Aiuto su Nat su vpn

[mbuonfi]

Chi vuole aiutare un poverino che sta sbattendo la testa da 2 settimane?

In pratica su di una vpn tra un router cisco sr520 ed un firewall pfsense sono riuscito a tirarla su aiutato anche da questo articolo http://www.glabs.org/it/cisco/23-advanc ... ssues.html in quanto prima la vpn andava su ma non si riusciva a pingare dalle 2 subnet da un lato all'altro e vicevera.

Grazie all'articolo adesso pingo sia da un lato che dall'altro però dalla lan del cisco non riesco più ad uscire su internet chi mi aiuta? Sicuramente sarà una linea di config che manca.

Queste sono le parti di config che riguardano la vpn ed i nat


crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
group 2
crypto isakmp key chiave address fil.fil.fil.fil no-xauth
!
crypto ipsec security-association lifetime seconds 28800
!
crypto ipsec transform-set VPN-SET esp-aes esp-sha-hmac
!
crypto map VPN 10 ipsec-isakmp
set peer fil.fil.fil.fil
set transform-set VPN-SET
set pfs group2
match address 101
!
interface ATM0.1 point-to-point
description WAN via ADSL
ip address ip.pubblico.sede 255.255.255.0
ip nat outside
ip virtual-reassembly
pvc 8/35
encapsulation aal5snap
!
crypto map VPN
!
ip route 0.0.0.0 0.0.0.0 ATM0.1
!
ip nat source route-map NAT interface ATM0.1 overload
!
ip access-list extended NAT
deny ip lan.sede 0.0.0.255 lan.filiale 0.0.0.255
permit ip any any
!
access-list 101 permit ip lan.sede 0.0.0.255 lan.filiale 0.0.0.255
access-list 102 permit ip lan.sede 0.0.0.255 any
!
!
!
!
route-map POLICY-NAT permit 10
match ip address NAT
!


Ringrazio sin da ora chi si prende la briga di aiutarmi.

[rain3]

C'e' "ip nat inside" sulla vlan cui è attestata la lan interna del cisco poichè manca quel pezzo di configurazione .

[mbuonfi]

Si effettivamente sulla vlan75 c'è questo:

interface Vlan75
ip address ip.interno.sede 255.255.255.0
ip nat inside
ip virtual-reassembly


quindi se non ho capito male va tolto ip nat inside oppure cosa?

[rain3]

no deve rimanere , la riga di nat che hai incollato e' errata....
ip nat source route-map NAT interface ATM0.1 overload
deve essere:
ip nat inside source route-map NAT interface ATM0.1 overload

[mbuonfi]

Non è chi riusciresti a spiegare la differenza fra le 2 righe di config?

[rain3]

ip nat source

To enable Network Address Translation (NAT) on a virtual interface without inside or outside specification, use the ip nat source command in global configuration mode.

ip nat inside source

To enable Network Address Translation (NAT) of the inside source address, use the ip nat inside source command in global configuration mode. To remove the static translation, or the dynamic association to a pool, use the no form of this command.

Mai usata la prima non so se funziona lo stesso .

[mbuonfi]

ok provo e ti faccio sapere.

grazie per l'aiuto.