Acceso ISP desde mi router 2800

[chucho11028]

Saludos

Necesito un apoyo para resolver la conectividad de mi router cisco 2800 a un servicio de internet. Estoy configurando el mismo en un instituto educativo en donde mi gateway de salida es 10.173.0.1 y el dns para el instituto es 10.149.0.20. El punto es que antes tenia un router /firewall PFSENSE en donde solo configure una ip fija para lan(10.171.20.1) y wan(10.173.160.1) sin protocolo dinamico y puedo navegar en internet con los PCs que tengo en en la subred 10.171.x.x.

En mi router configure una interfaz LAN fast 0/0 con 10.171.20.1 y uan interfaz WAN fast 0/1 con 10.173.160.1, luego configure ip name-server 10.149.0.20  una ruta estatica como :

ip route 0.0.0.0 0.0.0.0 FastEthernet0/1.

Configure los DNS como ip name-server 198.235.216.130 ip name-server 10.149.0.20 pero no podia navegar hasta que cree una lista con access-list 1 permit any permitiendo todo y luego asignandola a la interfaz de salida:

interface FastEthernet0/1

ip address 10.173.160.1 255.255.0.0

ip access-group 1 out

ip nat outside

ip virtual-reassembly

duplex auto

speed auto

El problema es que permit todo y no tengo el nivel de seguridad del router anterior.

Que puedo hacer para solo permitir mi dns y seguir navegando?

Segunda pregunta

Algo interesante es que desde los PC no podia navegar hasta que configure un NATde la interfaz 0/0 a 0/1 de la red 10.171.x.x a 10.173.x.x. Este es el comando

ip nat inside source list 15 interface FastEthernet0/1 overload

Porque?

Anexo la configuracion en archivo

Gracias por el apoyo

[Ricardo Prado Rueda · Accepted solution]

Hola Jose:

   Los routers no bloquean tráfico por default ni de entrada ni de salida. En este caso, ese filtro de salida no modifica nada en la forma en que el equipo opera, así que no creo que este access-group haya permitido que el tráfico funcionara. En mi opinión lo más probable es que haya sido la ruta de default que mencionas:

ip route 0.0.0.0 0.0.0.0 FastEthernet0/1

   La configuración correcta debería ser como al final la muestras en el archivo de configuración:

ip route 0.0.0.0 0.0.0.0 10.173.0.1

   La razón por la que necesitaste el NAT es que seguramente tu gateway no tiene una manera de enrutar tráfico hacia tu red LAN 10.171.X.X, por eso hay que hacer aparecer a esta red como una IP que sí conoce que es la 10.173.160.1 y con eso ya no es necesario tener información de ruteo extra.

Saludos.