Newsgroup: it.comp.reti.cisco
Titolo: nat senza overload e access-list ... questa e' veramente ostica!

ragazzi ho un bel problema!!!!  offro una birra a chi mi da un tip utile!
come da post precedente sto cercando di fare andare in multicast una macchina 
nattata,,,
ho il sospetto, quasi fontato, che se c'è l'overload non possa funzionare..
allore decido di provare con una macchina senza fare l'overload...
situazione
router1
	fa0/0.2  10.3.0.1  255.255.0.0
	fa0/0.1 ippubblici
	se0/0.1 puntopunto con router2
router2  fa0/0.1  ip pubblici
	 fa0/0.2 10.1.0.1 255.255.255.0
	 se0/0.1  punto punto verso il resto del mondo
	 se0/0.2  ippubblici
io sono sul router 1
voglio nattare i miei ip con i pubblici a disposizione...  ma ovviamante voglio 
che 10.1. e 10.3 si parlino senza nat
quindi:
ip nat pool uno pool.di.miei.ip etc.etc netmask 255.255.255.240
ip nat inside source list 102 pool uno overload
con la 102:
access-list 102 remark nat con overload
access-list 102 deny   ip 10.0.0.0 0.255.255.255 10.0.0.0 0.255.255.255
access-list 102 permit ip any any
adesso voglio che la macchina 10.3.2.2  sia nattata senza oveload ma con sempre 
lo stesso gioco per arrivare a 10.1 non nattata...
aggiungo:
ip nat pool due pool.di.miei.ip etc.etc netmask 255.255.255.240
ip nat inside source list 103 pool due  <-------  senza overload!!
access-list 103 remark nat senza overload
access-list 103 deny   ip 10.0.0.0 0.255.255.255 10.0.0.0 0.255.255.255
access-list 103 permit ip host 10.3.2.2 any
access-list 103  permit  ip any host 10.3.2.2
access-list 103 deny ip any any
e aggiungo in mezzo alla 102 deny ip 10.3.2.2 any e viceversa...
quello che succede e' questo
la maccina pinga regolarmente le macchina della 10.1...
appena faccio un ping ad es. a 
www.nasa.gov
 risponde regolarmente ma dopo 
spmette di andare il ping sulla 10.1  (riparte se faccio un clear ip nat trans *)
da quello che ho capito appena pingo la nasa  viene creata l'entry nella nat 
table e dopo netta tutto senza quardare piu' l'acl!!!
sto impazzendo!!! e' un giorno che ci lavoro!!!
pensavo fosse colpa del fast switching...  disabilitandolo non cambia nulla...
in mente ho 2 soluzioni "poco eleganti"...
1)le route policy dovrebbero essere valutate prima del nat e quindi potrebbero 
bypassare la cosa (ma sinceramente mi piace che le route passino con eigrp e non 
voglio mettere delle statiche)
2) con un tunnel posso non mettere l'ip nat outside per i pacchetti diretti alla 
10...  ma mi gioco un po' di mtu­..
non voglio essere troppo pignolo ma mi piacerebbe una cosa pulita!!!!
se poi non si puo' fare...

 tip utile!
cut
Non ti ho seguito molto nella illustrazione (colpa mia..), ma mi sembra di
aver capito che vuoi discriminare un'azione di nat a seconda della diversa
situazione, cioe' NAT quando esci sul pubblico e NO NAT quando rimani
nell'indirizzamento privato. Potrebbe esserti utile la possibilita' di
utilizzare una route-map al posto di un'access-list per discriminare tutto
cio'?
Cioe':
ip nat inside source route-map PPP pool pippo
route-map PPP permit 10
 match address 110
access-list 110 deny ip 10.1.0.0 0.0.255.255 10.3.0.0 0.0.255.255
access-list 110 permit ip 10.1.0.0 0.0.255.255 any
In questo modo eviti di fare NAT quando 10.1.0.0 parla con 10.3.0.0 (e fai
routing puro), e fai NAT per il resto (10.1.0.0 che parla con indirizzi
pubblici ad esempio...)
Ciao
cronenberg
--
Il cielo stellato sopra di te, la legge morale dentro.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 
effettivamente il mio posto assomigliava piu' a guerra e pace...
avevo letto pure io che le route  viene prima del nat...  non mi piaceva per 
questioni "estiche"...  ma ci provero'
tnx

 mi piaceva per questioni "estiche"... ma ci provero'
cut
Il discorso non e' che le route-map vengono prima del nat, anche perche' non
suggerisco di applicare una route-map per fare policy routing, ma per
discriminare su quali pacchetti fare NAT senza limitarsi all'indirizzo
sorgente, e l'unico modo e' fare riferimento ad una route-map invece che ad
una access-list sull'istruzione di "ip nat inside ..." (dalla route-map si
richiama una access-list estesa, ecco il trucco..). Dal punto di vista
"estico", o "estetico" ;-) che dir si voglia, non vedo differenze
particolari.


 
mi era sfuggita la differenza...  mi sa che ti devo una birra  come promesso nel 
post originale...  ricordatene se passi da bologna ;)

 post originale... ricordatene se passi da bologna ;)
cut
Ero li' proprio ieri, ogni tanto ci passo comunque...:-)
