Cisco 871: far accedere SOLO alcuni IP ad un IP privato

[dmargotti]

Salve a tutti,
ho un router Cisco 871 e 8 IP disponibili.
Vorrei che da alcuni IP Internet (che conosco) si potesse accedere via RDP ad un server sulla LAN interna.

Ho inserito nella configurazione queste righe:

Codice: Seleziona tutto

ip nat inside source static tcp IP-INTERNO-MIO 3389 IP-PUBBLICO-MIO 3389 extendable

ip access-list extended mia_access_list 
 permit tcp host IP-FIDATO-1 host IP-PUBBLICO-MIO eq 3389
 permit tcp host IP-FIDATO-2 host IP-PUBBLICO-MIO eq 3389
 deny   tcp any host IP-PUBBLICO-MIO eq 3389
 permit ip any any

Però così non funziona, perché riesco ad accedere da QUALSIASI IP, anziché solo da quelli indicati come IP-FIDATO-1 e IP-FIDATO-2.

Dove sbaglio?

Grazie mille,
   Daniele

[hashashin]

.
ciao,

la regola di nat e la relativa access-list sembrano giuste, però ci sono un paio di cose da controllare:

1) l'interfaccia configurata come "inside", è quella dove c'è la rete del "IP-INTERNO-MIO"?

2) l'access-list l'hai applicata all'interfaccia dove c'è la punto-punto con l'ISP??

facci sapere (magari se postassi la configurazione sarebbe meglio)

ciaoooooooo

[dmargotti]

1) l'interfaccia configurata come "inside", è quella dove c'è la rete del "IP-INTERNO-MIO"?

Sì, confermo.

2) l'access-list l'hai applicata all'interfaccia dove c'è la punto-punto con l'ISP??

Cosa intendi? Quali comandi devo usare per applicare l'access-list all'interfaccia wan?

Per questa access-list io ho preso spunto da qui:
http://www.experts-exchange.com/Hardwar ... 98045.html
L'access-list extended che permette l'accesso solo a determinati IP è chiamata (in questo esempio) inet-in, ma non la vedo "applicata" da nessun'altra parte nel resto della configurazione.


Le access-list extended vengono applicate prima o dopo le access-list numeriche? (O è ininfluente?)
Se da qualche parte nelle access-list numeriche ho un "permit ip any any", può darsi che influisca sul fatto che riescano ad entrare tutti gli IP (e non solo quelli che ho definito io)?

Grazie,
   Daniele

[dmargotti]

Ho risolto (e mi rispondo da solo...).

Come suggeriva hashashin, mancava l'applicazione della access-list all'interfaccia:

Codice: Seleziona tutto

interface mia_interfaccia_verso_ISP
ip access-list extended mia_access_list 

   Daniele