Bruno,
Obrigado pela atenção, mas o que quis dizer é o seguinte:
Por exemplo: Liberar o IP 172.30.30.10 para ter acesso a Internet na porta 80 e 443 saindo para a Internet com o IP 200.200.200.10:
#Configuração:
access-list TESTE extended permit tcp host 172.30.30.10 any eq 80
access-list TESTE extended permit tcp host 172.30.30.10 any eq 443
access-list TESTE-EXTERNO extended permit tcp host 172.30.30.10 any eq 80
access-list TESTE-EXTERNO extended permit tcp host 172.30.30.10 any eq 443
nat (TESTE) 10 access-list TESTE-EXTERNO
global (DMZ-PUBLICA) 10 200.200.200.10
Até ai tudo bem. Agora imagine que quero que o IP 172.30.30.50 acesse o IP de outra rede interna minha 192.168.10.50 na porta 80, ficaria assim:
access-list TESTE extended permit tcp host 172.30.30.50 host 192.168.10.50 eq 80
static (REDE-X,TESTE) tcp 192.168.10.10 80 192.168.10.10 80 netmask 255.255.255.255
Ai que vem o problema, por que com estas regras o que vai acontecer, o IP 172.30.30.10 também vai ter acesso ao IP 192.168.10.10 na porta 80, pois ele, por precisar de acessar qualquer coisa na internet na porta 80, que seria o "any", vai também conseguir acessar o IP 192.168.10.10 na porta 80 pois esta na mesma rede do 172.30.30.50.
A minha dúvida seria se existe outra forma para que o IP 172.30.30.10 acesse a internet na porta 80 e 443 mas que não tenha acesso ao IP 192.168.10.10 na porta 80.
Poderia colocar assim também:
access-list TESTE extended permit tcp host 172.30.30.50 host 192.168.10.50 eq 80
access-list TESTE extended deny tcp host 172.30.30.10 host 192.168.10.50 eq 80
static (REDE-X,TESTE) tcp 192.168.10.10 80 192.168.10.10 80 netmask 255.255.255.255
Mas imagine se tiver que colocar um "deny" para varios IPs da minha rede, não seria viável.
Existe alguma outra forma de eu conseguir fazer um NAT para um IP sair para a Internet mas ao mesmo tempo não permitir que acesse outros IPs como no caso apresentado?
Muito obrigado!
