Linuxové DMZ - IV (diskuse)

[Jiří Svoboda]

Jednou jsem mailem a posleze po telefonu diktoval jistemu cloveku, jak ma nastavit CISCO PIX firewall (on se tim zivi) a porad jsme se nemohli domluvit. Nakonec jsem rozhorcene zacal studovat manual a duvod nasel.
CISCO totiz preklad adres sice nazyva NAT, ale pro jeden konkretni pripad NATu to neplati. Pokud se preklada vice vnitrnich adres na jedinou internetovou, tak to podle nich neni NAT, ale PAT (Port Address Translation). Tak bacha na to!

[kmarty]

Aha, takze ne pres "ip nat ... overload", ktere mi na ciscu chodi uz nejakou tu chvili ?

[Czerteak]

Ja myslim, ze na tohle jsou nejvetsi odbornici Pat a Mat... ))

[kolisko]

To je logicky, protoze to vlastne PAT opravdu je. Sice je to trochu zavadejici, ale opravdu se jedna o PAT (v kombinaci prekladu vsech src adres na jednu, popr. nejaky pool, takze v kombinaci s ne 1:1 NATem). Vnitrne totiz mapuje jednotlive adresy na nejake porty, ktere si drzi v pameti. Kdyz prijde navratova komunikace na dany port, podle toho ji posle prislusne IP adrese. V linuxu se tomu rika masquerading a tim je to naprosto jasny. kolisko

[Jiří Svoboda]

Ja nerikam, ze to technicky neni preklad portu (PAT). Jenom je blby (zavadejici), ze jediny CISCO si na to vymyslelo tuto zkratku.

[Pavel]

Nejen Cisco, treba takový Checkpoint na svých firewallech používá své pojmy jako HIDE NAT a STATIC :) Stejně nejlepší je terminologie dnešních IPTABLES, tj. SNAT a DNAT

[fyzik]

Zdravim clanek pekny, ale v jednom jste me docela zklamali - od roku 1993 (sic!!!) byly nahrazeny tridy IP adres (A,B,C,D,E) obecnejsim CIDR, umoznijici efektivnejsi vyuziti IP prosotoru. Novejsi zapis je /, tedy napriklad 10.1.1.1/8 nebo 195.133.0.2/24. Pro dalsi studium doporucui napriklad http://public.pacbell.net/dedicated/cidr.html mejte se fajn -F

[fyzik]

ergh --> novejsi zapis je [IP]/[pocet jednicek v masce]

[PaJaSoft]

V posledni dobe to opravuji snad po desate, takze kratce... TCP/IP ma s ISO/OSI spolecneho velmi pramalo, jednak se Vam TCP/IP na ISO/OSI nepodari vubec namapovat (kam zaradite ARP, RARP, ICMP apod.?:-]) - a opacne taky ne!, jednak jsou to filosoficky odlisne proudy - asi jako closed a open source software... - oba resi sice to same, ale kazdy po svem.

[PaJaSoft]

Jeste drobnost, TCP/IP z ISO/OSI nevychazi a ani nemuze, protoze je jaxi drobet starsi nez neco jako navrh ISO/OSI vzniklo...