infinity ha scritto:Scusate se mi intrometto...
Io dovrei fare la stessa cosa su di un 2811 con in più la terminazione di alcuni tunnel VPN verso uno di questi IP AGGIUNTIVI...
il 2811 non mi permette di creare Vlan che tipo di interfaccia dovrei usare ?
Se non puoi tenere le reti separate con le vlan credo che puoi usare o delle subnet, oppure se non ti interesa tenere le reti separate, gestisci tutto con access list e NAT...
Io invece mi sto finalmente divertendo con i vari ip...
Allora... Non ho fatto le VLAN ed ho gestito tutto con NAT ed ACL...
Praticamente faccio così:
Codice: Seleziona tutto
interface Loopback0
ip address x.x.x.225 255.255.255.255
ip access-group 101 in
ip nat outside
ip virtual-reassembly
!
interface Loopback1
ip ddns update hostname pippopluto.no-ip.com
ip ddns update no-ip
ip address x.x.x.226 255.255.255.255
ip access-group 102 in
ip nat outside
ip virtual-reassembly
!
interface Loopback2
no ip address
!
interface ATM0.1 point-to-point
ip address y.y.y.234 255.255.255.252
ip access-group 100 in
ip verify unicast reverse-path
no ip redirects
no ip unreachables
no ip proxy-arp
ip nat outside
ip ips IPSRULE in
ip ips IPSRULE out
ip inspect inspection-out out
ip virtual-reassembly
snmp trap ip verify drop-rate
pvc 8/35
oam-pvc manage
encapsulation aal5snap
!
!
ip nat inside source list 120 interface ATM0.1 overload
ip nat inside source list 121 interface Loopback0 overload
ip nat inside source static tcp 192.168.200.1 20 interface Loopback1 20
ip nat inside source static tcp 192.168.200.1 3389 interface Loopback1 3389
ip nat inside source static tcp 192.168.200.1 8080 interface Loopback1 8080
ip nat inside source static tcp 192.168.200.1 80 interface Loopback1 80
ip nat inside source static tcp 192.168.200.1 21 interface Loopback1 21
ip nat inside source static tcp 192.168.200.1 143 interface Loopback1 143
ip nat inside source static tcp 192.168.200.1 443 interface Loopback1 443
ip nat inside source static tcp 192.168.200.1 25 interface Loopback1 25
ip nat inside source static 192.168.200.252 interface Loopback2
access-list 100 remark *** ACL GENERALE DELLA ADSL ***
access-list 100 remark *** ACL Anti-Spoofing ***
access-list 100 deny ip host 0.0.0.0 any log
access-list 100 deny ip host 255.255.255.255 any
access-list 100 deny ip 127.0.0.0 0.255.255.255 any log
access-list 100 deny ip 192.0.2.0 0.0.0.255 any log
access-list 100 deny ip 224.0.0.0 31.255.255.255 any log
access-list 100 deny ip 10.0.0.0 0.255.255.255 any log
access-list 100 deny ip 172.16.0.0 0.15.255.255 any log
access-list 100 deny ip 192.168.0.0 0.0.255.255 any log
access-list 100 remark *** ACL Anti-Seccatori ***
access-list 100 deny ip 88.43.57.0 0.0.0.255 any log
access-list 100 remark *** Permetto tutto il resto del traffico (diretto alle Loopback) ***
access-list 100 permit ip any any
access-list 100 permit gre any any
access-list 101 remark *** ACL DEL PRIMO IP AGGIUNTIVO - NAVIGAZIONE - LOOPBACK 0***
access-list 101 remark Non devo far passare nulla
access-list 101 deny ip any any
access-list 101 deny icmp any any
access-list 101 deny gre any any
access-list 102 remark *** ACL DEL SECONDO IP AGGIUNTIVO - SERVIZI - LOOPBACK 1***
access-list 102 remark *** ACL per applicazioni server ***
access-list 102 permit tcp any any eq 3389
access-list 102 permit tcp any any eq ftp
access-list 102 permit tcp any any eq www
access-list 102 permit tcp any any eq 8080
access-list 102 permit tcp any any eq 143
access-list 102 permit tcp any any eq 443
access-list 102 permit tcp any any eq smtp
access-list 102 permit tcp any gt 1023 any eq ftp-data
access-list 102 remark tcp any eq ftp-data any gt 1023 ***non credo serva
access-list 102 remark *** ACL per VPN ***
access-list 102 permit tcp any any eq 1723
access-list 102 permit udp any eq isakmp any eq isakmp
access-list 102 permit gre any any
access-list 103 remark *** ACL DEL TERZO IP AGGIUNTIVO - VOIP - LOOPBACK2***
access-list 103 remark *** Permetto il traffico SIP in ingresso dal server voip ***
access-list 103 permit tcp host v.v.v.v eq 5060 any
access-list 103 remark *** Permetto il traffico UDP in ingresso dal server voip ***
access-list 103 permit udp host v.v.v.v any
access-list 120 remark *** NAT - IP ADSL PPP - SMTP in uscita ***
access-list 120 remark *** Permetto solo l'invio di posta solo dal server ***
access-list 120 permit tcp host 192.168.200.1 any eq smtp
access-list 121 remark *** NAT - PRIMO IP AGGIUNTIVO - Navigazione ***
access-list 121 remark *** Blocco l'invio di posta dal server e permetto tutto il resto del traffico
***
access-list 121 deny tcp host 192.168.200.1 any eq smtp
access-list 121 permit ip any any
access-list 121 permit icmp any any
access-list 121 permit gre any any
Da notare che è ancora in via sperimentale, ma funziona abbastanza...
Praticamente con una acl ho fanno uscire sulla atm0.1 il solo traffico di posta proveniente dal server (preferisco farla uscire con l'ip del punto punto, finora non ha dato problemi e non voglio fare esperimenti
), e tutto il resto del traffico esce con l'ip della loopback 0. Sulla loopback 1 ho i servizi in ingresso. Sulla 2 tutto il traffico che arrivera' andra' a finire verso un centralino voip (SPA9001) e ci faro' il qos in modo che il traffico che arriva dal centralino voip vada a finire su una porta ethernet dello switch del 1801 (faro' una vlan a parte), e di li per uscire avra' qos.
Ora, vengono le domande
Il server di posta (nel caso specifico 192.168.200.1) non fa da server di posta, ma fa anche da firewall e nat per le postazioni 'sicure'. Io volevo fare in modo che le connessioni smtp provenienti dai singoli pc nella rete sicura non diretti verso il server smtp interno uscissero con l'ip 'da battaglia' (il x.x.x.225)... Peccato che il server 192.168.200.1 quando fa il nat fa uscire i pacchetti con il suo ip, con destinazione la porta 25, così frega l'access list 120 e me le fa uscire con l'ip utilizzato solo per spedire la posta. Non è un problema troppo grave, ma volevo vedere se a qualcuno viene in mente un'idea piu' furba
L'altro problema è che l' access list sull'interfaccia loopback0 non va!
Ovvero, se da un host esterno pingo la loopback 0, nonostante la acl 101 dovrebbe bloccarmi tutto il traffico, lei risponde lo stesso!
Invece la loopback1 non risponde e tutti i servizi dietro di essa funzionano normalmente...
Se non ho capito male, dagli esperimento che ho fatto, le loopback sono viste come 'sottointerfacce' della atm0.1 (che a sua volta è una specie di 'sottointerfaccia' della atm0), pero' un po di cose non le capisco. Ad esempio, com'e' fatta ora il router dovrebbe rispondere all'ip della atm0.1, invece non risponde, ed inspiegabilmente risponde all'ip della loopback0!!! In piu' se sposto la default router del router dall'interfaccia atm0.1 alla loopback0 nulla riesce piu' ad uscire...
Qualcuno puo' illuminarmi?
Grazie mille!!!
, e so che per questo tipo di connessioni ci sono 2 tipi di configurazioni possibili: in una si mettono gli indirizzi aggiuntivi come indirizzi dell'interfaccia interna, nell'altra si mettono come secondary all'ip punto punto sull'interfaccia esterna...
