Welche Funktion - PAT bzw. Port Redirection?

Mitglied: DreamForrest

DreamForrest (Level 1) - Jetzt verbinden

04.11.2011 um 12:12 Uhr, 2810 Aufrufe, 11 Kommentare

Hallo,

ich möchte folgende Infrastruktur abbilden:

5 Webserver sollen über eine externe IP erreichbar sein.

10.120.50.31 :80 -------------------- 193.99.213.98 :9001
10.120.50.32 :80 -------------------- 193.99.213.98 :9002
10.120.50.33 :80 -------------------- 193.99.213.98 :9003
10.120.50.34 :80 -------------------- 193.99.213.98 :9004
10.120.50.35 :80 -------------------- 193.99.213.98 :9005

Hardware wird eine ASA Firewall sein.

Welche Policy oder Konfiguration braucht eine ASA dafür zusätzlich.
Also wie z. B. eine route für beide Richtungen anlegen, NAT Policy etc.

Eine Übersicht würde mir sehr weiterhelfen.

Bsp.:
Mach das, dann das, weil sonst geht es nicht...
Mitglied: aqui
04.11.2011 um 18:53 Uhr
Routen sind ja Blödsinn, denn die haben ja nix mit NAT zu tun ! Das ist ein simples NAT was du auf der ASA einrichten musst. Die Cisco Seite hat zig Beispielkonfigs dazu. Das ist ein simpler Einzeiler pro Server in der Konfig !
Bitte warten ..
Mitglied: DreamForrest
04.11.2011 um 20:14 Uhr
Ja, aber das ist doch eher PAT bzw. ein Port Redirection !?

NAT !?

Wie am sinnvollsten ein Portscan bzw. Test durchführen ?
Bitte warten ..
Mitglied: DreamForrest
04.11.2011 um 20:44 Uhr
Gibt es eine bessere Variante um dies, wie oben aufgeführt, umzusetzen ?

Eventl. mit AnyConnect über den Webbrowser ?

Könnte unter AnyConnect trotzdem eine Zuordung der Webserver erfolgen ?

Ist eine Konfiguration sehr aufwendig ?
Bitte warten ..
Mitglied: aqui
05.11.2011 um 09:37 Uhr
Ob du es PAT oder NAT nennst ist erstmal kosmetischer Natur. Einen Portscan kannst du mit den üblichen Webseiten bei heise.de usw. von aussen testen.
Wenn du über AnyConnect arbeitest hast du ja eine VPN Verbindung. Das erzwingt dann immer ein starten des VPN Clients vor dem Zugriff.
Dein Thread ist aber so zu verstehen, das die Server im permanten Zugriff da sein sollen, oder ?
Dann ist wieder NAT/PAT dein Freund ! Hier steht wie es geht:
http://www.cisco.com/en/US/tech/tk648/tk361/technologies_tech_note09186 ...
Wie gesagt..die Konfig ist eine einzige Zeile in der Cisco Konfig pro Server. Da kannst du dann mal selber beurteilen ob das nun "aufwendig" ist oder nicht !
Bitte warten ..
Mitglied: DreamForrest
05.11.2011 um 09:44 Uhr
Ich werde mich gleich mal daran versuchen und mal austesten.
Eine Zeile, wenn es denn nicht viel drum herum ist, dann sollte das recht einfach sein.

Ja, richtig. Die WEB-SRV sollen permanent aktiv sein.
Zumidest kann (wahrscheinlich) nicht jeder den VPN Client nach extern ausführen
oder
gar installieren.

Wie steht es denn mit WEBvpn, also direkt über den Browser ?!
Das wäre dann eine Alternative, oder ?
Bitte warten ..
Mitglied: DreamForrest
05.11.2011 um 09:52 Uhr
In overloading, each computer on the private network is translated to the same IP address (213.18.123.100) but with a different port number assignment:

Das wäre genau richtig. Aber das sind nur Erklärungen - keine Syntax dazu !?

Noch etwas:

10.120.50.31 :80 -------------------- 193.99.213.98 :9001
10.120.50.32 :80 -------------------- 193.99.213.98 :9002
10.120.50.33 :80 -------------------- 193.99.213.98 :9003
10.120.50.34 :80 -------------------- 193.99.213.98 :9004
10.120.50.35 :80 -------------------- 193.99.213.98 :9005

Kann ich die "externen Ports" auch statisch festlegen ?

Die einzelnen :80 Dienste sollen stets gezielt von extern aufgerufen werden.
Wenn einfach der nächste freie Port genutzt wird, dann weiß ich doch nie welchen Webserver ich nun habe, oder ?

Das was ich an Dokus finde verwirrt mich ein wenig.
Es wird davon ausgegangen, das die lokalen Clients eine gloablen öffentlichen Server aufrufen.
Bei mir wäre es aber umgekehrt.

Also:
Inside-Local --------- Outside-Global
10.120.50.31 -------- 193.99.213.98 :9001 (muss :9001)
dst= -------------------- src=


Irgendwo habe ich da ein Denkfehler...


Ps.: Es gibt "Add public Server" - Ist das so eine Art fertige DMZ ?
Bitte warten ..
Mitglied: aqui
06.11.2011 um 21:45 Uhr
Die Cisco Webseite hat ein paar fertige Fokus und Konfigs für so ein Szenario:
http://www.cisco.com/en/US/products/ps6120/products_configuration_examp ...
oder allgemein hier:
http://www.cisco.com/en/US/products/ps6120/prod_configuration_examples_ ...
unter der Rubrik NAT...
Bitte warten ..
Mitglied: DreamForrest
06.11.2011 um 21:57 Uhr
Die Syntax hat sich beim NAT geändert. oh nein...
Bitte warten ..
Mitglied: DreamForrest
06.11.2011 um 22:11 Uhr
Warum hat hier
http://www.cisco.com/en/US/products/ps6120/products_configuration_examp ...
der Router B eine df route zum Router A, anstatt auch über die ASA zu gehen ?

Welchen Grund hat dies ?
Bitte warten ..
Mitglied: DreamForrest
07.11.2011 um 13:20 Uhr
Wichtige Frage:

Muss ich denn beim NAT overloading (PAT) eine statische route haben ?

Oder genügt ein NAT statement ?!
Bitte warten ..
Mitglied: aqui
08.11.2011 um 15:04 Uhr
Nein, musst du nicht, weil die Outgoing Pakete ja die IP des Outgoing Netzes benutzen und nicht die interne IP. Geht ja auch nicht, weil du dort RFC 1918 IPs benutzt die es im Internet nicht gibt !
Da du eh eine default Route zum Provider hast entfällt also jegliches Routing Gefummel !
Bitte warten ..
Heiß diskutierte Inhalte
Switche und Hubs
Probleme im Netzwerk Switche teilweise nicht erreichbar
hukimanVor 1 TagFrageSwitche und Hubs30 Kommentare

Guten Morgen, seit Monaten haben wir hier immer wieder Probleme mit dem Netzwerk, das Problem konnte ich leider aber noch immer nicht finden. Es ...

Erkennung und -Abwehr
Einer Malware auf der Spur. Benötige Sherlock Holmes!
streamVor 1 TagFrageErkennung und -Abwehr7 Kommentare

Guten Abend Wenn ich meine Windows-10-Kiste starte, so gibt mir mein Router eine Meldung aus, dass eine bestimmte IP-Adresse wegen Bösartigkeit geblockt wurde. Auf ...

Batch & Shell
Tabellarische Ausgabe der Netzwerkschnittstellen
gelöst dysti99Vor 1 TagFrageBatch & Shell20 Kommentare

Mit - ip a - werden ja die Netzwerkschnittstellen angezeigt. Ich möchte mit ein Batchscript folgende Ausgabe erreichen: 1 eth0 192.168.1.1 AD:13:67:56:14:D1 2 eth1 ...

Notebook & Zubehör
Tipp für festgefressene Scharniere bei Lenovo V120 Notebook?
LochkartenstanzerVor 13 StundenFrageNotebook & Zubehör19 Kommentare

Moin Kollegen, Ich habe hier ein Lenovo V120 mit einem laut Internet üblichen Problem von "festgefressenen" Scharnieren. Ich könnte jetzt aufwendig das Notebook zerlegen ...

Microsoft Office
Wechsel von Office - Exchange on premise zu Office 365 - Exchange Online
jann0rVor 23 StundenAllgemeinMicrosoft Office10 Kommentare

Moin, ich weiß nicht so richtig, unter welche Überschrift man dieses Thema hier am besten packen kann, daher mal als allg. Beitrag / Erfahrungsbericht. ...

Microsoft
MS Teams und Office im gemeinnützigen Verein
DanielBodenseeVor 1 TagFrageMicrosoft6 Kommentare

Hallo zusammen, ich würde gerne in unserem anerkannten gemeinnützigen Verein eine gemeinsame Platform aufbauen, über die wir Diskutieren und uns austauschen können, insbesondere bei ...

Linux Netzwerk
SAMBA FS Portfreigabe
gelöst Jannik2018Vor 1 TagFrageLinux Netzwerk17 Kommentare

Hallo zusammen, ich habe eine Portfreigabe für meinen SAMBA Server mit Netzwerkfreigaben auf port 445 TCP eingerichtet allerdings wenn ich per DNS oder externer ...

Netzwerkgrundlagen
Netzwerksaufbau bei nahezu auschließlichem Zugriff auf NAS bzw. Server
Ghent74Vor 1 TagFrageNetzwerkgrundlagen10 Kommentare

Hallo zusammen, in unserem kleinen Büro (6 Arbeitsplätze, Netzwerkdrucker, Netzwerkplotter, NAS) stellen immer mehr Softwarefirmen ihre Programme auf eine Art Datenbank um. Eine Art ...