NAT e Port Forwarding
Guida completa alla traduzione degli indirizzi di rete e all’inoltro delle porte
Con esercizi pratici per Cisco Packet Tracer
Cos’è il NAT?
Il Network Address Translation (NAT) è una tecnologia di rete fondamentale che permette di mappare più indirizzi IP privati, appartenenti a una rete locale, su un unico indirizzo IP pubblico (o su un pool di IP pubblici).
🎯 Perché è importante?
→ Conservazione degli IP pubblici: Gli indirizzi IPv4 sono limitati (circa 4,3 miliardi) e sono quasi esauriti
→ Sicurezza: Gli IP privati non sono visibili su Internet, quindi nessuno dall’esterno può raggiungerli direttamente
→ Connettività: Permette a decine, centinaia o migliaia di dispositivi di navigare su Internet con un solo IP pubblico
💡 Fun fact: Il NAT è implementato nei router e firewall per gestire il traffico in ingresso e in uscita, creando una “barriera” tra la rete interna e il mondo esterno.
💡 Spiegazione Semplice — L’Ufficio con un Solo Telefono
Immagina un grande ufficio con 50 dipendenti, ma c’è un solo numero di telefono verso l’esterno. Quando Mario (interno 101) vuole chiamare fuori, il centralino prende la chiamata, sostituisce il numero interno con il numero pubblico dell’ufficio e la inoltra. Quando la risposta arriva, il centralino sa che era la chiamata di Mario e la gira all’interno 101.
Il NAT funziona esattamente così:
→ I 50 dipendenti = i dispositivi della rete locale (con IP privati come 192.168.1.10, .11, .12…)
→ Il numero di telefono pubblico = l’indirizzo IP pubblico assegnato dall’ISP
→ Il centralino = il router con NAT
→ Gli interni = i numeri di porta (che servono a distinguere le connessioni)
📡 Come Funziona il NAT — Schema Visivo
💻 PC1: 192.168.1.10
💻 PC2: 192.168.1.11
💻 PC3: 192.168.1.12
⬇️ IP privati (inside)
🔄 Router con NAT
Traduce: 192.168.1.10:porta → 80.15.22.100:porta1
Traduce: 192.168.1.11:porta → 80.15.22.100:porta2
Traduce: 192.168.1.12:porta → 80.15.22.100:porta3
⬇️ Un solo IP pubblico (outside)
🌍 Internet — IP Pubblico: 80.15.22.100
📌 Concetti Chiave: Inside e Outside
Nella configurazione del NAT su un router Cisco, ogni interfaccia viene classificata come:
→ Inside (Interna): L’interfaccia collegata alla rete locale (LAN) con gli IP privati. È il “lato ufficio”. In Packet Tracer, è tipicamente la porta collegata allo switch (es: Gig0/1).
→ Outside (Esterna): L’interfaccia collegata verso Internet (o verso la rete che simula Internet). È il “lato mondo esterno”. In Packet Tracer, è la porta verso il router dell’ISP o la rete esterna (es: Gig0/0).
Il router NAT è il “ponte” tra questi due mondi: riceve pacchetti con IP privati dal lato inside, li traduce con l’IP pubblico, e li manda fuori dal lato outside. Quando arrivano le risposte, fa l’operazione inversa.
Le 3 Tipologie di NAT
Esistono tre modi diversi di configurare il NAT, ciascuno adatto a situazioni diverse. Vediamoli dal più semplice al più usato:
| ① Static NAT | ② Dynamic NAT | ③ NAT Overload (PAT) ⭐ |
|---|---|---|
|
Un singolo indirizzo IP privato viene mappato a un singolo indirizzo IP pubblico. La mappatura è fissa e permanente: quell’IP privato avrà sempre lo stesso IP pubblico. |
Un gruppo di IP privati viene mappato su un pool di IP pubblici. La mappatura avviene “al volo” quando un dispositivo vuole uscire su Internet. Se tutti gli IP del pool sono occupati, il dispositivo successivo deve aspettare. |
È il tipo più usato! Tutti i dispositivi della rete condividono un solo IP pubblico. Il router li distingue usando numeri di porta diversi. Per questo si chiama anche PAT (Port Address Translation). |
|
Esempio: Il server web interno 192.168.1.100 viene sempre tradotto nell’IP pubblico 80.15.22.101. Così chiunque da Internet digita 80.15.22.101 raggiunge il server. |
Esempio: L’azienda ha 3 IP pubblici. I primi 3 dipendenti che navigano ottengono ciascuno un IP diverso. Il quarto deve aspettare che uno si liberi. |
Esempio: PC1 naviga su Google → traduce 192.168.1.10:porta 5001 in 80.15.22.100:porta 5001. PC2 naviga su YouTube → traduce 192.168.1.11:porta 5002 in 80.15.22.100:porta 5002. Stesso IP, porte diverse! |
|
📌 Caso d’uso: Server web, server mail, o qualsiasi dispositivo che deve essere raggiungibile dall’esterno con un IP fisso. |
📌 Caso d’uso: Reti aziendali con più IP pubblici disponibili, ma meno IP pubblici che dispositivi. |
📌 Caso d’uso: Reti domestiche e piccole/medie aziende. È quello che usa il router di casa tua in questo momento! |
📊 Confronto Rapido
| Tipo | IP Privati | IP Pubblici | Usa le Porte? |
|---|---|---|---|
| Static NAT | 1 | 1 | No |
| Dynamic NAT | Molti | Un pool (pochi) | No |
| PAT / Overload ⭐ | Molti | 1 solo | Sì |
Ma lo Static NAT non è la stessa cosa del Port Forwarding?
Concettualmente si assomigliano, ma sono due cose diverse per precisione e sicurezza:
Static NAT mappa un intero IP privato su un IP pubblico in modo fisso. Tutto il traffico destinato a quell’IP pubblico arriva a quel dispositivo, su qualsiasi porta — il dispositivo è completamente esposto.
Port Forwarding mappa solo una porta specifica dell’IP pubblico verso un dispositivo interno. Il resto del traffico sull’IP pubblico resta bloccato — molto più sicuro.
! Static NAT puro — tutto il traffico verso 80.15.22.101 va a 192.168.1.100 Router(config)# ip nat inside source static 192.168.1.100 80.15.22.101 ! Port Forwarding — solo la porta 80 va a 192.168.1.100, le altre restano chiuse Router(config)# ip nat inside source static tcp 192.168.1.100 80 80.15.22.101 80
➡️ Il Port Forwarding è quindi un caso particolare di Static NAT, più restrittivo: espone solo la porta necessaria anziché l’intero dispositivo. Per questo in Cisco si configura con lo stesso comando, ma aggiungendo il protocollo (tcp) e i numeri di porta.
Ma il Dynamic NAT a cosa serve? Oggi lo usa ancora qualcuno?
Ottima domanda — oggi il Dynamic NAT è praticamente obsoleto. Ecco perché nacque e perché il PAT lo ha reso inutile:
Perché nacque: negli anni ’90, quando gli IP pubblici erano ancora abbondanti, le aziende compravano un piccolo blocco di IP pubblici (es. 10 IP) per i loro 50 dipendenti. Il Dynamic NAT assegnava un IP pubblico diverso a chi ne aveva bisogno in quel momento — come un parcheggio con 10 posti per 50 dipendenti.
Il problema: se tutti gli IP pubblici del pool sono occupati, l’undicesimo dispositivo non riesce a uscire su Internet e deve aspettare che si liberi un posto. Inaffidabile.
Perché il PAT lo ha sostituito: il PAT risolve tutto con un solo IP pubblico, usando le porte per distinguere le connessioni. Nessuno aspetta, nessuno rimane fuori, costa meno e funziona meglio.
Oggi gli ISP assegnano quasi sempre un solo IP pubblico per connessione — quindi il Dynamic NAT non avrebbe nemmeno il pool di IP su cui lavorare. Si studia per capire l’evoluzione storica del NAT, ma nella pratica reale non lo vedrai quasi mai configurato.
Cos’è il Port Forwarding?
Il Port Forwarding (o Inoltro delle Porte) è una tecnica che permette di instradare le richieste provenienti da Internet verso dispositivi specifici all’interno di una rete privata.
🎯 Scenari di utilizzo
→ Server web interno accessibile pubblicamente (porta 80/443)
→ Giochi online che richiedono porte aperte
→ Telecamere IP monitorabili da remoto
→ Desktop remoto per accedere a un PC da fuori (porta 3389)
💡 Spiegazione Semplice — Il Portiere dell’Hotel
Immagina un grande hotel con un solo indirizzo (l’IP pubblico). Un corriere arriva e dice: “Ho un pacco per la stanza 80”. Il portiere (il router) sa che la stanza 80 corrisponde al server web, e gira il pacco alla stanza giusta.
Un altro corriere arriva: “Ho un pacco per la stanza 443”. Il portiere lo manda al server web sicuro (HTTPS). Un terzo: “Stanza 21?” → va al server FTP.
Il numero della stanza è il numero di porta. Il Port Forwarding è la “tabella del portiere” che associa ogni porta a un dispositivo specifico nella rete interna.
⚙️ Come Funziona — Passo per Passo
Un utente da Internet invia una richiesta all’IP pubblico del router sulla porta 80
Il router consulta la tabella di port forwarding: “Porta 80 → 192.168.1.100”
La richiesta viene inoltrata al server web interno 192.168.1.100
Il server risponde, il router traduce l’IP di ritorno e invia la risposta all’utente esterno
🔒 Sicurezza: Solo le porte esplicitamente configurate nel port forwarding sono accessibili dall’esterno. Tutte le altre restano bloccate, garantendo la protezione della rete.
📋 Porte più Comuni da Conoscere
Porta 80 — HTTP
Siti web non sicuri
Porta 443 — HTTPS
Siti web sicuri (crittografati)
Porta 53 — DNS
Risoluzione nomi di dominio
Porta 21 — FTP
Trasferimento file
Configurazione NAT Overload (PAT) in CLI
Ecco come configurare il NAT Overload (PAT) su un router Cisco. È il tipo di NAT più usato e quello che configurerai negli esercizi:
Router> enable Router# configure terminal ! Passo 1: Crea un'access-list che identifica la rete interna Router(config)# ip access-list standard test-nat Router(config-std-nacl)# permit 192.168.1.0 0.0.0.255 ! Passo 2: Abilita il NAT overload usando l'interfaccia esterna Router(config)# ip nat inside source list test-nat interface Serial 2/0 overload ! Passo 3: Marca l'interfaccia ESTERNA (verso Internet) come "outside" Router(config)# interface Serial 2/0 Router(config-if)# ip nat outside Router(config-if)# exit ! Passo 4: Marca l'interfaccia INTERNA (verso la LAN) come "inside" Router(config)# interface FastEthernet 0/0 Router(config-if)# ip nat inside Router(config-if)# exit
access-list 1 permit 192.168.1.0 0.0.0.255
Crea una lista che identifica tutti i dispositivi della rete 192.168.1.0/24. Il 0.0.0.255 è la wildcard mask (l’inverso della subnet mask). Dice al router: “applica il NAT a tutti gli IP di questa rete”.
ip nat inside source list 1 interface Gig0/0 overload
Il cuore del NAT! Dice: “Prendi gli IP identificati dalla lista 1 (inside), traducili usando l’IP dell’interfaccia Gig0/0 (outside), e usa la keyword overload per condividere l’IP tramite porte diverse (PAT)”.
ip nat outside / ip nat inside
Questi comandi vanno dati sulle interfacce per dire al router quale lato è “interno” (LAN) e quale è “esterno” (Internet). Se li dimentichi, il NAT non funziona!
⌨️ Static NAT + Port Forwarding (per un Server Web)
Se vuoi che un server web interno sia raggiungibile da Internet sulla porta 80:
! Port Forwarding: porta 80 esterna → server interno 192.168.1.100 porta 80 Router(config)# ip nat inside source static tcp 192.168.1.100 80 80.15.22.100 80
Questo comando dice: “Quando qualcuno dall’esterno chiede la porta 80 dell’IP pubblico del router, inoltra la richiesta al server interno 192.168.1.100 sulla porta 80”.
🔍 Comandi di Verifica
! Mostra le traduzioni NAT attive Router# show ip nat translations ! Mostra le statistiche del NAT (pacchetti tradotti, errori) Router# show ip nat statistics ! Cancella tutte le traduzioni NAT (utile per il debug) Router# clear ip nat translation *
💡 Trucco: Se il NAT sembra non funzionare, usa show ip nat translations per vedere se le traduzioni vengono create. Se la tabella è vuota, significa che i pacchetti non passano per il NAT. Verifica che inside/outside siano configurati sulle interfacce giuste.
Esercizi con Cisco Packet Tracer
Metti in pratica le tue conoscenze! Questi esercizi usano le competenze già acquisite: subnetting, routing statico, DHCP e DNS locale. Il NAT sarà il pezzo nuovo che completa il puzzle.
In Packet Tracer non esiste il “vero” Internet, quindi lo simuleremo con una rete esterna collegata al router.
Esercizio 1 — NAT Overload Base
Obiettivo: Configurare il NAT Overload (PAT) su un router per permettere ai PC della rete LAN di raggiungere un server “esterno” che simula Internet.
Topologia:
Rete Interna — LAN (192.168.1.0/24):
→ Router (Gig0/1: 192.168.1.1) — lato inside
→ Switch + 3 PC (IP statici: .10, .11, .12 — gateway: 192.168.1.1)
Rete Esterna — “Internet” (100.0.0.0/30):
→ Router (Gig0/0: 100.0.0.1) — lato outside
→ 1x Server Web esterno (100.0.0.2) — simula un sito Internet
Cosa devi fare:
1. Costruisci la topologia e configura tutti gli IP. Il server esterno ha IP statico 100.0.0.2, gateway 100.0.0.1.
2. Configura il NAT Overload sul router: access-list per la rete 192.168.1.0, overload sull’interfaccia Gig0/0, e marca le interfacce inside/outside.
3. Configura una pagina web di test sul server esterno (Services → HTTP).
4. Prova ad aprire il sito dal browser di un PC interno digitando l’IP del server (100.0.0.2).
Verifica:
✅ I PC della LAN riescono a fare ping al server esterno (100.0.0.2)
✅ Dal browser dei PC, si vede la pagina web del server esterno
✅ show ip nat translations mostra le traduzioni (IP privati → IP del router)
❌ Il server esterno NON riesce a pingare direttamente i PC interni (il NAT blocca il traffico non richiesto)
Esercizio 2 — Rete ISP con NAT, Wi-Fi, RADIUS e Routing Pubblico
📋 Nota: Gli indirizzi IP da usare ti vengono forniti dall’insegnante nella tabella personale. Ogni studente ha indirizzi diversi sia per le reti pubbliche che per la rete privata (con subnet mask diversa). La rete IIS e la sua rete pubblica di collegamento sono uguali per tutti (175.168.0.0/16). Il file Packet Tracer di partenza ha già la rete IIS configurata con NAT e port forwarding.
Obiettivo:
📦 File di partenza
Scarica il file Esercitazione_NAT.pkt e aprilo con Cisco Packet Tracer prima di iniziare.
Configurare una rete completa che simula uno scenario reale con un utente a casa collegato tramite due ISP (Iliad e Wind) a due destinazioni: una rete aziendale e la rete scolastica IIS Primo Levi. Configurare NAT, Wi-Fi, autenticazione RADIUS e routing statico pubblico.
Topologia generale (dal file di partenza):
[PC/Notebook Alunno] ─── [Home Router] ──Rete Pubblica 1──> [Router ISP Iliad]
↓ Rete Pubblica 2
[Router ISP Wind]
├─Rete Pubblica 3──> [Router Azienda] ──> [Rete Privata Azienda]
└─Rete Pubblica 4──> [Router IIS Primo Levi] ──> [Rete Privata IIS] ← già configurata
Configura la rete privata sia per la rete dell’Alunno che per la rete Azienda. In entrambe devi predisporre:
Rete cablata:
→ Assegna l’indirizzo IP all’interfaccia LAN del router (usa il primo host della rete privata)
→ I PC della rete riceveranno l’IP automaticamente tramite DHCP (vedi sotto)
→ Verifica che gateway e indirizzo IP vengano assegnati correttamente
🔧 Configurazione DHCP:
Rete Alunno — Home Router → interfaccia grafica
→ Accedi al pannello di configurazione del Home Router (tab Config → DHCP)
→ Abilita il server DHCP e imposta: indirizzo di partenza, subnet mask e gateway
→ Il NAT è già gestito automaticamente dal Home Router
Rete Azienda — Router Cisco → CLI
Router(config)# ip dhcp pool RETE_PRIV Router(dhcp-config)# network [indirizzo_rete] [subnet_mask] Router(dhcp-config)# default-router [gateway] Router(dhcp-config)# exit ! Escludi il gateway (.1) + il 20% degli host disponibili Router(config)# ip dhcp excluded-address [primo_ip] [ultimo_ip_escluso]
💡 Escludi sempre il gateway , il server se presente e gli ultimi 20% degli host disponibili della tua subnet (arrotondato per eccesso) — calcolali tu in base alla tua rete e riservali per eventuali dispositivi con IP statico. La rete Azienda non ha server interni: il server web è presente solo nella rete IIS, già configurata nel file di partenza.
Rete Wi-Fi:
→ Aggiungi un Access Point alla rete e collegalo allo switch
→ Configura SSID e sicurezza (vedi Parte 1b per la rete Alunno)
→ Aggiungi un notebook/laptop come client Wi-Fi e verificane la connettività
→ Per la rete IIS: configura solo la parte Wi-Fi (la rete cablata e il NAT sono già presenti nel file)
⚠️ Nota importante:
Gli indirizzi delle reti private sono diversi per ogni alunno (forniti nella tabella personale). Questo è voluto: dimostra che reti private diverse possono coesistere in Internet grazie al NAT, perché all’esterno i pacchetti viaggiano sempre con IP pubblico.
La rete Wi-Fi dell’alunno deve usare autenticazione enterprise tramite server RADIUS (WPA2-Enterprise), non la semplice password condivisa.
Aggiungere nella rete privata Alunno:
→ Un server RADIUS (usa un server generico in Packet Tracer)
→ Configurare il servizio AAA sul server: attivare il servizio e aggiungere un utente (es: alunno01 / password a scelta)
→ Impostare il segreto condiviso tra Access Point e server RADIUS
→ Configurare l’Access Point: Security → WPA2-Enterprise, inserire IP del server RADIUS e segreto condiviso
Sul client Wi-Fi:
→ Scegliere la rete con autenticazione enterprise
→ Inserire le credenziali utente configurate sul server RADIUS
→ Verificare che la connessione vada a buon fine e che il client ottenga un indirizzo IP
Il NAT deve essere configurato su Router Azienda. La rete IIS è già configurata. Il Home Router dell’alunno esegue il NAT in automatico.
! Sul Router Azienda — sostituire con i tuoi indirizzi dalla tabella Router(config)# ip access-list standard NAT_PRIV Router(config-std-nacl)# permit [rete_privata] [wildcard] Router(config-std-nacl)# exit Router(config)# ip nat inside source list NAT_PRIV interface [int_WAN] overload Router(config)# interface [interfaccia LAN] Router(config-if)# ip nat inside Router(config-if)# exit Router(config)# interface [interfaccia WAN verso Wind] Router(config-if)# ip nat outside
💡 Ricorda: inside = interfaccia verso la rete privata, outside = interfaccia verso la rete pubblica. Se li inverti il NAT non funziona.
Configurare le route statiche su tutti i router per raggiungere tutte le reti pubbliche. Attenzione: le route devono coprire solo le reti pubbliche, non quelle private. Questo è il cambio rispetto alle esercitazioni precedenti: ora che tutte le reti hanno il NAT, le reti private non compaiono mai nelle tabelle di routing dei router ISP.
Ogni router deve avere route verso tutte le reti pubbliche non direttamente connesse. Tenere presente che ci sono 4 reti pubbliche distinte:
- Rete Pubblica 1 — Home Router ↔ ISP Iliad
- Rete Pubblica 2 — ISP Iliad ↔ ISP Wind
- Rete Pubblica 3 — ISP Wind ↔ Router Azienda
- Rete Pubblica 4 — ISP Wind ↔ Router IIS Primo Levi (175.168.0.0/16 — uguale per tutti)
Esempio su ISP Iliad (che conosce direttamente Pub 1 e Pub 2, ma deve raggiungere Pub 3 e Pub 4 via ISP Wind):
! ISP Iliad conosce Pub1 e Pub2 direttamente — aggiunge route verso Pub3, Pub4 Router(config)# ip route [rete_pubblica_3] [maschera] [next-hop ISP Wind] Router(config)# ip route [rete_pubblica_4] [maschera] [next-hop ISP Wind] ! ISP Wind conosce Pub2, Pub3, Pub4 direttamente — aggiunge route verso Pub1 Router(config)# ip route [rete_pubblica_1] [maschera] [next-hop ISP Iliad] ! Home Router conosce Pub1 direttamente — aggiunge route verso Pub2, Pub3, Pub4 Router(config)# ip route [rete_pubblica_2] [maschera] [next-hop ISP Iliad] Router(config)# ip route [rete_pubblica_3] [maschera] [next-hop ISP Iliad] Router(config)# ip route [rete_pubblica_4] [maschera] [next-hop ISP Iliad] ! Router Azienda conosce Pub3 direttamente — aggiunge route verso Pub1, Pub2, Pub4 Router(config)# ip route [rete_pubblica_1] [maschera] [next-hop ISP Wind] Router(config)# ip route [rete_pubblica_2] [maschera] [next-hop ISP Wind] Router(config)# ip route [rete_pubblica_4] [maschera] [next-hop ISP Wind]
⚠️ Ricorda: i router ISP non devono sapere nulla delle reti private. Le reti private non vanno nelle tabelle di routing statiche. Il NAT su ogni router di confine si occuperà di tradurre gli indirizzi.
Dal browser di un PC nella rete privata dell’alunno o dell’azienda, aprire il browser e digitare l’IP pubblico del server IIS:
Se tutto è configurato correttamente, si aprirà la pagina web del server nella rete IIS Primo Levi, dimostrando che:
✅ Il NAT della rete privata traduce correttamente l’IP privato in IP pubblico
✅ Il routing pubblico funziona end-to-end attraverso ISP Iliad e ISP Wind
✅ Il port forwarding sul router IIS (già configurato nel file) smista la richiesta al server interno
Checklist di verifica:
✅ I PC cablati delle reti private (Alunno e Azienda) hanno IP, gateway e si pingano tra loro
✅ I client Wi-Fi si connettono correttamente (Azienda: WPA2; Alunno: WPA2-Enterprise con RADIUS)
✅ Il NAT è configurato sul Router Azienda (verifica con show ip nat translations)
✅ Le tabelle di routing dei router ISP contengono solo reti pubbliche
✅ Dal browser di un PC privato si raggiunge http://175.168.0.2
❌ I router ISP non devono avere route verso reti 192.168.x.x (questo sarebbe un errore)
Guarda il video per seguire passo dopo passo la configurazione completa dell’esercitazione.
Esercizio 3 — NAT + DHCP + DNS Locale
Obiettivo: Costruire una rete completa dove i PC ricevono l’IP via DHCP, risolvono nomi con un DNS locale, e accedono a un server web “esterno” grazie al NAT.
Topologia:
Rete Interna (192.168.10.0/25 — subnet mask 255.255.255.128):
→ Router (Gig0/1: 192.168.10.1) — inside
→ Server DNS locale (192.168.10.2 — IP statico)
→ Switch + 3 PC (DHCP dal router, range .10 a .126)
Rete Esterna “Internet” (50.0.0.0/30):
→ Router (Gig0/0: 50.0.0.1) — outside
→ Server Web (50.0.0.2) con pagina “Benvenuto su Internet!”
Cosa devi fare:
1. Configura la rete interna con subnet /25. Nota: con /25 hai 126 host disponibili (da .1 a .126, broadcast .127).
2. Configura il DHCP sul router (escludi .1 e .2, DNS: 192.168.10.2).
3. Configura il server DNS locale: mappa “www.miosito.ext” → 50.0.0.2.
4. Configura il NAT Overload (attenzione alla wildcard: per /25 è 0.0.0.127).
5. Dal browser dei PC, prova a navigare su “www.miosito.ext”.
Verifica:
✅ I PC ricevono IP, gateway e DNS dal DHCP
✅ nslookup www.miosito.ext restituisce 50.0.0.2
✅ Dal browser: “www.miosito.ext” mostra la pagina web
✅ show ip nat translations mostra le traduzioni attive
Esercizio 4 — NAT + Port Forwarding (Server Web Interno)
Obiettivo: Configurare NAT Overload per la navigazione E Port Forwarding per rendere un server web interno accessibile dalla rete esterna.
Topologia:
Rete Interna (192.168.1.0/26 — mask 255.255.255.192 — 62 host):
→ Router (Gig0/1: 192.168.1.1) — inside
→ Server Web interno (192.168.1.10 — IP statico, con pagina “Intranet Aziendale”)
→ Switch + 2 PC (IP statici: .20, .21)
Rete Esterna “Internet” (200.10.0.0/30):
→ Router (Gig0/0: 200.10.0.1) — outside
→ 1x PC “Utente Remoto” (200.10.0.2) — simula un utente da Internet
Cosa devi fare:
1. Configura la rete con subnet /26 (attenzione: wildcard per la access-list è 0.0.0.63).
2. Configura il NAT Overload per permettere ai PC interni di raggiungere l’esterno.
3. Configura il Port Forwarding: ip nat inside source static tcp 192.168.1.10 80 interface Gig0/0 80
4. Dal PC “Utente Remoto” esterno, apri il browser e digita l’IP pubblico del router (200.10.0.1). Dovresti vedere la pagina del server web interno!
Verifica:
✅ I PC interni raggiungono l’esterno (NAT Overload funziona)
✅ L’utente remoto (200.10.0.2) digita 200.10.0.1 nel browser e vede “Intranet Aziendale”
✅ show ip nat translations mostra sia le traduzioni PAT che la regola statica sulla porta 80
❌ L’utente remoto NON riesce a pingare i PC interni (.20, .21) — solo la porta 80 è aperta
Esercizio 5 — Rete Aziendale Completa: Subnetting + DHCP + DNS + NAT
Obiettivo: Costruire un’infrastruttura aziendale completa con due reparti (subnet diverse), server interni, DNS locale, DHCP, routing statico, NAT Overload e Port Forwarding. Questo esercizio mette insieme TUTTO quello fatto finora.
Topologia:
Reparto Uffici (192.168.1.0/26 — 62 host):
→ Switch + 3 PC (DHCP)
Reparto Server (192.168.1.64/26 — 62 host):
→ Switch + Server Web (192.168.1.66, IP statico) + Server DNS (192.168.1.67, IP statico)
Router Aziendale (collega tutto):
→ Gig0/1: 192.168.1.1 (gateway Uffici — inside)
→ Gig0/2: 192.168.1.65 (gateway Server — inside)
→ Gig0/0: 150.20.0.1 (verso Internet — outside)
Rete Esterna “Internet” (150.20.0.0/30):
→ Router ISP (150.20.0.2) + PC “Cliente Remoto” (150.20.1.10, con rotta statica verso il router ISP)
Cosa devi fare:
1. Subnetting: verifica che le due subnet /26 (192.168.1.0/26 e 192.168.1.64/26) non si sovrappongano.
2. Configura il DHCP sul router per la subnet Uffici (escludi .1 a .5, DNS: 192.168.1.67).
3. Configura il Server DNS: “www.azienda.local” → 192.168.1.66.
4. Configura il Server Web con una pagina “Sito Aziendale”.
5. Configura il NAT Overload per entrambe le subnet interne (puoi usare una access-list che copra entrambe oppure due access-list separate).
6. Configura il Port Forwarding: porta 80 → server web 192.168.1.66.
7. Configura routing statico tra il router aziendale e il router ISP.
8. Testa tutto: i PC navigano su www.azienda.local (DNS locale), raggiungono l’esterno (NAT), e il cliente remoto vede il sito (port forwarding).
Verifica:
✅ I PC dell’ufficio ricevono IP e DNS dal DHCP
✅ I PC navigano su “www.azienda.local” dal browser (DNS + HTTP)
✅ I PC raggiungono il PC esterno (NAT Overload funziona)
✅ Il cliente remoto digita 150.20.0.1 nel browser e vede “Sito Aziendale” (port forwarding)
✅ show ip nat translations mostra tutte le traduzioni
❌ Il cliente remoto non può raggiungere i PC interni se non tramite la porta 80
💡 Suggerimenti Utili per gli Esercizi
Inside e Outside vanno sulle interfacce giuste: L’errore più comune è invertirli! Ricorda: inside = lato LAN (IP privati), outside = lato “Internet” (IP pubblico). Se li inverti, il NAT non funziona.
Wildcard mask per la access-list: La wildcard è l’inverso della subnet mask. Per /24 (255.255.255.0) → wildcard 0.0.0.255. Per /25 (255.255.255.128) → wildcard 0.0.0.127. Per /26 (255.255.255.192) → wildcard 0.0.0.63.
Simulare Internet in Packet Tracer: Siccome non c’è il vero Internet, usiamo un secondo router + un server/PC come “rete esterna”. Il router dell’ISP avrà una rotta statica di ritorno verso l’IP pubblico del router NAT.
Ordine di configurazione: (1) IP e routing statico, (2) Verifica ping base, (3) DHCP, (4) DNS, (5) NAT, (6) Port Forwarding. Ogni passo si costruisce sul precedente.
Se il NAT non funziona: Controlla: (1) inside/outside configurati? (2) Access-list corretta? (3) Rotta di ritorno sul router ISP? (4) show ip nat translations mostra qualcosa? Se la tabella è vuota, i pacchetti non passano dal NAT.
🎯 Sintesi Finale
🌐 NAT
→ Traduce IP privati in IP pubblici per accedere a Internet
→ 3 tipi: Static, Dynamic, Overload (PAT)
→ PAT è il più usato: un solo IP pubblico per tutta la rete
→ Aggiunge sicurezza nascondendo gli IP interni
🔀 Port Forwarding
→ Permette di rendere accessibili server interni da Internet
→ Associa una porta pubblica a un dispositivo interno specifico
→ Solo le porte configurate sono aperte (sicurezza)
→ Usato per server web, telecamere IP, giochi online
Il NAT e il Port Forwarding completano il puzzle: con subnetting organizzi la rete, con il routing la colleghi, con il DHCP automatizzi gli IP, con il DNS risolvi i nomi, e con il NAT permetti a tutto di funzionare verso Internet. Ora hai tutte le competenze per costruire una rete aziendale completa! 🎉