pix 515e e protocolli p2p (scusate ma proprio non capisco)

Tutto ciò che ha a che fare con la configurazione di apparati Cisco (e non rientra nelle altre categorie)

Moderatore: Federico.Lagni

Rispondi
|nd|4nO
Cisco fan
Messaggi: 61
Iscritto il: lun 07 mag , 2007 2:51 pm

salve a tutti,
espongo il mio problema devo permettere l'uso del p2p per poi limitarlo con un altra cosa dopo il firewall in oggetto ... ma succede che la mia rete interna ha, prendendo come esempio emule ma ho provato anche con altri, sempre le porte chiuse se viene nattata con una subnet 255.255.255.0 su un singolo ip pubblico o un pool , se invece natto un singolo host su un ip pubblico funziona tutto.
non ho modificato access list e niente !
qualche idea ? grazie
p.s. devo aprire il p2p per testare un filtro quindi non bannatemi ! :P
Top
Avatar utente
andrewp
Messianic Network master
Messaggi: 2199
Iscritto il: lun 13 giu , 2005 7:32 pm
Località: Roma

Se NATTI poi devi fare un ulteriore "nat inside" con le porte che vuoi "aperte" da fuori...
Manipolatore di bit.
Top
|nd|4nO
Cisco fan
Messaggi: 61
Iscritto il: lun 07 mag , 2007 2:51 pm

Andrea.Pezzotti ha scritto:Se NATTI poi devi fare un ulteriore "nat inside" con le porte che vuoi "aperte" da fuori...
praticamente io ho già fatto :

nat (inside) 9999 10.1.100.0 255.255.255.0
global (outside) 9999 ip_pubblico

e

nat (inside) 1 10.1.100.50 255.255.255.255
global (outside) 1 altro_ip_pubblico

sulla prima non funge il p2p sulla seconda si ... se provo a rifare un nat (inside) con lo stesso pool mi dice duplicate nat entry ....
aiutooooo :(
Top
|nd|4nO
Cisco fan
Messaggi: 61
Iscritto il: lun 07 mag , 2007 2:51 pm

up :!: :?: :!: :lol:
grazie
Top
|nd|4nO
Cisco fan
Messaggi: 61
Iscritto il: lun 07 mag , 2007 2:51 pm

ho provato ad associare una access al nat dell'interfaccia in questo modo ma non va uguale ...

fw(config)# show nat inside
match ip inside host 10.1.100.77 outside any
static translation to ip_pubblico1 translate_hits = 4566, untranslate_hits = 157
match ip inside any outside any
dynamic translation to pool 1 (ip pubblico interfaccia outside [Interface PAT])
translate_hits = 2203, untranslate_hits = 158
match ip inside any inside any
dynamic translation to pool 1 (No matching global)
translate_hits = 0, untranslate_hits = 0
match ip inside any dmz any
dynamic translation to pool 1 (No matching global)
translate_hits = 0, untranslate_hits = 0
match ip inside 10.1.100.0 255.255.255.0 outside any
dynamic translation to pool 1 (ip pubblico interfaccia outside ( [Interface PAT])
translate_hits = 270562, untranslate_hits = 30749
match ip inside 10.1.100.0 255.255.255.0 inside any
dynamic translation to pool 1 (No matching global)
translate_hits = 0, untranslate_hits = 0
match ip inside 10.1.100.0 255.255.255.0 dmz any
dynamic translation to pool 1 (No matching global)
translate_hits = 0, untranslate_hits = 0
fw(config)#
fw(config)# show access-list inside_access_in
access-list inside_access_in; 1 elements
access-list inside_access_in line 1 extended permit ip any any (hitcnt=275394)
fw(config)# nat (inside) 1 access-list inside_access_in

praticamente se faccio un nat ed un global per una subnet 255.255.255.0 oppure 255.255.255.255 non va
se faccio uno static di un singolo indirizzo funziona ...
la domanda sorge spontanea ....... posso fare uno static di una subnet classe C ? ho provato ma con pochi risultati



non ho più idee ... ho girato di tutto ... grazie a chiunque mi aiuterà
grazie
Top
Avatar utente
Wizard
Intergalactic subspace network admin
Messaggi: 3441
Iscritto il: ven 03 feb , 2006 10:04 am
Località: Emilia Romagna
Contatta:
Contatta Wizard

Codice: Seleziona tutto

static (inside,outside) tcp interface PORTA IP_INTERNO PORTA netmask 255.255.255.255 0 0
static (inside,outside) udp interface PORTA IP_INTERNO PORTA netmask 255.255.255.255 0 0
Poi crei le acl adeguate in entrata
Il futuro è fatto di persone che hanno delle intuizioni e visioni .....sono quelle persone che fanno la differenza...... quelle dotate di un TERZO OCCHIO....
Top
|nd|4nO
Cisco fan
Messaggi: 61
Iscritto il: lun 07 mag , 2007 2:51 pm

Wizard ha scritto:

Codice: Seleziona tutto

static (inside,outside) tcp interface PORTA IP_INTERNO PORTA netmask 255.255.255.255 0 0
static (inside,outside) udp interface PORTA IP_INTERNO PORTA netmask 255.255.255.255 0 0
Poi crei le acl adeguate in entrata
ti ringrazio per la risposta se faccio quel comando riesco solo a fare un ip la volta e funge anche senza acl ... quello che volevo sapere è se era possibile farlo con una singola classe di nat ....
grazie ancora
Top
Avatar utente
Wizard
Intergalactic subspace network admin
Messaggi: 3441
Iscritto il: ven 03 feb , 2006 10:04 am
Località: Emilia Romagna
Contatta:
Contatta Wizard

se era possibile farlo con una singola classe di nat ....
Non ho capito...
Vuoi nattare le stesse porte per più ip interni? Se è così no, non si può chiaramente fare.
Il futuro è fatto di persone che hanno delle intuizioni e visioni .....sono quelle persone che fanno la differenza...... quelle dotate di un TERZO OCCHIO....
Top
|nd|4nO
Cisco fan
Messaggi: 61
Iscritto il: lun 07 mag , 2007 2:51 pm

Wizard ha scritto:
se era possibile farlo con una singola classe di nat ....
Non ho capito...
Vuoi nattare le stesse porte per più ip interni? Se è così no, non si può chiaramente fare.
allora mi era venuto un dubbio lecito :oops:
praticamente mi conviene aprire un range di porte (diciamo 5) per ogni ip collegato a quel nat e comunicare agli utenti di usare i programmi di p2p su quelle porte ... questo si puo' fare ?

dubbio amletico : come fanno i provider tipo fastweb ad aprire le porte su intere classi che alla fine corrispondono sempre allo stesso ip pubblico ?
grazie :P
Top
Avatar utente
Wizard
Intergalactic subspace network admin
Messaggi: 3441
Iscritto il: ven 03 feb , 2006 10:04 am
Località: Emilia Romagna
Contatta:
Contatta Wizard

Non ti complicare la vita:

IP 1 porta tcp 111, porta udp 1112
IP 2 porta tcp 222, porta udp 2223

e così via...
Crei quindi una regola di nat e una acl per ogni macchina.
Così è pulito e sicuro che funziona.
Il futuro è fatto di persone che hanno delle intuizioni e visioni .....sono quelle persone che fanno la differenza...... quelle dotate di un TERZO OCCHIO....
Top
|nd|4nO
Cisco fan
Messaggi: 61
Iscritto il: lun 07 mag , 2007 2:51 pm

Wizard ha scritto:Non ti complicare la vita:

IP 1 porta tcp 111, porta udp 1112
IP 2 porta tcp 222, porta udp 2223

e così via...
Crei quindi una regola di nat e una acl per ogni macchina.
Così è pulito e sicuro che funziona.
ok penso farò così .. ti ringrazio infinitamente per l'aiuto ...
un ultima domanda se natto la stessa porta es
ip 1 porta tcp/udp 1112
ip 2 porta tcp/udp 1113

etc. etc.
posso modificare il nat esistente o devo ricrearlo da capo ?
grazie ancora
Top
Avatar utente
Wizard
Intergalactic subspace network admin
Messaggi: 3441
Iscritto il: ven 03 feb , 2006 10:04 am
Località: Emilia Romagna
Contatta:
Contatta Wizard

un ultima domanda se natto la stessa porta es
ip 1 porta tcp/udp 1112
ip 2 porta tcp/udp 1113

etc. etc.
posso modificare il nat esistente o devo ricrearlo da capo ?
grazie ancora
Elimina le regole esistenti e ricreale come devi.
Il futuro è fatto di persone che hanno delle intuizioni e visioni .....sono quelle persone che fanno la differenza...... quelle dotate di un TERZO OCCHIO....
Top
Rispondi

Torna a “Configurazioni”