Существуют две независимые сети:
192.168.136.0/24 - внутренняя на несколько филиалов, без выхода в интернет
192.168.0.0/24 - локальная с выходом в интернет
Появилась необходимость читать почту с сервера 192.168.136.10 на компьютере 192.168.0.31
Наши безопасники разрешают открыть порты pop3 только через PIX. Прошу помощи в составлении концепции, т.к. дела с этим зверем я еще не имел.
Как выглядит сейчас: http://s41.radikal.ru/i091/0904/bb/b489e2bfbad5.jpg

Все что сумел накопать в интернете, это конфигурации, где пикс выступает гейтом между сетями, у меня он не может быть гейтом, ведь уже существует законченная структура... Если правильно понимаю, то нужно организовать в сегменте 192.168.0.0/24 "виртуальный" ip-адрес, чтобы при обращении к нему через пикс, трафик шел на 192.168.136.10. Верно ли мыслю? И каким образом можно организовать?
Заранее благодарю

• PIX в двух независимых сетях,stitch636, 15:39 , 14-Апр-09
  • PIX в двух независимых сетях,hronos, 11:07 , 15-Апр-09
    • PIX в двух независимых сетях,hronos, 11:39 , 15-Апр-09

static nat сервера 192.168.136.10
в LAN, например в 192.168.0.10
nat или порта TCP/110 (POP3),
или в access-list'е оставить на этот
сервер только TCP/110 (POP3)

Сейчас на PIXe крутится такой конфиг:

PIX Version 6.3(5)
interface ethernet0 auto
interface ethernet1 auto
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password XXXXXXXXXXXXXXXX encrypted
passwd XXXXXXXXXXXXXXXX encrypted
hostname test
clock timezone msd 3
clock summer-time msd recurring last Sun Mar 2:00 last Sun Oct 2:00
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
access-list 100 permit icmp any any echo-reply
access-list 100 permit icmp any any time-exceeded
access-list 100 permit icmp any any unreachable
access-list 100 permit icmp any host 192.168.0.10
access-list 100 permit tcp any host 192.168.0.10 eq pop3
access-list 100 deny ip any any
pager lines 24
mtu outside 1500
mtu inside 1500
ip address outside 192.168.0.18 255.255.255.0
ip address inside 192.168.136.20 255.255.255.0
ip verify reverse-path interface outside
ip audit info action alarm
ip audit attack action alarm
pdm history enable
arp timeout 14400
static (inside,outside) 192.168.0.10 192.168.136.10 netmask 255.255.255.255 0 0
access-group 100 in interface outside
timeout xlate 3:00:00
timeout conn 12:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout sip-disconnect 0:02:00 sip-invite 0:03:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community tartan
no snmp-server enable traps
floodguard enable
telnet timeout 5
ssh timeout 5
console timeout 0
terminal width 80
: end

из сети 192.168.0.10/24 адрес 192.168.0.10 даже не пингуется.
sh xlate показывает:

1 in use, 1 most used
Global 192.168.0.10 Local 192.168.136.10

Если пинговать с машины 192.168.0.9,
debug packet inside dst 192.168.136.10 дает:

--------- PACKET ---------

-- IP --
192.168.0.9    ==>     192.168.0.10

        ver = 0x4       hlen = 0x5      tos = 0x0       tlen = 0x3c
        id = 0x80ec     flags = 0x0     frag off=0x0
        ttl = 0x80      proto=0x1       chksum = 0x3866

        -- ICMP --
                type = 0x8      code = 0x0      checksum=0xdb5b
                identifier = 0x400      seq = 0x6e00
        -- DATA --
                00000010:                                     61 62 63 64  |              abcd
                00000020: 65 66 67 68 69 6a 6b 6c 6d 6e 6f 70 71 72 73 74  |  efghijklmnopqrst
                00000030: 75 76 77 61 62 63 64 65 66 67 68 69 49           |  uvwabcdefghiI

--------- END OF PACKET ---------

--------- PACKET ---------

-- IP --
192.168.0.9    ==>     192.168.136.10

        ver = 0x4       hlen = 0x5      tos = 0x0       tlen = 0x3c
        id = 0x80ec     flags = 0x0     frag off=0x0
        ttl = 0x80      proto=0x1       chksum = 0xb01e

        -- ICMP --
                type = 0x8      code = 0x0      checksum=0xdb5b
                identifier = 0x400      seq = 0x6e00
        -- DATA --
                00000010:                                     61 62 63 64  |              abcd
                00000020: 65 66 67 68 69 6a 6b 6c 6d 6e 6f 70 71 72 73 74  |  efghijklmnopqrst
                00000030: 75 76 77 61 62 63 64 65 66 67 68 69 49           |  uvwabcdefghiI

--------- END OF PACKET ---------

т.е. пакеты на 192.168.136.10 отправляются

Где я туплю?

вопрос решен. всем спасибо за внимание)