CiscoForums.it

Buongiorno, premetto di essere quasi completamente ignorante riguardo configurazione e potenzialità dei dispositivi Cisco.
Vorrei chiedervi un consiglio per tentare una cosa che da solo non credo di poter fare:

sto cercando di assegnare ad un server remoto un indirizzo Ip della LAN, l'obiettivo é che possa essere raggiunto dai pc della rete intenra senza la necessità di passare per un gateway.

Andando a monte l'obiettivo da raggiungere é ancora un pò più complesso:
Ho una rete locale e due connessioni ad Internet, sfortunatamente ISA 2004 può gestire soltanto un gateway, quindi tutti gli indirizzi al difuori della rete locale escono dal default gateway e non ho modo di sfruttare l'altra connessione.
A questo punto ho modificato la configurazione del server ISA2004 in una three legs:

su ETH0 la LAN (Indirizzo IP della scheda 192.168.11.30)
su ETH1 la WAN (IP: 10.0.0.10 Gateway 10.0.0.1)
su ETH2 la DMZ (IP: 192.168.10.30)

Nella DMZ ho alcuni server che vengono pubblicati all'esterno attraverso un PIX 506E; vorrei poter raggiungere un paio di server remoti attraverso di essa, ma non posso utilizzare i loro indirizzi IP pubblici, in quanto l'ISA2004 li farebbe uscire dal default gateway. Se potessi "pubblicarli" sull'interfaccia interna avendo poi la certezza che tutte le comunicazioni passassero attraverso il PIX avrei salvato capra e cavoli.

Al momento sto facendo delle prove su di un altro PIX identico, simulando una configurazione di rete simile, tentando di raggiungere il sito di Libero puntando un indirizzo IP della LAN, ma non funziona.

Ho utilizzato il wizard di configurazione per configurare il minimo necessario per navigare, poi ho aggionto le seguenti righe, che mi parevano poter fare al caso mio:

name 192.168.10.66 inLibero
name 195.210.91.83 outLibero
static (outside,inside) inLibero outLibero netmask 255.255.255.255 0 0
access-list accessoweb permit tcp any host 192.168.10.66 eq www
access-group accessoweb in interface outside

Se vado all'indirizzo IP 192.168.10.66 col browser mi si apre il sito di libero, ma se provo a togliere il gateway (se lo vedesse a tutti gli effetti come un ip locale non avrebbe bisogno di un gateway per aprire il sito) non lo raggiunge più.

Credo che significhi che venga effettuato un redirect, quindi punto l'indirizzo della LAN, poi comunico con l'indirizzo di Libero, e quindi non resterei nella DMZ, ma passerei per il default gateway di ISA2004.

Spero che il sonno non abbia reso questa spiegazione più infelice di quanto poteva comunque essere, aggiungo sotto la configurazione del PIX506E con cui sto effettuando le mie prove.

Vi ringrazio per qualunque aiuto possiate darmi, sarebbe comunque prezioso.

Arvina.


PIX Version 6.3(1)
interface ethernet0 auto
interface ethernet1 auto
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pixfirewall
domain-name ciscopix.com
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol ils 389
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
names
name 192.168.10.66 inLibero
name 195.210.91.83 outLibero
access-list accessoweb permit tcp host outLibero host inLibero eq www
pager lines 24
mtu outside 1500
mtu inside 1500
ip address outside 192.168.1.65 255.255.255.0
ip address inside 192.168.10.100 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
pdm location inLibero 255.255.255.255 inside
pdm location outLibero 255.255.255.255 outside
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (outside,inside) inLibero outLibero netmask 255.255.255.255 0 0
static (inside,outside) inLibero inLibero netmask 255.255.255.255 0 0
access-group accessoweb in interface outside
route outside 0.0.0.0 0.0.0.0 192.168.1.1 1
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
http server enable
http 192.168.10.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
snmp-server enable traps
floodguard enable
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 192.168.10.101-192.168.10.254 inside
dhcpd lease 3600
dhcpd ping_timeout 750
dhcpd auto_config outside
terminal width 80
Cryptochecksum:ebf180555ef6d20b8f037bc0cf5ed348
: end

Dunque dunque fammi capire....adesso la situazione (togliendo 2 leg a ISA server ( ) è:

Srv Remoto - ISA Srv - Router --------internet--------- Pix - LAN

Metti un client Cisco VPN sul server remoto e configura il Pix per fare da VPN server...la rete remota non subirà cambiamenti, mentre il server Remoto avrà nel tunnel VPN un IP della LAN dietro il PIX, in modo che i client possano raggiungerlo tranquillamente.

mmm... dovrebbe essere una cosa così:


Lan
||
||
ISA2004===Gateway==Internet
||
DMZ
||
192.168.10.66
PIX506E
||
||
Ip Server Remoto

Quindi dovrei installare il software VPN client sul server remoto, configurare il PIX per essere server VPN.
In questo modo avrei un indirizzo della DMZ corrispondente al server remoto e passerebbe tutto dal gateway del Pix?
Le prestazioni risulterebbero penalizzate da una configurazione del genere?

Mmm...credo che la tua rete sia abbastanza complessa per rappresentarla a trattini...perchè non ci fai un disegno esplicativo?!Non ho capito a cosa è collegato il PIX soprattutto.

Prometto che domattina posto uno schema un pò più chiaro!

Ci sono un pò di elementi da collocare, temo che uno di essi potrebbe già contenere tutte le risposte che cercavo: suppongo che un router un pò serio (non so se sia un cisco serie 2600 o cosa: il mio ruolo verso l'azienda é un pò particolare e non ho ricevuto nulla più che informazioni generiche) sia possibile gestire due differenti gateway in base ai differenti indirizzi delle destinazioni, vero?

Se fosse così probabilmente le cose sarebbero molto più semplici.

Arvina ha scritto:sia possibile gestire due differenti gateway in base ai differenti indirizzi delle destinazioni, vero?

Se fosse così probabilmente le cose sarebbero molto più semplici.

Vero, attendo lo schema

Uhm..mi sono appena reso conto di non avere uno spazio sul quale uploadare l'immagine.
Le spedirei l'immagine via mail mentre cerco un sito dove farla hostare.

Mettila qui: http://imageshack.us/

Ho semplificato un pò la rete, in sostanza

Abbiamo alcune reti locali collegate tra loro dal router CISCO che vedono come gateway

LAN1: 192.168.1.0/24
LAN2: 192.168.2.0/24
LAN3: 192.168.3.0/24

Se gli indirizzi non appartengono a queste reti vengono mandati fuori verso l'ISA2004 che ha come gateway il Router Internet2.

Inoltre c'è una DMZ nella quale sono presenti dei server (un Terminal server ed un Server FTP) pubblicati su due indirizzi pubblici dal PIX506E attraverso il Router Internet1.

Avrei la necessità di raggiungere uno o più server remoti (tipo Server FTP o collegamenti in remote desktop) attraverso la connessione 1 (quella che passa per il PIX e il Router Internet1).

Allo stato attuale tutti gli Ip diversi da quelli della LAN vengono inoltrati all'ISA; da li possono soltanto passare attraverso suo gateway che é il Router Internet2.
Se fosse possibile vorrei che tutte le connessioni verso gli IP (dei) Server remoti avessero come gateway il PIX e non più l'ISA.

Spero che la spiegazione sia abbastanza chiara.

Cordiali saluti

Quindi è ISA server a discriminare tutto il traffico...prova con delle statiche che puntano al PIX e quindi ad uscire con quella connessione...

Uhm, effettivamente il disegno non é fatto molto bene, a livello fisico l'ISA lato WAN é collegato direttamente al router Internet1, ma tutto il resto della rete (Cisco 2600 lato ISA, ISA lato 2600, DMZ con relativo PIX) passa per degli switch, quindi il primo discriminante é il Cisco 2600, l'ISA2004 viene dopo.

Sto impazzendo Chi gestisce il routing quindi?Il 2600 o l' ISA?!

Arvina ha scritto:Ho una rete locale e due connessioni ad Internet, sfortunatamente ISA 2004 può gestire soltanto un gateway, quindi tutti gli indirizzi al di fuori della rete locale escono dal default gateway e non ho modo di sfruttare l'altra connessione.

Se non ho capito male...tu vuoi raggiungere i tuoi server in dmz passando da isa (quindi internamnte sugli ip della lan) e nello stesso tempo vuoi pubblicare i tuoi server tramite la connessione 1 che ha come firewall il pix (quindi raggiungerli dall'esterno dall'ip pubblico)
La dmz fa parte della tua lan quindi qualsiasi indirizzo tu provi a raggiungere dal cisco 2600 verso la tua dmz (192.168.10.0) viene instradato da isa sull'interfaccia 192.68.10.30 e quindi al server ftp o rdp che hai. Il problema e che questi server, se li pubblichi attraverso la connessione 1 avrebbero come default gw il pix 192.168.10.66 e non isa quindi dalla tua lan non riusciresti a raggiungerli. Se fin qui è corretto ciò che ho detto, ti consiglio di aggiungere una seconda ethernet al server e forzargli il 2° gw. Lui ti dice che in realtà non funziona ma in realtà a parità di condizioni (stessa metrica e stessa velocità di rete) utilizza la route corrispondente alla subnet richiesta e la inoltra all'interfaccia corrispondente. Ti posto l'ipconfig ed il route print di un server con 2 ethernet e 2 default gw:

C:\>ipconfig /all

Windows IP Configuration

Host Name . . . . . . . . . . . . : giove
Primary Dns Suffix . . . . . . . : domain.local
Node Type . . . . . . . . . . . . : Unknown
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
DNS Suffix Search List. . . . . . : domain.local

Ethernet adapter Local Area Connection:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : NetServer 10/100TX PCI LAN Adapter
Physical Address. . . . . . . . . : 00-E0-18-C4-76-65
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.1.4
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.168.1.253
DNS Servers . . . . . . . . . . . : 192.168.1.1
192.168.1.2

Ethernet adapter Local Area Connection 2:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : D-Link DGE-530T Gigabit Ethernet Adapter
Physical Address. . . . . . . . . : 00-11-95-DD-25-9F
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.2.10
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.168.2.254

C:\>route print

IPv4 Route Table
===========================================================================
Interface List
0x1 ........................... MS TCP Loopback interface
0x10003 ...00 e0 18 c4 76 65 ...... NetServer 10/100TX PCI LAN Adapter
0x30004 ...00 11 95 dd 25 9f ...... D-Link DGE-530T Gigabit Ethernet Adapter
===========================================================================
===========================================================================
Active Routes:
Network Destination Netmask Gateway Interface Metric
0.0.0.0 0.0.0.0 192.168.1.253 192.168.1.4 20
0.0.0.0 0.0.0.0 192.168.2.254 192.168.2.10 20
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.1.0 255.255.255.0 192.168.1.4 192.168.1.4 20
192.168.1.4 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.1.255 255.255.255.255 192.168.1.4 192.168.1.4 20
192.168.2.0 255.255.255.0 192.168.2.10 192.168.2.10 20
192.168.2.10 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.2.255 255.255.255.255 192.168.2.10 192.168.2.10 20
224.0.0.0 240.0.0.0 192.168.1.4 192.168.1.4 20
224.0.0.0 240.0.0.0 192.168.2.10 192.168.2.10 20
255.255.255.255 255.255.255.255 192.168.1.4 192.168.1.4 1
255.255.255.255 255.255.255.255 192.168.2.10 192.168.2.10 1
Default Gateway: 192.168.1.253
===========================================================================
Persistent Routes:
None

C:\>

Come detto prima a parità di condizioni se riceve richieste dalla rete 192.168.1.0 risponde sull'interfaccia 192.168.1.4 mentre sulla 192.168.2.0 risponde sull'interfaccia 192.168.2.10.
Spero di aver capito il tuo problema; altrimenti chiedo scusa.

Scusate il ritardo,sono reduce da un ciocco con l'auto (sto perfettamente, lamacchina un pochino meno), appena mi ripiglio leggo benee ti rispondo, intanto un grossograzie ad entrambi

Nuovamente in ritardo.

Ho apprezzato molto l'aiuto che mi avete dato!

Ho scoperto che in questi mesi sono cambiate un pò di cose.
Vedo di fare uno schema e poi posto.
Scusate ancora la sparizione.