Newsgroup: it.comp.reti.cisco
Titolo: Domanda da newbye

Salve a tutti le cose che andrò a chiedere qui probabilmente faranno ridere
ai più mentre io non ci dormo la notte.
l'azienda dove sono stato assunto ha avuto la bella idea di acquistare per
se un fantastico Cisco 827 Adsl router e un Firewall PIX 506E ottime
macchine ma non  userfriedly per i più
In autonomia mi sono configurato il router per la connessione all' ADSL con
ovvie difficoltà ma alla fine ci sono riuscito
sempre in autonomia ho configurato il firewall che con i settaggi trovati ho
già un buona sicurezza (spero)
Ora la questione è che dovrei installare un server FTP dal quale i miei
colleghi possono da internet accedere
il router lavora con IP dinamico ma non viene mai spento
secondo voi la fattibilità con questa situazione c'é?
ho bisogno di IP statici? e se si quanti?
mi potreste dare qualche dritta su come dovrei avere impostato il router, il
firewall e il server tutto questo senza negare agli altri pc acesso ad
internet?
spero che il buon cuore di qualcuno mi illumini
grazie

Hellas wrote:

Il meglio sarebbe avere almeno un ip pubblico statico e nattare ciò che vi
sta dietro.
Con un ip statico puoi nattare dinamicamente (overload sull'interfaccia
outside) le macchine dietro, magari mappando le porte ftp staticamente su
un'indirizzo interno dove risiede il server ftp.
Con due ip statici puoi nattare tutto  e dare un ip statico pubblico al
server ftp nattandolo staticamente.
Se hai solo ip dinamici, beh, la soluzione poco elegante ma funzionale
( anzichè ridare l'ip a tutta l'azienda ogni volta che l'interfaccia cade o
avviene il lease) e' usare un dominio dinamico che cambia con l'ip.
Chiaramente devi avere uno script che fa il lavoretto di aggiornare il nome
ogni volta.

Allora senti è da un giorno che mi spacco la testa da solo per vedere come
funziona il PDM finalmente sono riuscito a fare il nat dell'ip in "outside"
router con un ip in "inside" al firewall PIX ora intercetto intercetto il
router sia in HTTP che in telnet sull'ip configurato nella mia lan ora mi
basterebbe nattare l'ip pubblico in outside con un ip in "inside" sul router
e quindi nattare quest'ultimo ip che si trova ad essere in "outside" sul
firewall nell'ip della macchina serverFTP in "inside"
mi dici come si fa nel router Cisco 827 ti prego
grazie

 Allora senti č da un giorno che mi spacco la testa da solo per vedere come

AAARRRGGHHH... piano, ti ho perso
Ormai mi hai fatto intrippare...se mi fai capire:
 MONDO<-----827<----PIX<----<Switch<-----FTPealtriclient
Giusto?
Con un ip pubblico dinamico

 Con un ip pubblico dinamico
esatto!!!!!
poi dovrebbe essere
212.110.112.113 <>827(192.100.1.1)<>192.100.1.10 PIX
192.100.115.1<>192.100.115.250 FTP
il 192.100.115.1 è il gateway per i client della intranet
il 192.100.1.1 è il gateway per il firewall PIX
quindi forse dovrei nattare 212.110.112.113 su ad esempio 192.100.1.250 sul
router e poi nattare 192.100.1.250 all'ip del mio server 192.100.115.250

Hellas wrote:

Certo che due reti prima di arrivare su internet
Non ti conviene mettere l'ftp dietro al router assieme al pix e poi dietro
al pix la lan privata?
in modo da creare una dmz e una lan privata e differenziare i servizi piu
accessibili da quelli coperti dal pix e privati

 accessibili da quelli coperti dal pix e privati
putroppo no non ho fisicamente un secondo switch e porte per poterlo fare
e comunque il mio server ftp devo porterci accedere dai pc privati
mi basta nattare l'ip pubblico ora sono a un passo dal miracolo non mi
abbandonare

 
Spero di non aver creato confusione ma se la tua situazione è come penso, quello che ti descrivo è 
senz'altro da farsi.
Alex.

 Alex.
si, infatti
Come dicevo fai una dmz e una privata
Poi puoi senza problemi accedere dove vuoi da dove vuoi. Il traffico lo
regoli con le ACL.
FAI:
827<----switch<-----PIX<----PrivateLAN
              <-----serverFTP

 827<----switch<-----PIX<----PrivateLAN
               <-----serverFTP
Volevo indicare anche il serverFTP allo switch

 abbandonare
A che punto sei?

 A che punto sei?
allora su PIX per vedere in telnet il router con il PDM ho fatto due
Translation Rules
       Original                            Translated
inside   192.100.115.142    outside 192.100.1.1
outside 192.100.1.1            inside   192.100.115.142
non sò se è giusta ma grazie a questo potevo amministrare il router con
telnet che con http
mentre per il pc server
       Original                            Translated
inside   192.100.115.250    outside 192.100.1.250
outside 192.100.1.250            inside   192.100.115.250
poi sul router ho inserito
ip nat inside source static 192.168.1.250  interface Dialer0
ma forse manca anche
ip nat outside destination static interface Dialer0 192.168.1.250
o raga io però non sò nemmeno cosa ho scritto sinceramente sto sparando a
caso
però mi so già accorto delle limitazione di un solo ip pubblico e pure
dinamico
siccome il router ha attivo anche la gestione via web se facessi un server
http il mio unico ip pubblico risponderebbe con il setup di cisco :-(
probabilmente ne chiederò 2 o 3 di fissi
grazie illuminanti

con un dinamico devi per forza usare l'overload che lo dai sull'interfaccia
e non sull'ip.
Poi, fai sul router due access list diverse, una per l'ftp e lo mappi
staticamente , l'altra per il resto della rete.
Sul pix fai solo il forward.
Non devi fare due nat per passare prima il firewall e poi il router.
E' una faccenda un pò atipica (io non lo farei ) e separerei pubblico da
privato, comunque dopo ho wireless e mi annoio, quindi magari prendo il
prof e ci mettiamo a farlo.

Dunque,
ho dato un'occhiata al curriculum di Fundamentals of Security di Cisco che
tratta appunto molto dei Pix.
Una topologia come la tua viene data come usuale così:
INTERNET<----827<----PIX<----switch<----lan
in pratica, escludendo per ora l'ftp.
Fai rete mettiamo 10.0.0.0 con la maschera che ti pare e la natti sul pix
Puoi nattare tutto staticamente o con pat, diciamo che se hai poche macchine
vai statico cosi hai maggiore controllo sulle regole che vuoi implementare
sul pix. Quello che esce dal pix diciamo con la rete 192.168.0.0 lo natti
ancora sull'827, a questo punto con un overload sull'interfaccia outside,
visto che hai un ip dinamico, non puoifare altrimenti.
Chiaramente sul pix abiliti il routing ip e fai due rotte statiche per far
marciare i pacchetti tra le due reti.
L'FTP io lo metterei dietro il primo nat, magari avendo un catalyst con due
VLAN, una per l'ftp e una per la rete nattata dietro il pix.
Anche uno switch da 20 euro alla fine va bene, senza vlan, vedi te cosa hai
a disposizione. MEglio non usare un hub...le prestazioni farebbero pietà
con un server pubblico e una lan che passano nello stesso collision domain.
Io sharo la mia lan con un hub p2p e a volte tiro giù il server perchè
nelle ore di punta la banda e' satura e manco riesco a navigare. Un ftp
affollato ti combinerebbe lo stesso problema.
Ok...se hai bisogno di aiuto nello scrivere la config, chiedi pure.
Ciao, buon lavoro

 ha scritto nel messaggio
news:%%VVd.3580$WC1....@tornado.fastwebnet.it...

Ma quanta ne sai! Sinceramente ho difficoltà a seguirti ma spero di aver
capito che posso far uscire in internet un pc della lan con l'ip pubblico
dinamico e viceversa
e qui siamo già 3/4 del lavoro fatto
Il server FTP non viene attivato sempre e mi serve solo per scambio dati
sporadico, quindi le questioni di sicurezza non voglio affrontarle perché
appunto la macchina verrà accesa e spenta a necessità, non affronto nemmeno
la questione del fatto che stia dietro il router o dietro il pix perché sono
costretto dalla fisicità della struttura a metterlo dietro il pix
fatte queste premesse credo che mi manchi solamente la configurazione
inerente all'overload sull'interfaccia outside
e che tu mi spiega meglio questa frase: "Chiaramente sul pix abiliti il
routing ip e fai due rotte statiche per far marciare i pacchetti tra le due
reti"
con corrispondenze sui comandi del pix in modo che possa confrontarli con
quelli che ho
ma che studi stai facendo?

 ma che studi stai facendo?
do l'esame ccna a fine marzo...se non sapessi ste cose potrei pure lasciare
perdere..per quanto mi riguarda non sono manco sicuro di farcela a prendere
sta certificazione, speruma

 sennò il nat rimane li in attesa di essere applicato.
se ho capito bene nei post precedenti mi dicevi di nattare la mia rete
192.168.0.0 all'ip del router
mi creo la mia access-list 1 e gli faccio un ip nat inside source list 1
interface Dialer0 overload
infine nell'interfaccia ouside del firewall aggiungo
ip nat outside
ip nat inside
e pure sulla outside del router
se tutto questo ambaradan lo faccio per un unico IP agli altri nego qualche
servizio?
Ti auguro di passare l'esame il tempo come i soldi ai giorni nostri sono
preziosi ed essere bravi e dimostrarlo con un foglio sul quale c'é scritto
vale ancora di più
quindi mettiti sotto e cerca di farcela

 ip nat inside
Questo lo dai su quella interna...non quella esterna

Grazie proverň