocando con le route?
Non ho trovato il modo di dirgli che le richieste che hanno come
sorgente l'ip 10.10.10.41 di mandarle in DMZ
attualmente la route impostata SUL PIX è:
route outside 0.0.0.0 0.0.0.0 x.y.x.1 1
dove x.y.x.1 è l'indirizzo ip pubblico assegnato all'interfaccia del
ROUTER A.
Spero di essere stato chairo nel spiegare la questione, grazie di
tutto. 
saluti 
stefano

ste
Il PIX può avere una sola default route, e quindi se vuoi bilanciare i link 
(che in realtà è diverso da un load balancing), devi optare per altre 
soluzioni.
Dipende poi se vuoi bilanciare solo il traffico in uscita o anche il 
traffico in ingresso.
Una cosa che puoi fare.. anche se bisognerebbe verificare il tutto.. 
potresti indicare come indirizzo nel comnando route outside l'indirizzo 
dell'interfaccia outside del PIX, e poi connettere a tale interfaccia i due 
router con indirizzo IP nella stessa subnet dell'interfaccia outside.
In tal caso dovrebbe essere usato il router che per primo riesce a fornire 
il MAC address del next hop...
Ovviamente ilc aso migliore è un link balancer.. e li puoi trovare prodotti 
economici.. o molto salati..
Ciao
Don
------------------------
http://www.ciscoshop.it

 il router a monte avete suggerimenti per come configurarlo?
il pix e' un firewall, non un router.
dai al pix un ip pub, al router pure, usa crypto map sul router e nat pool.
un mayhme e le sigarette che scarseggiano
-- 
A condom is the glass slipper for our generation. You slip one on when
you meet a stranger. You "dance" all night, and then you throw it away.
The condom, I mean, not the stranger.
http://www.recursiva.org
 - Key on 
pgp.mit.edu
 ID B88FE057


grazie per la risposta ma il problema è che il router è di fastweb ,
è già configurato con un ip pubblico e tutta la classe è ridiretta
verso un indirizzo ip pubblico che è assegnato al pix.
grazie
ciao
Ste

ciao
Metti tra il PIX e i due router dei due ISP un altro router.. e su quello ci 
lavori un po..
