SOHO 77 e Nat

[lucat77]

Ciao raga, ho risolto anke grazie assistenza telefonica telecom il problema con la configurazione del router
ora ho sulla mi interfaccia ethernet0 i miei bei indirizzi pubblici funzionanti...
ora vorrei fare che uno di questi per esempio w.w.w.w faccia nat sulla porta 80 di una macchina interna alla mia rete (il mio server web) con indirizzo privato x.x.x.x

come devo procedere? Sapete darmi qualke dritta?

[TheIrish]

scusa se preciso, a sono notoriamente lento a capire:
hai più indirizzi pubblici, già belli e assegnati (direttamente a delle macchine interne, presumo, no?)
ora vuoi fare il nat verso una macchina interna che però ha un ip privato.
è corretto?

[lucat77]

Si proprio cosi, anke perche il server web è anke file server del mio dominio, e credo che mettendogli direttamente un ip pubblico potrebbe essere + vulnerabile, invece tramite nat..., inoltre ho la necessità di dividere logicamnete il traffico, piuttosto sai dirmi se sul soho77 è possibile il controllo di banda?

[TheIrish]

Vedere la tua conf sarebbe utile, ma cmq non penso sia molto diversa da come la immagino.
Immagino infatti che tu abbia posizionato l'indirizzo punto-punto sulla atm0.1, 1 ip pubblico + 1 privato sulla ethernet e 1 ip pubblico è utilizzato per fare il nat, corretto?
Allora la sintassi è:

Codice: Seleziona tutto

ip nat inside source static tcp <ip_privato> 80 <ip_pubblico> 80

[lucat77]

credo che mi manki qualkosina....
o meglio sulla mia interfaccia ethernet ho messo i mie indirizzi pubblici ma non quello interno, crdo che bisogni metterlo come secondario ma nn so come...
ti allego parte della configurazione

[TheIrish]

eheh, in effetti manca un po' + di qualcosina... tipo tutto!
Devi impostare un ip privato sulla ethernet0 che condivida la subnet dei pc con ip privato (192.168.0.0 255.255.255.0? allora, 192.168.0.1, 192.168.0.2 ecc.).
Per impostare un indirizzo secondario:

Codice: Seleziona tutto

ip address 192.168.0.1 255.255.255.0 secondary

Poi, è necessario sacrificare uno degli ip pubblici per fargli rappresentare la porzione di LAN privata.
Per fare ciò, creiamo un pool:

Codice: Seleziona tutto

ip nat pool miopool <indirizzo ip pubblico> <indirizzo ip pubblico> netmask 255.255.255.248

Mi raccomando, quell'indirizzo non deve essere già assegnato.
Fatto ciò, abilitiamo le macchine con ip privato ad uscire con quell'indirizzo:

Codice: Seleziona tutto

ip nat inside source list 1 pool miopool overload
access-list 50 permit 192.168.0.0 0.0.0.255 

L'access-list descrive la network 192.168.0.0 255.255.255.0. Adattala a tuo piacimento.
A questo punto, non ti rimane che inserire quello di cui avevamo parlato.

[lucat77]

ciao, innanzitutto garzie di tutto, sto capendo molto grazie ai tuoi consigli e leggendo gli altri articoli sul forum...

Vorrei fare un po' il punto e spiegarti meglio la situazione...

Purtroppo il mio router e gestito da te****m o chi per loro.

Il router nn funzionava (lo avevano consegnato nn configurato!!!) e venuto il tecnico e lo ha configurato come hai potuto vedere nel primo allegato che ti ho mandato.

Nel mentre avevo accennato anke al tecnico la necessità di fare NAT.

Ieri mi sono trovato la configurazione del router cambiata....

Più precisamente come puoi vedere nell'allegato.
in blu trovi quello che hanno tolto (avevo salvato la vecchia configurazione)

in rosso quello che hanno aggiunto.
La maggior parte delle cose sono proprio quello che mi dicevi tu....

ma difatto dall'esterno non funziona il server web xxx.xxx.xxx.126
dalla rete locale si 192.168.0.3

solo x pochi minuti riuscivo a pingare l'indirizzo xxx.xxx.xxx.126 poi niente
(che ci stavano lavorando)

ho l'impressione che abbiano fatto confusione tra nat statico e dinamico
e tra indirizzo finale 122 e 126, il nat dinamico mi sembra incompleto (fanno riferimento alle access list ma non ci sono da nessuna parte)

e le ACL praticamente non ci sono (sicurezza zero)

Che te ne sembra?

[TheIrish]

Chiedo scusa, mi ero dimenticato di metterti le righe di ip nat inside e outside nella conf.
questo:

ip nat inside source list 1 pool Net_Bus overload

Fa riferimento alla lista 1 che non è presente ovvero quella che descrive la network privata:

Codice: Seleziona tutto

access-list 1 permit 192.168.0.0 0.0.0.255

Questo dovrebbe fare al caso tuo

[lucat77]

un ultima cosa se per esempio vorrei cambiare la sottorete
sulla interfaccia ethernet 0 devo cancellare
ip address 192.168.0.1 255.255.255.0 secondary
e inserire
ip address 192.168.0.1 255.255.255.0 secondary
come cancello la prima riga?

lo stesso dicesi per le varie istruzioni inserite per il nat.... come le cancello?

[TheIrish]

In cisco, più o meno quasi tutti i comandi possono essere cancellati riscrivendoli con un no davanti.