Newsgroup: it.comp.reti.cisco
Titolo: Si può fare DMZ con CISCO 1721?

Ciao
stamattina mi č venuta un idea brillante:
questa č la mia attuale configurazione:
Connessione internet ADSL RFC1483 ip statico
CISCO1721 con WIC ADSL - int ATM0.35 80.80.80.80 (ip wan pubblico)
                         int FAST0 integrata 172.16.0.254 (ip DMZ)
I server in dmz hanno come ip 172.16.0.1 et 172.16.0.2 e escono in
internet usando come gateway 172.16.0.254 che gli fa un NAT OVERLOAD.
Nella DMZ ho un Firewall 3COM che ha come ip "wan" 172.16.0.250 (esce in
internet dal 172.16.0.254), e come LAN privata sicura 192.168.0.x
DOMANDONE:
Se io metto nel secondo slot, una WIC con 1 porta fast ethernet, posso
accentrare in un unico hardware, sia il router perimetrale, che il
firewall (alla fine mi basta faccia del NAT semplice) per la LAN privata
?
La mia idea sarebbe: ATM0.35 80.80.80.80 ip wan pubblico
                     FAST0 integrata 172.16.0.254 IP DMZ
                     FAST ETH WIC 192.168.0.254 (gw della Private lan)
Si potrebbe fare?
In questo modo potrei togliere dai piedi il Firewall 3COM.
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG



La scheda di cui parlo sarebbe quella che ha 4 porte FAST Ethernet su
scheda WIC.


scheda WIC.
Certo che lo puoi fare lo scotto da pagare è il costo della wic-4esw e
il costo del nuovo IOS che permette la gestione del firewall
Tieni conto che se hai + di 4 host in DMZ devi utilizzare nuovamente
uno switch...
;)
http://www.cisco.com/univercd/cc/td/doc/product/access/acs_mod/cis2600/hw_inst/wic_inst/wic_doc/wanlan.htm
Ciao.

 wrote in message
news:jqt7a210ad1ajgsnd...@4ax.com




....si hai tutto!!!
 ;))
... e a che ti servirebbe una Gbic se cmq dalla ADSL resti sempre
sotto gli 8Mbits
 ;/
no cmq penso nn vi sia nulla in gb x tale classe di router...
Buon lavoro!!

 Buon lavoro!!
Bene bene...
Appena mi arriva la WIC con 4 porte mi metto a fare tutto anche se ho 
qualche dubbio su come fare il nat dato che ho paura mi incasinerò molto... 
e configurare i CISCO con lo sfondo musicale di Celine Dion non credo aiuti 
:P
Ad ogni modo visto che sei pratico di cisco butta un occhio (poi raccoglilo) 
al mio post relativo all'MTU...
bye!!!!!!
Elia 

 In questo modo potrei togliere dai piedi il Firewall 3COM.
Fai bene i tuoi conti.
Se tra gli host sulla LAN e i server in DMZ hai necessita' o voglia di
andare oltre un  400-500 KByte/s (Kbyte non Kbit) rischi di avere una
grossa delusione a spese fatte.
Il 1721 e' quello che e' !
...anche avesse una Gigaethernet, quello e' il throughput a Layer 3 che
e' in grado di esprimere e lo fa solo se impiccato.
Altro conto se i pacchetti girano tra le porte dalla ESW a Layer 2...
ma non e' di quello che si parla.
Ciao
Marialaura

 
Se hai a disposizione sulla rete interna uno switch che supporta le VLAN 
e quindi anche l'802.1Q, puoi tirare fuori di fatto due o più LAN 
sull'unica interfaccia fisica FastEthernet del 1721. In questo modo 
eviti di dover acquistare la WIC in questione.
Una volta configurati opportunamente il 1721 e lo switch, ti ritroverai 
sul router due subinterfaces derivate dalla Fa0/0, quindi nel tuo caso 
l'Interna e la DMZ, entrambe in grado di fare routing, Nat, CBAC, ACLs, ecc.
L'utilizzo della WIC-4ESW, rimane comunque la scelta migliore in termini 
di performance e sicurezza, ma evidentemente un po più costosa.
ciao
Assice



;))
...e và bhè allora....
...come ciliegia sulla tua opera e per un auito sul NAT e gestione FW
puoi sempre usare SDM downloadabile free!!
;))
Ciacciao!!
http://www.cisco.com/en/US/products/sw/secursw/ps5318/index.html

 In questo modo potrei togliere dai piedi il Firewall 3COM.
Fai bene i tuoi conti.
Se tra gli host sulla LAN e i server in DMZ hai necessita' o voglia di
andare oltre un  400-500 KByte/s (Kbyte non Kbit) rischi di avere una
grossa delusione a spese fatte.
Il 1721 e' quello che e' !
...anche avesse una Gigaethernet, quello e' il throughput a Layer 3 che
e' in grado di esprimere e lo fa solo se impiccato.
Altro conto se i pacchetti girano tra le porte dalla ESW a Layer 2...
ma non e' di quello che si parla.
Dunque dunque:
mi sa che evito la ESW per i seguenti motivi:
attualmente la mia rete è strutturata nel seguente modo:
www.spadhausen.eu/images/schema.png
Sul 3COM ho disattivato lo stateful firewall per avere la massima velocità 
possibile.
La SECURE LAN accede a servizi presenti sui server DMZ, soprattuto sul 
server BUNKER, tramite condivisioni netbios.
Le condivisioni netbios sono accettate solo dall'origine 172.16.0.250 (il 
frw che da sulla secure lan).
Volevo rimpiazzare il 3COM e accentrare tutto nel 1721 ma mi rendo conto che 
il throughput è troppo per quanto riesce a tenere il 1721.
Lo switch a cui si collega il 1721 e i server in DMZ è un HP 8 porte 
unmanaged.
L'ideale sarebbe stato al posto del 3com mettere un router che mi faccia 
puro routing e NAT semplice con il massimo throughput possibile.
Che cosa potreste consigliarmi?

 Che cosa potreste consigliarmi?
Togliere il 3Com OK, non capisco pero' perche' ci vuoi mettere un
router al suo posto.
Se, come penso, vuoi avere una banda utile di ***almeno*** 4-5Mbyte/s
sul server, devi andare a spendere qualche bel soldino per avercela con
un router ...che so', almeno un 2801 (e incrociare le dita che le
specifiche siano vere).
Se vuoi andare oltre e arrivare a 8-9 Mbyte/s andiamo ancora +su
...2851, molti soldini.
Mentre potresti farcela, senza tanti problemi con un piccolo PIX, un
506 per esempio.
Solo un idea.
ciao
Marialaura
PS
il quoting Elia, grazie.

Pardon per il quote,
le schede di rete del server sono Gigabit, ma ora lo switch che gestisce
la DMZ, un HP 8 porte unmanaged è solo 10/100
In un futuro prossimo venturo metterò uno switch 8P Gigabit,
possibilmente 3COM unmanaged.
Nei client potrei mettere sk Gigabit, rimpiazzare il 3Com con qualche
cosa che abbia due interfaccie GIGA, ma questa è solo un idea.
Idea reale è invece di fare la DMZ con uno switch giga a breve (visto
che costano meno di 100 euro al rivenditore)
Relativamente al 3com firewall.. non saprei, io li un apparato che fa
del NAT mi serve
ma qualche cosa di piu veloce possibile, senza stare a mettere su un box
vero e proprio, volevo un
appliance hardware piu efficente possibile.
Se dai un occhiata al mio post in basso ho postato un diagramma della
mia attuale rete.
bye


Dunque
Non avendo switch che supportano VLAN escludo la soluzione propostami.
Dato che vorrei avere il V6 nella mia LAN (passando per un host 6to4) mi 
serve per forza un 1721 o un 831..
Avendo qui alcuni 1721, ne ho giusto uno con 32F/128D a cui potrei abbinare 
la schedina WIC 10mbit con cui farlo accedere alla DMZ... sul router attivo 
un altro NAT v6 e ho la secure lan in v6. Il problema è che accederei ai 
server in DMZ a 10mbit full/duplex che è pochino.......
A quello c penserò. Relativamente ai valori di throughput cleartex esiste 
qualche tabella?
Vorrei confrontare 831/851/871/1721

Ok
sono andato avanti con i miei lavori:
Ho reperito sottomano il seguente Cisco per fare da router
C1721 con 16F/96DRAM
ho messo lo ios IP/ADSL PLUS che mi consente uso dell'IPV6
IOS Versione 12.4(8) IP ADSL/PLUS
ho inserito la WIC1-ENET
va tutto
il problema č che la WIC1ENET mi fa un throughput full duplex di ben 1
megabit
io volevo raggiungere i 10 pressochč fissi
come posso farE?
Questa sera rimpiazzo il C1721 con 16F/96D con un C1721 32F/128D che ho
rimediato
In questo modo posso mettere la 12.4(7) ADV IP SERVICES
Che ne pensate? Come posso far andare la WIC1ENET a 10mbit full duplex
non a 1mbit ?


 
Uhm... mi sa di si.
Mah!
Marialaura

Ciao marialaura
ho letto i tuoi precedenti post.
Ora mi sto limitando a fare dei test!!! Ho capito che il 1721 non tiene un 
throughput enorme, ho capito!!!!!
Almeno su link WAN con scheda 10mbit posso usare i 10mbit full duplex andato 
a 10mbit , almeno molto vicino?
Se imposto la WIC1enet in full duplex vado ad 1 mbit
se la imposto in half-duplex vado a 10mbit
Tutto sempre su switch.
Dove sbaglio?

Aggiungo:
un 1721 lo metto perchè ho bisogno dell'IPv6 anche sulla LAN. Dubito che il 
PIX supporti il routing ipv6
I server mi basta ora come ora (periodo di test) raggiungerli a 10mbit, 
quindi con un throughput massimo di 800~900kbyte/sec

 quindi con un throughput massimo di 800~900kbyte/sec
Un 1841 direi che allora puo' bastarti, tenendo presente, come detto,
che un link Ethernet non lo si puo' riempire MAI per definizione al
100% (tienti un 80-85% come norma)
ciao
Marialaura