Muchas gracias a la comunidad por atender algunas de mis preguntas y por ayudarme a obtener más información sobre los routers de Cisco. Recientemente, un usuario me ayudó a ejecutar NAT en el router con una única dirección IP en
GigbitEthernet0/0/0
a una red corporativa. Para acceder a NAT, utilizamos una ACL para permitir que rangos de IP específicos utilicen NAT. Funciona como se esperaba. ¡Genial!
Lo que no esperaba encontrar era que los rangos de IP que no utilizan NAT están enviando su dirección IP privada a través del puerto que está conectado a una red corporativa. Realmente quiero bloquear este tráfico.
La ACL para permitir que las subredes utilicen NAT es NAT_Access
También creé una ACL denominada
Deny_Firewall_Access
para bloquear el acceso fuera de la
GigabitEthernet0/0/0
puerto.
Para realizar pruebas, tengo
192.168.12.0/24
configurado para NAT y
192.168.8.0/24
configurado para no utilizar NAT.
Las secciones pertinentes de nuestra configuración en ejecución son las que se muestran aquí.
!
interface GigabitEthernet0/0/0
ip address 123.123.123.27 255.255.255.0
ip nat outside
negotiation auto
spanning-tree portfast disable
!
!
interface Vlan108
ip address 192.168.8.1 255.255.255.0
ip helper-address 192.168.0.3
!
interface Vlan112
ip address 192.168.12.1 255.255.255.0
ip helper-address 192.168.0.3
ip nat inside
!
!
ip default-gateway 123.123.123.1
ip http server
ip http authentication local
ip http secure-server
ip http client source-interface GigabitEthernet0/0/1
ip forward-protocol nd
!
ip nat pool NAT_Pool 123.123.123.27 123.123.123.27 prefix-length 24
ip nat inside source route-map track-primary-if interface GigabitEthernet0/0/0 overload
ip nat inside source list NAT_Access pool NAT_Pool overload
!
ip access-list extended Deny_Firewall_Access
10 deny ip 192.168.8.0 0.0.0.255 any
20 permit ip 192.168.12.0 0.0.0.255 any
ip access-list extended NAT_Access
10 permit ip 192.168.12.0 0.0.0.255 any
20 deny ip 192.168.8.0 0.0.0.255 any <--- Not really needed as I have seen
!
route-map track-primary-if permit 1
match ip address 197
set interface GigabitEthernet0/0/0
!
Intenté usar la herramienta
Deny_Firewall_Access ACL
para bloquear el acceso fuera del
GigabitEthernet0/0/0
puerto con esta configuración pero interfirió con NAT.
!
interface GigabitEthernet0/0/0
ip address 161.218.133.27 255.255.255.0
ip nat outside
ip access-group Deny_Firewall_Access out
negotiation auto
spanning-tree portfast disable
Asumo que me estoy perdiendo algún concepto o correr por el agujero del conejo equivocado.
Se agradece la orientación.
