CiscoForums.it

Ciao a tutti,
da un bel po' di tempo sto cercando di capire come poter nattare dei range interi di porte su un ASA 5505 senza costringermi ad esporre completamente tutte le porte di un server sull'ip pubblico con una regola di nat statico.
Spero che mi possiate dare una mano...
Di seguito la configurazione di rete nel caso sia utile per meglio comprendere la situazione:
----------------------------------------------------------------------------------------------
(10.0.0.99) Cisco 837 con 1 ip pubblico statico che natta tutto su un host esposto dell'ASA 10.0.0.3 ->>

(10.0.0.4 WAN - 10.0.0.3 WAN esposto - 192.168.0.1 LAN) Cisco ASA 5505 ->>

(192.168.0.100) Server voip asterisk
(192.168.0.3) Server web
----------------------------------------------------------------------------------------------
L'asterisk per funzionare correttamente infatti ha bisogno che siano nattate e aperte le UDP dalla 10000 alla 20000.
Vi incollo una configurazione un po' grossolana con la quale al momento ho un PAT su alcune porte di clients della rete. Ripeto, porte singole es. la 5060 e la 80, ma non range di porte.
Attendo con fiducia vostri lumi, non penso che un giocattolino come l'ASA non faccia quello che normalmente fa un D-Link da pochi euro...

Grazie, ciao!

------------------------------------------------------------------------------
ASA Version 7.2(2)
!
hostname ciscoasa
domain-name default.domain.invalid
enable password 8Ry2YjIyt7RRXU24 encrypted
names
name 10.0.0.3 Host-esposto-router description Host esposto
name 192.168.0.100 Asterisk description Asterisk
name 192.168.0.3 WEB description WEB
!
interface Vlan1
nameif inside
security-level 100
ip address 192.168.0.1 255.255.255.0
!
interface Vlan2
nameif outside
security-level 0
ip address 10.0.0.4 255.255.255.0
!
interface Ethernet0/0
switchport access vlan 2
!
interface Ethernet0/1
!
interface Ethernet0/2
!
interface Ethernet0/3
!
interface Ethernet0/4
!
interface Ethernet0/5
!
interface Ethernet0/6
!
interface Ethernet0/7
!
passwd 2KFQnbNIdI.2KYOU encrypted
ftp mode passive
dns server-group DefaultDNS
domain-name default.domain.invalid
same-security-traffic permit inter-interface
same-security-traffic permit intra-interface

access-list outside_access_in extended permit ip any any
access-list ACL-IN extended permit udp any any eq 5900
access-list outside_access_in_1 extended permit icmp any any echo-reply
access-list outside_access_in_1 remark Permette il traffico proveniente da qualsiasi ip pubb esterno all'indirizzo IP esposto dal router
access-list outside_access_in_1 extended permit udp any range 1 65535 host Host-esposto-router range 1 65535
access-list outside_access_in_1 remark Permette il traffico proveniente da qualsiasi ip pubb esterno all'indirizzo IP esposto dal router
access-list outside_access_in_1 extended permit tcp any range 1 65535 host Host-esposto-router range 1 65535
access-list inside_access_out extended permit ip any any
access-list inside_access_in extended permit ip any any
pager lines 24
logging enable
logging asdm informational
mtu inside 1500
mtu outside 1500

icmp unreachable rate-limit 1 burst-size 1
asdm image disk0:/asdm-522.bin
no asdm history enable
arp timeout 14400
nat-control
global (inside) 1 interface
global (outside) 1 interface
nat (inside) 1 192.168.0.0 255.255.255.0 dns
static (inside,outside) udp Host-esposto-router sip Asterisk sip netmask 255.255.255.255
static (inside,outside) tcp Host-esposto-router 80 WEB 80 netmask 255.255.255.255
access-group inside_access_in in interface inside
access-group inside_access_out out interface inside
access-group outside_access_in_1 in interface outside
route outside 0.0.0.0 0.0.0.0 10.0.0.99 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
group-policy DefaultRAGroup internal
group-policy DefaultRAGroup attributes

http server enable
http 192.168.0.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart

telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd auto_config outside
!
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
!
service-policy global_policy global
prompt hostname context

Crei una regola di nat statico per IP poi regoli gli accessi tramite le acl sulla outside

Se creo una statica però perdo la possibilità di forwardare altre singole porte tramite PAT su altri host (qualsiasi altro PAT overlapperebbe immagino).
Penso si tratterebbe di aprire tutte le porte su un ip interno e poi limitare il range delle 65535 porte aperte con l'ACL.
Non sarebbe risolutivo perchè ho altri 2-3 server web da nattare...
Se non è così accetto di buon grado qualche esempio!

Se non hai 3 ip pubblici diversi x i 3 server allora si, devi per forza andare di port-forwarding e creare n regole di static.

Grazie Wizard, mi hai risolto un grosso dubbio. Non volevo sentirmelo dire, perchè mi cadono un po' in basso come considerazione i cari ASA, ma almeno ora farò scelte più oculate.

Ciao!

Prova con il policy nat su ASA: