Fijar el puerto de salida en nat

[proteciuris]

Buenas.

Como puedo fijar el puerto de salida en nat, osea.

Pro Inside global                 Inside local                    Outside local                  Outside global

tcp 81.35.112.205:56792   192.168.254.103:56792  26.59.214.168:443    26.59.214.168:443

como podemos ver en la salida de "sh ip nat translation", lo que quiero es que cuando uno comunique con la IP 26.59.214.168 el puerto 56792 que ahora es aleatorio sea fijo.

Saludos.

[Ricardo Prado Rueda]

Hola:

La forma en la que TCP trabaja es que se comunica siempre a un servicio en un puerto fijo, conocido y pre-establecido (443, 80, 21, 22, 23, etc.) y el puerto origen solo tiene la condición de ser un puerto aleatorio mayor a 1024. El router y el feature de NAT se adaptan a esta condición ya que es el host el que realiza este proceso y genera el puerto de manera aleatoria.

Para poder lograr lo que buscas, la aplicación que el host está usando debe ser programada para siempre iniciar la conexión desde el mismo puerto, pero el router o el feature de NAT no podrían hacer esto.

[proteciuris]

Gracias Ricardo.

El tema del nat lo tengo y tenia claro, solo que al plantearme un proveedor SIP me hizo dudar. El caso es que yo tengo un CME que conecta a un trunk SIP y resulta que el proveedor SIP a cambiado su politica de seguridad y en ves de esperar mi conexion en un puerto tipo 5060 me dice que ahora no solo verifica el puerto de llegada sino tambien el puerto de origen, me dice que tengo que fijar con un NAT que yo siempre inicie la comunicacion con un puerto fijo. En nat como me dices no es posible, en CME sabes si es posible fijar el puerto con que inicia la comunicacion?, gracias de antemano por contestar mi duda.

Saludos. 

[Leonardo Pena Davila]

Hola Ricardo si puedes hacerlo utilizando static PAT con la dirección IP de tu CME y el puerto que te solicita tu proveedor SIP.

Adjunto enlace donde podras tener una idea de como realizar esta configuración.

Espero te ayude

http://www.cisco.com/c/en/us/support/docs/long-reach-ethernet-lre-digital-subscriber-line-xdsl/asymmetric-digital-subscriber-line-adsl/12905-827spat.html

[Ricardo Prado Rueda]

Hola Leonardo:

Me parece que no entendiste el problema correctamente. Es cierto que puedes usar Port Forwarding para hacer una traducción estática a un puerto de TCP o UDP. Pero para poder usar esta configuración necesitas tener un detalle que es muy importante: Necesitas saber cuál es el puerto que se va a traducir.

Como se menciona en los mensajes anteriores, la conexión se inicia en un puerto aleatorio arriba de 1024 para iniciar una sesión TCP hacia un puerto conocido (443). Es decir, que el puerto fijo es el destino más no el origen. Una vez que se logre que el equipo que inica la sesión siempre utilice el mismo puerto de origen, entonces sí podemos usar ya una regla de Port Forwarding estático.

Aquí cabría hacer otra notación. Si estamos logrando que el equipo que inicia la conexión utilice un puerto origen fijo.... entonces no necesitamos un NAT estático. Podríamos usar un NAT dinámico sin ningún problema, porque el puerto origen siempre sería fijo y mientras éste esté disponible, el NAT dinámico asignará el mismo puerto en la traducción. El problema aquí no es el NAT, es la forma en la que TCP funciona o más bien el proveedor de servicios no explicó bien su requerimiento.

Saludos.