majl server natovan ne radi

Ok

ip nat inside source static 192.168.100.19 25 62.100.68.164

radi sve i prima i salje majlove

ip nat inside source static tcp 192.168.100.19 25 62.100.68.164 25 extendable

prima a ne salj emajlove. majl izlazi sa source adresom 192.168.100.19 umesto 25 62.100.68.164

Da bi slao majlove ja moram da unesem

ip nat pool mojpul 62.100.68.164 62.100.68.164 255.255.255.240

ip nat source route-map mojaruta pool mojpul

ili

ip nat source list 5 pool mojpul

Da li sam u pravu? Samo tako bi majlovi izlazili sa source adresom 62.100.68.164

Sada moj e drugo pitanje je:

access-list 102 permit ip host 62.100.68.171 194.48.129.192 0.0.0.63

i to j eprilicno cudno jer je to access lista od crypto mape. Ono sto ja ocekujem je da su te adrese privatne ali onbe nisu, vec su javne.
62.100.68.171 je javna adresa moga servera. Sada ja hocu da nemam njegovu hjavu adresu i da ga stavim iza rutera i to sa
ip nat source static 192.168.100.56 62.100.68.171

Sada da bih ogranicio pristup tom serveru iza rutera sta treba da uradim? Koju instrukciju da stavim u ulaznu access-listu spoljasnjeg interface-a?


Mozda:

permit ip 194.48.129.192 0.0.0.63 host 62.100.68.171?

Mislim ovo sa javnim adresama me zbunuje jer moram da unesem komandu za natovanje. Ipak ja moram nekako da ogranicim pristup tom serveru sa iterneta.

Sto se NAT-a tice, moras da ga omogucis klijentima u nekom obliku. Kao sto vidis, osim za specificna pravila koja si definisao NATranslacja za ostale klijente i slucajeve ne radi.



Ovo ce omoguciti da klijent 192.168.100.19 ima staticku 1:1 translaciju na 62.100.68.164 i u njegovom slucaju nat ce raditi u oba smera i efektivno je isto kao i da si racunaru dodelio tu javnu adresu.
Ostali klijenti nisu definisani ovim pravilom i u odsustvu drugog, na njima NAT ne radi.



Ovo ce omoguciti svim klijentima definisanim access-listom 1 NAT, tj. PAT sa adresom koja je dodeljena interfejsu Fa0/0. Naravno bez preusmeravanja bilo kakvih potova... to moras posebno definisati.

Nat pool je takodje validna opcija, ukoliko hoces da iskoristis jos neke adrese osim te dodeljene Fa0/0 interfejsu.
Sve dakle zavisi sta hoces da postignes...

Sto se access-listi tice, o tome radije kad konfigurises NAT kako treba.

Potpis

"99% of your thought process is protecting your self-conceptions,
and 98% of that is wrong."

Nat je konfigurisan i ima dva nacina:


1.
"ip nat inside source static 192.168.100.19 62.100.68.164"

Radi sve.


2.

"ip nat inside source static tcp 192.168.100.19 25 62.100.68.164 25"

ali mora da se dodaju sledece dve instrukcije, jer sama ne radi u oba smera. samo jedan!

ip nat inside source list 1 interface pool Mypool

ip nat pool mypool 62.200.68.164 62.200.68.164 netmask 255.255.255.240


Gde je 62.200.68.164 javna adresa od LAN opsega meni dodeljena opsega 255.255.255.240.


--------------------------------------------------------------------


Odabrao sam drugu opciju jer bi za prvu morao da dodam recimo u acl za unutrasnji interface access-group 12 out nesto kao:

permit tcp any host 192.168.100.19 eq 25

deny ip any host 192.168.100.19


192.168.100.19 uzeto je jer NAT outside to inside (global to local translation) dolazi pre izlazne liste. To jos nisam probao.



Ono sto me brine je i zasto nisam uzeo tu opciju sa izlaznim listama je sto ne znam kako da ogranicim taj cudni VPN pristup!
Da li treba da stavim u istoj grupi nesto kao:

permit ip <ip adresaVPNpeerizcryptomape> <koja maska???> host <natovanalocalnaadresakoju trazi VPN>
deny ip any host <natovanalocalnaadresakoju trazi VPN>

Kakav sad cudni vpn pristup? Ako hoces samo da ogranicis taj server (192.168.100.19), to si vec uradio.

Potpis

"99% of your thought process is protecting your self-conceptions,
and 98% of that is wrong."

Mozda je bolje da to postavim na drugu temu?

Imam na ruteru koji bi trebao da prepravim sledecu konfiguraciju koja radi:

crypto map CRYPTO 20 ipsec-isakmp
set peer 194.48.130.35
set transform-set TELCOM
set pfs group2
match address 102


Ovo je cela lista koja odgovara gornjoj crypto mapi.

access-list 102 permit ip host 62.100.68.171 194.48.129.192 0.0.0.63

Sada ono sto je cudno je da se u access listi crpyto mape nalaze javne adrese umesto privatnih adresa. 62.100.68.171 je javna adresa servera u mojoj mrezi a 194.48.129.192 0.0.0.63 je podmreza koju server iz moje mreze moze da pristupa. Nisam nasao nista slicno na internetu sto bi mi pokazalo zasto je taj VPN konfigurisan na taj nacin. Sa tim klijentom - telekom provajderom ja nemam nikakakve komunikacije.

Sada sa interneta se mora ograniciti pristup, hocu da pomenuti server moze se pristupiti samo za potrebe VPN konekcije sa te lokacije koja je odredjena sa komandom:

set peer 194.48.130.35


Logican zakljucak je da se natuje javna adresa moga servera:

ip nat inside source static 192.168.100.24 62.100.68.171

Recimo da zelim da postavim acl listu, kojom treba da ogranicim pristup tom serveru samo sa lokacije tog klijenta i za potrebe VPN sta treba da uradim? Znam za NAT order i da trebam da stavim sledece instrukcije u outband access-nu listu na unutrasnjem interface-u( ip nat inside):

access-list 123 permit ip host 194.48.130.35 host 192.168.100.24
access-list 123 deny ip any host 192.168.100.24

Da li je ovaj nacin ispravan?