Newsgroup: it.comp.reti.cisco
Titolo: 5505 help

ciao gente
sono ancora alle prese con l'amico cisco 5505
ho qualche problema nel fare una cosa -credo- banale.
mi sono letto manualetti e guide "howto" (lo ammetto: non mi sono 
sciroppato centinaia di pagine, sono andato un po' al "risparmio"), ma 
anche se mi pare di aver seguito tutto alla lettera c'è qualcosa che 
non mi torna.
allora.
io voglio semplicemente fare in modo che un computer dentro la mia rete 
sia visibile da fuori come server web.
ho creato tre vlan: inside (10.10.0.x), outside (10.10.10.x) e dmz 
(10.10.11.x).
il server web, così come il mio pc, ha due indirizzi sulla sua scheda: 
uno di classe 10.10.0.x e uno 10.10.11.x.
io _pensavo_ di aver sistemato il tutto con
mi riassumete in modo breve quali sono i passi che devo compiere per 
far raggiungere *sempre* questo server dall'esterno?
specifico il *sempre* perché ciò che mi accade è strano: i collegamenti 
dall'esterno (usando il nostro IP pubblico, che è statico) funzionano 
una volta sì e una volta no. e nei log del 5505 ci sono un sacco di 
"teardown connection" che coinvolgono il czz di server.
(e non è un problema di linea: con un altro router il tutto funziona 
senza problemi)
idee? :(
grazie mille in anticipo
d.

Non devi mettere 2 indirizzi sul server, un firewall (e in special modo un ASA) non funziona così.
Dai al pc un indirizzio della DMZ e poi crea una regola di NAT indirizzo pubblico -> indirizzo privato per le porte che ti interessano (se è un server web immagino la 80 e al limite la 443).

 io _pensavo_ di aver sistemato il tutto con
manca:
"un paio di regole nelle access rules e un paio di regole gemelle tra 
le nat rules. ma evidentemente non č cosě."
:-)

 (se č un server web immagino la 80 e al limite la 443).
ok, aspe :-)
i nostri indirizzi pubblici sono 10.10.0.x
la nostra lan sarebbe 10.10.10.x
la dmz č 10.10.11.x
al server devo dare SOLO un indirizzo 10.10.11.x? :-/
(la seconda scheda di rete, attaccata alla LAN, era per raggiungerlo 
anche da dentro, per copiare file nelle varie cartelle via SMB... č 
sbagliato?)
cia'
d.

 (la seconda scheda di rete
scusa: il secondo indirizzo (pardòn)

 copiare file nelle varie cartelle via SMB... è sbagliato?)
Certo, è il principio stesso della DMZ: se ti bucano l'host in DMZ e hai 
la sceonda scheda di rete connessa alla rete interna è come se ti 
avessero bucato la LAN, perchè dalla DMZ entrano direttamente in LAN 
senza passare attraverso il firewall.
Se invece metti un'unica interfaccia di rete tutto il traffico è 
ispezionato dal firewall.
Devi avere una configurazione in questo modo:
		RETE PUBBLICA
			|
			|
		    FIREWALL ------DMZ
			|
			|
		RETE INTERNA
Le ACL che devi configurare sul firewall sono le seguenti:
pubblica -> dmz: permetti solo i servizi che vuoi pubblicare
dmz -> pubblica: permetti il minimo (sarebbe buona regola bloccare ogni 
connessione verso l'esterno, ma a volte non se ne può fare a meno)
interna -> dmz: anche qui permetti i servizi che ti interessano, ma puoi 
essere un po' più "tollerante"
dmz -> interna: qui devi essere molto stringente, per evitare che 
l'attacco possa propagarsi.
Ricordati anche che l'ASA è stateful, questo ti aiuta molto.
 

 ispezionato dal firewall.
ok
scusa se mi approfitto del tuo aiuto, ma sono davvero un po' in alto mare
mettiamo che io voglia tirar su un servizio "al volo" dal mio pc. tipo, 
che so, un FTP per permettere a un cliente di scaricare un file. o un 
server web, o una webradio o un websalca**o :-)
'sta cosa me la devo scordare? :-( oppure metto direttamente anche il 
mio pc nella dmz?
ciao e grazie ancora
d.

 mio pc nella dmz?
No no...il tuo pc deve stare nella rete interna.
Al limite ti metti una regola di NAT IP esterno -> IP del tuo pc e sei a 
posto.
Io ti consiglierei di fare una cosa diversa: metti un pc con linux e 
Virtualbox in DMZ e creati le macchine provvisorie lì dentro, almeno non 
avrai problemi di questo tipo.