CiscoForums.it

Ciao a Tutti!



Non smanettando ormai da anni su cisco mi trovo impacciato in una configurazione abbastanza complicata (almento per me), infatti devo far fare routing sulla fa0/0 e nat su due Vlan configurate sulla 0/1, nonchè nat 1:1 fra due IP di ciascuna VLAN

Il collegamento è una liberty shdsl con punto punto e 8 ip pubblici di cui a parte network e broadcast, il primo della serie è il gateway.
Ho provato a fare routing e nat allo stesso tempo, ma come levo l'ip nat outside dalla point-to-point mi si blocca di fatto il nat e funge il routing e viceversa se lacio la regola

Al momento la configurazione con un semplice NAT è questa:


!
no aaa new-model
ip cef
!
!
no ip dhcp use vrf connected
ip dhcp excluded-address 192.168.1.1 192.168.1.99
ip dhcp excluded-address 192.168.1.201 192.168.1.254

ip dhcp pool sdm-pool1
network 192.168.1.0 255.255.255.0
dns-server 151.99.125.2 212.216.112.112
default-router 192.168.1.1
!
!
ip domain name yourdomain.com
ip name-server 151.99.125.2
ip name-server 212.216.112.112
multilink bundle-name authenticated
!
!
username pluto privilege 15 password 0 pippo
archive
log config
hidekeys
!
!
controller DSL 0/0/0
mode atm
line-term cpe
line-mode auto enhanced
dsl-mode shdsl symmetric annex B
!
!
!
interface FastEthernet0/0
description $ETH-LAN$$ETH-SW-LAUNCH$$INTF-INFO-FE 0$$ES_LAN$
ip address xx.yy.zz.146 255.255.255.248 secondary
ip address 192.168.1.1 255.255.255.0
ip nat inside
ip virtual-reassembly
duplex auto
speed auto
!
interface FastEthernet0/1
no ip address
shutdown
duplex auto
speed auto
!
interface ATM0/0/0
no ip address
ip nat outside
ip virtual-reassembly

!
interface ATM0/0/0.1 point-to-point
description $ES_WAN$
ip address xx.yy.zz.102 255.255.255.252
ip nat outside
ip virtual-reassembly
pvc 8/35
protocol ip 88.33.22.101 broadcast
oam-pvc manage
encapsulation aal5snap
!
!
ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 ATM0/0/0.1
!
!
ip http server
ip http access-class 23
ip http authentication local
ip http timeout-policy idle 60 life 86400 requests 10000
ip nat pool franchising 192.168.1.1 192.168.1.254 prefix-length 24
ip nat inside source list 7 interface ATM0/0/0.1 overload
access-list 7 permit 192.168.1.0 0.0.0.255
access-list 23 permit 10.10.10.0 0.0.0.7
access-list 23 permit 192.168.1.0 0.0.0.10
!
!
control-plane

!
line con 0
login local
line aux 0
line vty 0 4
access-class 23 in
privilege level 15
login local
transport input telnet
line vty 5 15
access-class 23 in
privilege level 15
login local
transport input telnet
!

Al momento esce in nat, spostando la network 192.168.1.x sull'interfaccia VLAN1 e facendo la stessa cosa sulla VLAN2 192.168.2.1 devo abilitare encapsulation 802.1q sulla fa 0/1...
Solo che poi come procedo con i NAT?
Come faccio a fare NAT 1:1 fra le due VLAN?
Posso nattare ciascuna VLAN su un IP pubblico di quelli della network pubblica aggiuntiva? (8IP - net - broa - gtw- fa0/0 - clt = ancora 3 IP pubblici da usare)
Grazie

ciao Licchende,

1. devi configurare la lan pubblica sotto una loopback

2. configurare l'interfaccia atm come outside e le interfacce virtuali della lan come inside

3. abilitare il nat da inside LAN_privata a outside loopback con l'estensione overload

in questo modo le 2 lan private usciranno nattate con l'ip della loopback

per il nat 1:1 tra vlan, se devi nattare due ip, uno della rete 192.168.1.x e uno della 192.168.2.0, con 2 ip pubblici non c'è problema, devi fare il nat statico ip_inside -> ip_outside

in questo modo ti restano ancora 3 ip pubblici da sfruttare.

L'inconveniente di questa soluzione è che non puoi collegare una macchina con l'ip pubblico direttamente al router a meno che non subnetti la network pubblica in una network /30 e 4 loopback con gli ip restanti della lan, in modo da avere 4 indirizzi per il nat e 2 ip (uno per il router e uno libero) per mettere una macchina in DMZ, configurando correttamente le access-list per permettere il nat in modo esatto.

Spero di essere stato utile e di non aver confuso troppo le idee.

Ciao