Cisco ASA - juiste netwerk layout

[Verwijderd]

Ik heb een cisco asa 5505 staan waar ik mee aan het spelen ben.
Nu ben ik op zoek naar de juiste layout/config om het volgende te doen:

van een ISP heb ik een /26 adres adres range.
Laten we zeggen (fictief) 83.100.42.1
Daarnaast heb ik twee webservers welke ik publiekelijk toegankelijk wil laten zijn
via 83.100.42.2 en 83.100.42.3 . Daarnaast zijn er geen lokale gebruikers op het apparaat.
Middels 83.100.42.4 zou er een VPN verbinding gemaakt moeten worden zodat een gebruiker een ip range krijgt in de range 83.100.42.8-83.100.42.12 .

Cisco geeft aan dat het maken van een DMZ de voorkeur heeft.
http://www.cisco.com/en/U...5/quick/guide/5505GSG.pdf, scenario 2 layout.

In deze oplossing wordt gebruik gemaakt van NAT, iets wat ik juist niet wil.
In de ASA wilde ik instellen:
outside interface - 83.100.42.1 subnet 255.255.255.0
dmz interface - 83.100.42.2 subnet 255.255.255.0

Dit werkt niet omdat de interfaces overlappen geeft ASDM aan.

De Cisco docs beschrijven het gewenste scenario dat ik wil niet, het publiekelijk toegankelijk maken van een server direct op een publiekelijk IP adres maar wel gebruik maken van de firewall mogelijkheden (alleen poorten openen die gewenst zijn voor het publieke IP adres van de webservers).

Welke architectuur/scenerio moet ik toepassen om dit te bereiken ?

[DoleBole]

je moet het blokje adressen, wat je hebt gekregen opsplitsen in twee logische blokken van minimaal 4 adressen. dan kun je het instellen zoals je wilt.

[Verwijderd]

Ik kan benieuwd of dit nog anders kan, het weggoooien van 3 publieke adressen vind ik wat zonde in de schaarse ipv4 tijd..

[jvanhambelgium]

Wij doen in onze datacenters niet anders als NAT. Al onze klanten hun systemen zitten op interne ranges en op de verschillende geclusterde firewall systemen over meerdere datacenters zitten dus publieke IP's voor de mappings.

Niets mis mee hoor.

Alternatief gewoon subnetje opsplitsen en je verlies nemen ;-) Geen ramp hoor!

[Verwijderd]

dan blijft mijn laatste vraag, wanneer zou ik NAT gaan gebruiken en wanneer niet.
Een van onze klanten maakt bijv. gebruik van een reverse proxy voor zijn oplossing, is het dan verstandig om daarvoor ook een NAT device te plaatsen ?

[jvanhambelgium]

Verwijderd schreef op donderdag 10 december 2009 @ 22:01:
dan blijft mijn laatste vraag, wanneer zou ik NAT gaan gebruiken en wanneer niet.
Een van onze klanten maakt bijv. gebruik van een reverse proxy voor zijn oplossing, is het dan verstandig om daarvoor ook een NAT device te plaatsen ?

waarom niet? dat doen wij ook.
Concreet : er is hier geen enkele (klanten) server/reverse proxy die een publiek IP op de interface heeft staan, ik weet toch niet van zo'n gevallen 'k zal het zo zeggen.

[Equator]

Zolang jij elk IP adres naar binnen kan natten naar een intern IP adres, dan merkt de klant daar niets van. Dat ze daar dan weer een reverse proxy draaien maakt niet uit.