CiscoForums.it

Mi è stato chiesto di mappare un indirizzo pubblico su due indirizzi privati per connessioni tcp. Pertanto ogni chiamata sull'indirizzo pubblico dovrebbe essere dirottata verso due macchine interne, per poi lasciare a queste la gestione di una singola connessione. E' possibile questo tipo di routing ?

Questa scelta è dovuta dal fatto che il client che tenta di raggiungere dall'esterno una delle due macchine, è un processo stupido al quale può essere speficificato un solo ip di destinazione per quelli che sono in realtà due server (se uno è down dovrebbe rispondere l'altro).

Il dispositivo in questione è un Pix 501.

Con un solo indirizzo ip pubblico puoi eseguire una nat ma su due porte diverse, quindi per il tuo problema dovresti dire al "programmino stupido" che se non risponde un ind ip pubblico su quella porta deve andare sempre su qull'indirizzo su di un'altra porta

Spero di essere stato esaustivo

Ciao

emanuele.ciani ha scritto:Spero di essere stato esaustivo

Ottimo.
Ora per mettere in pratica il tuo suggerimento, ti chiedo se esiste un modo per semplificare l'impostazione. L'intenzione è quella di instradare connessioni tcp sull'ip pubblico (lato outside del pix) 192.168.1.5 dalla porta 5000 alla 5100 verso l'ip interno 10.10.10.5 stessa porta, e connessioni tcp sullo stesso ip pubblico dalla porta 5101 alla 5200 verso l'ip interno 10.10.10.5 stessa porta. Non conoscendo bene la sintassi dello static, banalmente imposterei:

static (inside,outside) tcp 192.168.1.5 5000 10.10.10.5 5000 255.255.255.255 0 0
static (inside,outside) tcp 192.168.1.5 5001 10.10.10.5 5001 255.255.255.255 0 0
. . . . . . . ..
static (inside,outside) tcp 192.168.1.5 5100 10.10.10.5 5100 255.255.255.255 0 0

..ovvero scriverei una static per ogni porta, ovvero scriverei 200 static. Mi chiedevo se ci fosse la possibilita di specificare un range di porte, magari definendo un object-group ?

PS: Ma la netmask nella static a chi fa riferimento ? Cioe se imposto:
static (inside,outside) 192.168.1.5 10.10.10.5 255.255.255.0 0 0
ottengo che tutto il traffico che arriva al pix dall'outside viene instradato sulla 10.10.10.5, o che tutto il traffico sul 192.168.1.5 viene mandato su tutti i punti dell'inside ? Mhmm.. penso piu la prima, o no ?

Maxwell ha scritto:Mi chiedevo se ci fosse la possibilita di specificare un range di porte, magari definendo un object-group ?

Permettete che riproponga la domanda, nella speranza di avere una risposta anche negativa perche, se cosi fosse, mi metterei l'anima in pace e scriverei le 400 righe..