Newsgroup: it.comp.reti.cisco
Titolo: Aiuto!! 827 ADSL Interbusiness Easynet preconfigurato dal provider...

ho un problema, sto devo configurare ad un cliente che ha fatto
2 contratti interbusiness adsl Easynet(con due subnet pubbliche), due 827
con ipsec,
mi sono accorto perň prima di configurare l'ipsec,
che č possibile fare  telnet sulla ethernet 0 da internet
ma se dalla console su entrambi i router o da un host  provo a fare un ping
all'esterno risultato .U.U.U.U
perchč? qualcuno saprebbe dirmi se dipende dalla configuarzione o dal
provider?
come mai si riesce a puntare dall'esterno e dall'interno non riesco ad
uscire in internet?
Sottolineo che i router sono stati configurati dal provider per la
connessione ADSL
e collegati alla linea nelle due sedi del cliente.
Io non ho apportato modifiche alla configurazione del provider, l'ip route
0.0.0.0  0.0.0.0 atm0.1 c'č
non riesco a capire.
Questa č la configurazione fatta dal provider,
senza aver fatto modifiche, l'indirizzo nascosto con xxx nelle acl č quello
della subnet pubblica.
L' Atm0.1 ha l'idirizzo della punto punto
L' Ethernet ha l'idirizzo del default gateway (pubblico)
ringrazio chiunque mi voglia o possa aiutare.
Beppe
Building configuration...
Current configuration : 2963 bytes
!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log datetime localtime
service password-encryption
service udp-small-servers
!
hostname xxxxxxxxxxx
!
enable password 7 sssssssssssss
!
ip subnet-zero
no ip source-route
ip domain-name 
interbusiness.it
ip name-server 151.99.125.2
ip dhcp excluded-address 10.10.10.1
!
ip dhcp pool CLIENT
   import all
   network 10.10.10.0 255.255.255.0
   default-router 10.10.10.1
   lease 0 2
!
!
!
!
!
interface Ethernet0
 ip address 80.xxx.xxx.xxx 255.xxx.xxx.xxx
 ip access-group 102 out
 no keepalive
 hold-queue 100 out
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 dsl operating-mode auto
!
interface ATM0.1 point-to-point
 ip address 80.xxx.xxx.xxx 255.xxx.xxx.xxx
 ip access-group 104 in
 ip access-group 103 out
 pvc 8/35
  oam-pvc manage
  oam retry 5 5 1
  encapsulation aal5snap
 !
!
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.1
ip route 80.xxx.xxx.0 255.255.255.0 ATM0.1
ip route 151.99.0.0 255.255.0.0 ATM0.1
ip http server
ip pim bidir-enable
!
!
access-list 18 permit 151.99.126.0 0.0.0.255
access-list 19 permit 151.99.126.0 0.0.0.255
access-list 30 permit 151.99.252.8
access-list 30 permit 80.xxx.xxx.xxx
access-list 30 permit 151.99.126.0 0.0.0.255
access-list 102 deny   ip 80.xxx.xxx.xxx 0.0.0.xxx any
access-list 102 permit tcp any 80.xxx.xxx.xxx 0.0.0.xxx established
access-list 102 permit ip any 80.xxx.xxx.xx 0.0.0.xxx
access-list 103 permit udp 80.xxx.xxx.xxx 0.0.0.xxx 151.99.125.0 0.0.0.31 eq
domain
access-list 103 permit tcp 80.xxx.xxx.xxx 0.0.0.xxx 151.99.125.0 0.0.0.31 gt
1023
access-list 103 permit tcp 80.xxx.xxx.xxx 0.0.0.xxx host 151.99.126.5 eq www
access-list 103 permit icmp 80.xxx.xxx.xxx 0.0.0.xxx 151.99.0.0 0.0.127.255
access-list 103 permit ip 80.xxx.xxx.xxx 0.0.0.xxx 151.99.125.0 0.0.0.31
access-list 103 permit ip 80.xxx.xxx.xxx 0.0.0.xxx 151.99.126.0 0.0.0.255
access-list 103 deny   ip 80.xxx.xxx.xxx 0.0.0.xxx 151.99.0.0 0.0.127.255
access-list 103 permit ip 80.xxx.xxx.xxx 0.0.0.xxx any
access-list 104 deny   tcp any any eq 2065
access-list 104 permit ip any any
!
tacacs-server host 151.99.126.2
tacacs-server last-resort password
tacacs-server extended
tacacs-server notify connections
tacacs-server notify enable
snmp-server community public RO 18
snmp-server community private RW 19
snmp-server host 151.99.126.2 private
!
line con 0
 exec-timeout 120 0
 password 7 121A0C041104
 login
 stopbits 1
 line vty 0 4
 exec-timeout 120 0
 password 7 05080F1C2243
 login
!
scheduler max-task-time 5000
end

 ha scritto nel messaggio
news:nQ3Ga.84305$lK4.2...@twister1.libero.it...



Lo so i router sono stati acquistati dal cliente e la gestione alla ditta
per la quale lavoro,
puň sembrare strano ma č cosě.
infatti TELECOM sa tutto quello che stiamo facendo, altrimenti il cliente
se li faceva configurare direttamente da Telecom in tutto e per tutto, non č
quello il problema.
Purtroppo la scelta dei router non č stata fatta da me...
Scusami facendo ping come dici tu dal prompt cisco#ping
non mi chiede la source...inoltre e possibile che un host configurato sulla
rete
non riesca ad uscire con un ping, visto che passa dalla interfaccia
ethernet?
grazie per le informazioni comunque
Beppe

 senza aver fatto modifiche, l'indirizzo nascosto con xxx nelle acl è


         Tosh.
ciao Tosh
ti ringrazio delle informazioni, ho provato a fare come dici per il ping
ma non pinga assolutamente fuori...
del resto avevo anche dato ad un client interno un indirizzo della subnet
pubblica,
alla e0 il default gateway pubblico e ancora nulla non va fuori...
un'altra cosa se puoi aiutarmi visto che, quando risolverò sto problema,
dovrò configurare ipsec: sarò costretto a tenere sulla e0 due indirizzi ip,
uno pubblico
e l'altro privato, uno per puntare ipsec e l'altro per la rete interna,
 per poi uscire con nat...con un pool nat però configurato x 1 solo
indirizzo della subnet
la config che ho creato e qui sotto...si può fare? può funzionare visto che
non si può puntare
le atm0.1?
inoltre dall'altro lato invece non serve nat ma devo solo fare ipsec
in quanto gli utenti non devono poter andare in internet...
ciao e grazie ancora
crypto isakmp policy 10
 hash md5
 authentication pre-share
crypto isakmp key xxxxxxxxxxxx address 62.xxx.xxx.xxx
!
!
crypto ipsec transform-set myset esp-des esp-md5-hmac
!
crypto map mymap 10 ipsec-isakmp
 set peer 62.110.240.161
 set transform-set myset
 match address 100
!
!
!
!
interface Ethernet0
 ip address 80.xxx.xxx.39 255.255.255.xxx secondary
 ip address 10.0.0.1 255.255.255.0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat inside
 no ip route-cache
 no ip mroute-cache
 no keepalive
 no cdp enable
 crypto map mymap
 hold-queue 100 out
!
interface ATM0
 no ip address
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 no ip route-cache
 no ip mroute-cache
 no atm ilmi-keepalive
 bundle-enable
 dsl operating-mode auto
 hold-queue 224 in
!
interface ATM0.1 point-to-point
 ip address 80.xxx.xxx.xxx 255.255.255.xxx
 ip nat outside
 no ip route-cache
 no ip mroute-cache
 pvc 8/35
  oam-pvc manage
  oam retry 5 5 1
  encapsulation aal5snap
 !
!
ip nat pool mypool 80.xxx.xxx.40 80.xxx.xxx.40 netmask 255.255.255.248
ip nat inside source route-map nonat pool mypool overload
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.1
no ip http server
ip pim bidir-enable
!
!
access-list 100 permit ip 10.0.0.0 0.0.0.255 10.1.1.0 0.0.0.255
access-list 105 deny   ip 10.0.0.0 0.0.0.255 10.1.1.0 0.0.0.255
access-list 105 permit ip 10.0.0.0 0.0.0.255 any
no cdp run
!
route-map nonat permit 10
 match ip address 105
!
banner motd ^CC

 ha scritto nel messaggio
news:hRjGa.85802$Ny5.2...@twister2.libero.it...


         Tosh.
ciao Tosh
grazie per l'aiuto,
quindi creo una interfaccia loopback e a questa do l'indirizzo
pubblico, ok, e per il nat la configurazione secondo te
č fatta in maniera giusta per poter uscire con un unico indirizzo?
o dovrei fare in altro modo?
il problema del ping l'ho trovato, č colpa di telecom
solo che per il momento lo hanno risolto
solo su una connettivitŕ, mentre sull'altra, che ha un contratto diverso
sarŕ per domani. Non riguarda le acl sui router del mio cliente
che sono rimaste praticamente uguali, solo che un router fa ping fuori
adesso,
mentre l'altro no!!
Immagina che dovrň configurare anche una terza sede
nello stesso modo....
grazie mille ancora
ciao
beppe

 Immagina che dovrò configurare anche una terza sede


 ha scritto nel messaggio
news:bcmgj5$ki12c$1...@ID-167638.news.dfncis.de...


         Tosh.
ciao tosh
un'informazione da chiedeerti visto
che mi hai parlato di acl anti spoofing,
sapresti indicarmi qualche link dove
poter reperire materiale utile su questo argomento?
grazie ancora
Beppe

 navigare e IPSEC in DES tra le due sedi??? e volendo anche in 3DES?
ed anche AES con la 6.3!
un mayhem pesce-pompino :)
-- 
  Diplomazia: dire bravo cagnetto fino a che non trovi il bastone.
  Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
  SPP  wpage: 
http://www.spippolatori.com
  Key on 
pgp.mit.edu
 ID C7393613

 non mi chiede la source
router# ping
Protocol [ip]:
Target IP address: 1.1.1.1
Repeat count [5]:
Datagram size [100]:
Timeout in seconds [2]:
Extended commands [n]: y
Source address or interface:
un mayhem per la precisione
