Newsgroup: it.comp.reti.cisco
Titolo: Ci riprovo: NAT + PAT o ACL sull'interfaccia??

Ciao a tutti...dopo aver avuto successo con lo sfoglia rete (IP
HELPER-ADDRESS a chi servisse) su una vpn, ora torno al mio problema piu'
grosso: dare/togliere accesso ad alcuni pc collegati al router 827-4V alle
varie connessioni.
Mi spiego meglio:
Ho una lan aziendale con ip 
172.16.0.0/24
 collegata al primo router Cisco
827-4V
Tutti i pc navigano liberamente e hanno tutte le porte aperte.
Il router ovviamente ha un bel nat interno per poter dare la connessione a
tutti i pc e tutto funziona benone.
Per inciso il router fa anche un tunnel 3des con un altro router identico ma
il canale del tunnel non dovrebbe creare problemi a quanto voglio fare.
La configurazione relativamente a questi dati e' la seguente:
sull'interfaccia ethernet0 (rete interna) ho IP NAT INSIDE
sull'interfaccia dialer0 (rete verso internet) ho IP NAT OUTSIDE
e un access-group 120 in con
access-list 120 permit esp host IP_PUBBLICO_REMOTO host IP_PUBBLICO_LOCALE
access-list 120 permit udp host IP_PUBBLICO_REMOTO eq isakmp host
IP_PUBBLICO_LOCALE eq isakmp
access-list 120 permit ip any host IP_PUBBLICO_LOCALE
*** Ed ecco la domanda:
per gestire la possibilita' dei singoli pc di andare su internet (porta 80),
di mandare/ricevere la posta (porte 25 e 110) o di gestire altri servizi,
devo creare altre regole sulla access-list 120 (ovvero bloccare su lato
"esterno" del router) o devo modificare il nat interno con comandi del tipo
ip nat inside source static tcp IP_INTERNO PORTA interface dialer0 PORTA
?
Ovviamente finora le ho provate entrambe ma con scarsi risultati! ;-(
Io pensavo di dover lasciare entrare/uscire tutto sul/dal router in modo che
i pc privilegiati possano avere un collegamento senza limiti (e quindi
niente acl sul dialer0) e di limitare sul lato interno del router (sulla
ethernet0) certi servizi su certe porte.
Ma questa seconda cosa non so proprio come farla...
Grazie mille per eventuali aiuti!
Emanuele che e' gia' felice perche' riesce a sfogliare la rete sulla vpn tra
i due cisco! ;-)

 ha scritto nel
messaggio news:b7gc06$hfe$1...@lacerta.tiscalinet.it...


 i due cisco! ;-)
Emanuele che deve leggersi come configurare le access-list sul sito della cisco
http://www.cisco.com/univercd/cc/td/doc/product/software/ios122/122cgcr/fipr_c/ipcprt1/1cfip.htm#1109098
:-) Senza offesa.
Ciao
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

 :-) Senza offesa.
Eh eh!
Altro che offesa...hai pienamente ragione!
Devo ammettere che sul sito Cisco passo parecchio tempo pero' non sempre
trovo quello che cerco e a volt trovo un sacco di informazioni che magari
non servono al mio caso!
Il link che mi hai dato e' gia' bello stampato e serviva parecchio...inutile
dire che non l'avevo ancora beccato!
Avevo trovato chili di roba su access list riflessive, statiche e
dinamiche...spiegazioni sul nat (globale e locale) ecc ecc...
Ancora grazie mille e chiedo umilmente perdono per l'ignoranza in materia!
Pero' dai.....in una settimana (tempo fa) ho configurato da zero e senza
alcuna epserienza cisco tutto i lrouter per fare:
collegament internet ADSL
nat per condivisione del collegamento sulla rete interna
tunnel non crittografato seguito da tunnel ipsec con 3des per fare la vpn
con il secondo router
abilitazione del firewall...vabbeh...configurato malino credo
VoIP sulle 4 porte voce con l'altro router
e adesso gestione dei servizi e accesso dei singoli pc ai servizi...
dai non e' proprio malissimo no?
Ok, di norma si fa tutto in una giornata....sob...
Ciao e grazie ancora!

 Ciao e grazie ancora!
Tutti abbiamo imparato da qualche parte. Io ho iniziato con 2 2511 che venivano
usati sa un piccolo ISP (200 utenti).
L'importante e' essere umili e studiare e studiare. C'e' un mondo da imparare e
cambia piu' velocemente di quanto si possa studiare (pensiero deprimente ma
vero). L'importante e' divertirsi :-)
