ASA und NAT-Probleme

[hegl 10]

Bin gerade am verzweifeln. Habe heute morgen unsere PIX gegen eine ASA getauscht.

Leider konnte ich die config nicht übernehmen, so dass ich alle ACL´s etc neu konfiguriert habe. Nun habe ich ein Problem dass keine Verbindung von inside in die DMZ machen kann. In die DMZ kann ich kein NAT machen, heisst also, dass die inside-IP´s in der DMZ gelten sollen. Nach draußen funktioniert alles.

Folgendes habe ich konfiguriert (vereinfacht):

 

access-list 100 permit ip NetzA any
access-list 200 permit tcp User_Intern Webserver_Internet eq www
access-list 200 permit tcp User_Intern DMZ_IPAdressen

global (outside) 10 interface
nat (inside) 10 access-list 100

static (inside,DMZ) inside-Netz inside-Netz netmask 255.255.255.0

access-group 200 in interface inside

 

Was mache ich falsch?

 

Was ich also möchte ist von inside nach outside mit NAT, von inside in die DMZ ohne NAT.

[Dr.Melzer 191]

Was mache ich falsch?

 

Zuerst einmal machst du da smit dem threadtitel falsch!

 

Du bist lange genug hier dabei um zu wissne dass so ein Titel garnicht geht.

 

Bitte sofort entsprechend ändern oder ich schliesse den thread und du kannst eien neuen (mit sinnvollem Titel) aufmachen.

[hegl 10]

 

Bitte sofort entsprechend ändern oder ich schliesse den thread und du kannst eien neuen (mit sinnvollem Titel) aufmachen.

 

Sry, das war wohl der Stress...:mad:

[Dr.Melzer 191]

Na kann ich verstehen. Jetzt passts ja. Ich hoff mal dass dir jemand helfen kann.

[czappb 10]

Zuerst was ist denn das für eine ASA und welche Lizenz/Software? (Nicht zufällig eine 5505-ohne Sec-Plus?)

[hegl 10]

ASA 5520, aber was hat denn die Lizenz damit zu tun, ob ich zwischen NAT und NO-NAT trennen kann?

[Wordo 11]

Haettest du seine Frage mit "Ja" beantwortet koenntest du im DMZ nicht routen, deswegen die Frage.

[hegl 10]

Haettest du seine Frage mit "Ja" beantwortet koenntest du im DMZ nicht routen, deswegen die Frage.

 

man lernt doch immer wieder dazu :)

[thematrix 10]

Hallo,

 

ich sehe keine No-NAT Eintraege. Sollte so etwa sein:

 

nat(inside) 0 access-list traffic-zu-dmz

 

Du willst das der Verkehr von innen in die DMZ nicht genatet wird, oder ?

 

Gruss,

 

thematrix

[hegl 10]

Du hast natürlich recht...oh man, ich gehe in Rente...

 

DANKE!

[pete.db 10]

Ähm...kurze Frage vom Anfänger...

 

Gibt es einen bestimmten Grund, warum man nicht von intern in die dmz naten sollte?

 

 

pete

[hegl 10]

Ähm...kurze Frage vom Anfänger...

 

Gibt es einen bestimmten Grund, warum man nicht von intern in die dmz naten sollte?

 

pete

 

Wie kommst Du denn darauf?

[pete.db 10]

Na wegen einer der vorigen Antworten:

 

Hallo,

 

ich sehe keine No-NAT Eintraege. Sollte so etwa sein:

 

nat(inside) 0 access-list traffic-zu-dmz

 

Du willst das der Verkehr von innen in die DMZ nicht genatet wird, oder ?

 

Gruss,

 

thematrix

 

...habe mich darauf hin nur gefragt, ob sich das naten von intern in eine dmz, aus welchem grund auch immer, "nicht gehört".

 

pete

[hegl 10]

Das ich nicht NAT-ten kann hat historische (firmenspezifische) Gründe...