nat over nat

[verbal_666]

Ciao a tutti.
Negli ultimi gg mi sono messo ad improvvisare, per sport ;)
un collegamento stile

clientB > NAT > clientA > NAT > router > internet

clientB: WinXP-SP2
clientA: WinXP-SP2 + Wingate 6 ENS
router: cisco non ben definito

e sebbene il routing dei pacchetti viaggi in modo corretto, tutte le chiamate del clientB si bloccano sul router (che per policy ha abilitato solo clientA ad uscire)

un tracert verso un server infatti restituisce il passaggio per clientA, poi verso il gateway che è il router, poi STOP!

ora, in termini di logica, clientB non dovrebbe poter uscire grazie all'ip di clientA mascherato? sembrerebbe invece che riconosca l'ip del clientB e di conseguenza segua la policy e lo blocchi.

consigli sul perchè la logica nat non venga rispettata?
grazie

[as10640]

Probabile scansione pacchetti??

[verbal_666]

quel che ho pensato anche io, che il router cisco (sappiamo bene quali filtri sui pacchetti tcp supportano, rilevano persino se stai fumando davanti al pc :D ) capisca che il pacchetto arriva non da clientA, ma da clientX...
quel che mi chiedo, come fa visto che clientA dovrebbe in tutto reimpostare il pacchetto tcp con i suoi dati di origine? forse aggiunge qualche flag che può ricondurre ad un pacchetto non "originale" di clientA?

[as10640]

quel che ho pensato anche io, che il router cisco (sappiamo bene quali filtri sui pacchetti tcp supportano, rilevano persino se stai fumando davanti al pc :D ) capisca che il pacchetto arriva non da clientA, ma da clientX...
quel che mi chiedo, come fa visto che clientA dovrebbe in tutto reimpostare il pacchetto tcp con i suoi dati di origine? forse aggiunge qualche flag che può ricondurre ad un pacchetto non "originale" di clientA?

In realtà no... i pacchetti tcp vengono incapsulati a "cipolla"... Di conseguenza, togliento gli strati esterni, si risale all'IP originario....

Dicono che fastweb stia adottando una tecnica simile per prevenire l'aggiunta di un router in casa...

Questo:
http://www.cnaf.infn.it/~ferrari/seminari/fe-sys-dist/ip.ppt lo spiega molto bene... :D

[verbal_666]

grazie mille per la segnalazione.
molto interessante.

[verbal_666]

accccccccc :muro:

trovato l'errore..... :doh:

il problema era il software, wingate... se non si setta nelle sue config l'interfaccia utlizzata per uscire con EXTERNAL, la nat sarà bloccata in quanto non trova interfacce su cui uscire! diciamo che è un cavillo, ma a logica risulta corretto!

ora cmq funziona... ;)

ps. mi risulta ancora poco chiaro del come mai cmq sul router il flusso tcp arrivasse e lì non passasse :eek: quando seguendo la teoria di WINGATE sarebbe stato proprio su clientA a doversi bloccare! boh