Forward-ovanje DNS zahteva na Cisco ruteru

Ubih se trazeci po netu komandu za ovako nesto, ali ne mogu da nadjem.
U pitanju je 1720 ruter.
DHCP parametre dobija od ISP-a, i NAT radi OK.

Kada na kompjuteru postavim da mi je on DNS tada ne radi npr. www.google.com, a kada postavim DNS IP parametre od ISP-a onda radi (sto je i logicno - samo da potvrdim da je sve OK).

Potpis

YU2MP

Nije mi jasno sto se ti ovo, ako nije u svrhu testiranja, ali evo:

ip dns server

ip dns spoofing adresa_dns_server_na_koji_forwardujes

no ip domain lookup

poz

Sasa

Nemam IP DNS...
Imam IP
domain
domain-list
domain-lookup
domain-name

Potpis

YU2MP

minimalno: 12.3(2)T IOS

Pa nije valjda da tako jednostavna operacija zahtava noviji IOS?

Kod mene je c1700-y-mz.122-8.T4

Potpis

YU2MP

Pa tako jednostavna operacija bas i nema nekog veceg smisla (zato i rekoh: ne znam za sta ce ti, ako nije samo za testiranje)...podrazumjeva se da za DNS operacije koristis DNS Servere, forwardere, kondicionalne forwardere itd....ipak nije za ocekivanje da jedan ruter preuzima ulogu aplikacionog servera.

poz

Hteo sam da mi ruter sluzi kao DNS forwarder, znaci da njegovu adresu upisujem kao DNS parametar kod klijenata, kao sto sam i do sada radio.
Do sada je stajao mali Linksys ruter pa je tako radilo.

Potpis

YU2MP

Cek, jel tvoji klijenti dobijaju adrese od dhcp-a na ruteru?
Ako je tako mozes da u dhcp poolu ukljucis komandu: 'import all'. Pretpostavljam da od providera dobijas parametre pppoe-om?!

Ali ako hoces da ti radi klasicni forwarding, na nacin DNS servera onda je dns spoofing (noviji IOS) jedini nacin za tebe.

poz

Klijenti imaju staticke adrese.
Wireless-om sam povezan na ISP-a i parametri se dobijaju preko Ethernet-a.

Pretpostavljam da se noviji software ne moze dobiti tek tako?

Potpis

YU2MP

Eh bre...nasao si gdje da pitas za software...

Ali, i dalje mi nije jasno, zasto ti je toliko bitno? Mislim, zbog cega bas mora tako, cak i po cijenu novijeg IOS-a? Jesi se samo zainatio ili bas ima razlog? Nadam se da ne pitam previse...

Npr. jedno od mogucih rjesenja je da podignes lokalni DNS Server sa forwarderom/root hintima/kako god.

poz

Vise zainatio nego sto stvarno treba. Radi mi net ok i ovako, kada sam kao DNS parametar na kompjuteru stavio DNS ISP-a.

Da li bi ruter radio ok ako bih zamenio za noviju verziju software-a?
Sad vec samo pitam jer ne znam da li bih se igrao sa flash-ovanjem software-a.
Koja verzija moze da se stavi, odnosno da li mora da se trazi samo za 1700 seriju rutera?

Ajde samo jos ovo da pitam...kako da postavim odredjeni lokalni IP da mi bude u DMZ-u? Upravo citam nesto u vezi NAT-ovanja. Mislim da cu naci ovde, ali za svaki slucaj i da pitam.

_{[Ovu poruku je menjao Marcony dana 03.10.2005. u 21:31 GMT+1]}

Potpis

YU2MP

Moras, nazalost, koristiti samo onu verziju software-a koja je predvidjena za tvoj ruter (obicno bas za tu seriju, a ne bilo sta iz 17xx serije)....istina, vidjao sam da ruteri rade i sa drugim verzijama software-a (ne mnogo razlicitim), ali onda se kao problem pojavljuje neprepoznavanje boot_loadera, romona itd...
Najsigurnije je uzeti software za taj konkretan uredjaj!

Sam proces update-a je jednostavan i rizika nema (u razumnim okvirima, naravno), ukoliko sve uradis po ps-u.


Ovo za lokalni ip u dmz-u bas nisam shvatio...pretpostavljam da hoces staticku translaciju??!
(ip nat inside source static x.x.x.x y.y.y.y)

poz

Znas li koju bih noviju verziju trebao da uzmem za ovaj ruter?

Na Linksys-u imam opciju DMZ. Tu sam postavio moj komp tako da je direktno vidljiv na netu.
Koliko sam razumeo to se radi preko NAT-a, ali nisam bas shvatio kako.

Potpis

YU2MP

Pa ako planiras da 'istjeras svoje' do kraja sa DNS-om , onda ce ti sve preko verzije 12.3(2)T IOS odgovarati....ne znam koliko si zainteresovan za novosti u IOS-ima generacije 12.4, ali tamo ima brdo interesantnih stvari (NAC, WebVPN, IPS....)

Sto se implementacije DMZ-a tice....DMZ ti je obicno poseban subnet, na posebnom interface-u za koji obicno postoje staticke translacije za externog adaptera, kao i sa internog...(ne mora da bude, ali na to se obicno misli kada se govori o perimeter zoni), uz brdo access listi koje definisu pristup....u DMZ obicno stavljas javno dostupne servise i na taj nacin minimiziras kontakt internet sa internom mrezom...naravno, moras da vodis racuna sta dopustas i odakle, jer mozes doci u situaciju da se port-forwardingom preko DMZ servisa dodje do tvojih internih resursa....

primjer: u DMZ-u je web server koji je na portu 80/443 publikovan za javnost preko neke translacije i sa odredjenom access-listom...na internom interface-u je DB Server koji je publikovan samo za Web Server po portu 1433 (SQL), dok je za sve ostalo deny.....

znaci...treba ti staticka trasnlacija prema internetu za Web-srv, i eventualno translacija SQl-a za Web-srv....takodje ti trebaju liste koje omogucavaju gore pomenuto...

Ovo sad sa 3 interface po logici stvari pokusaj da slozis na dva interface-a...

uzivaj....

poz

Samo mi jos ovo reci...to je to?

http://www.cisco.com/en/US/tec...ech_note09186a0080093f31.shtml

Potpis

YU2MP

Da :)

+ access-li

Sto se tice access-list-e nju necu staviti ka ovom kompjuteru, jer na njemu imam firewall (ATGuard) koji je vec dobro konfigurisan (i kao takav radi vec 2 godine bez problema).

Znaci bice mi dovoljno ova komanda:

ip nat inside source static 192.168.0.3 javna_ip_adresa_rutera

_{[Ovu poruku je menjao Marcony dana 03.10.2005. u 22:08 GMT+1]}

Potpis

YU2MP

Ne!

Ako imas samo jednu javnu adresu i to onu interface-a, moras da napravis staticku translaciju prema portu.

ip nat inside source stat tcp|udp x.x.x.x 80 interface x 80 ---primjer!





_{[Ovu poruku je menjao positive0 dana 03.10.2005. u 22:12 GMT+1]}

Ok, ali ovako su mapirani svi portovi?

Do malo pre, EMule mi je prikazivao povez preko ociju (dok nisam konfigurisao staticko mapiranje IP adrese).
Sada ne prikazuje tako, a tako je bilo i ranije dok sam koristio drugi ruter.

Potpis

YU2MP

Ma pazi....ne mozes imati staticku translaciju na relaciji koja je vise od jedan-na-jedan!
(Znaci, ne mozes da mapiras na istu adresu 2 kompjutera, ako ti treba staticka translacija....tj., da bi ovo postigao, moras da pravis translacije prema portovima)....

Istina, na nekim uredjajima ces i moci napraviti ovakvu translaciju, sto ce rezultirati u round robin distribuciji zahtjeva prema internim klijentima...


vodi racuna da i ruter ;'ima pravo' na svoju sopstvenu adresu

_{[Ovu poruku je menjao trooper dana 04.10.2005. u 11:44 GMT+1]}