Hi!
Ich habe folgendes Szenario:
nameif outside
security-level 0
ip address 10.0.57.6 255.255.255.252
nameif DMZ
security-level 30
ip address 172.16.1.1 255.255.255.0
nameif inside
security-level 100
ip address 192.168.100.28 255.255.255.0
global (outside) 1 interface
nat (DMZ) 0 172.16.1.0 255.255.255.0
nat (inside) 0 192.168.100.0 255.255.255.0
route outside 0.0.0.0 0.0.0.0 10.0.57.5 1
Am inside-Interface hängt ein weiteres System welches nicht in meiner Hoheit liegt (192.168.100.1 inside, extern was öffentliches...), an diesem System sind über IPSec. einige weitere Netze angebunden (alle 192.168.xxx.0/24 Bereich)
Die Rechner haben als GW dieses System (192.168.100.1).
Jetzt stelle ich da was um, das führt dazu, dass die 192.168.xxx.0/24 nicht mehr über die 192.168.100.1 reinkommen sondern über mein outside der ASA.
Da ich die Netze aber auf dem System mit der 100.1 nicht entfernen kann muss ich das ganze natten (sonst würde meine Anfrage von innen zwar reinkommen, dann aber an das falsche System wieder rausgehen und somit ins leere laufen.
Dazu lasse ich auf dem Fremdsystem ein ip route 10.0.168.0/16 192.168.100.28 setzen.
Nun möchte ich halt die reinkommenden Anfragen bei mir intern auf dieses übersetzen. In Reihe würde das so ausehen:
Anfrage von 192.168.133.3 auf 192.168.100.4 kommt rein -> outside ASA -> nat von 192.168.133.3 auf 10.168.133.3 -> intern ASA -> 192.168.100.4 -> 192.168.100.1 (weil DFGW) -> route 10.0.168.0/16 192.168.100.28 schickts wieder aif das inside meiner ASA -> und Zurückübersetzung von 10.168.133.3 auf 192.168.133.3
Soweit alles klar?
Be mir jedenfalls nicht...
Ich weiss nicht genau wie ich das hinbekomme, die 192.168.xxx.0/24 Pakete auf die 10.168.xxx.0/24 zu übersetzen.
Eigentlich ganz einfach. aber mir fällts nicht ein :-(