Accessing external IP from internal network

Hi,
i've been strugling with this problem for a couple of days now, i've posted my question on this BB and then all of the sudden ... bang!

The old rule of NAT was:
Source Address: Any
Destination Address: IP assigned by ISP
Service: HTTP
Source Translation: none
Destination Translation Address: IP of Internal Webserver
Destination Translation Service : none

By using this rule: when an internal client tries to access the internal webserver using the external IP of the ISP connection, the webserver sees it comes from an internal IP and responds to it directly, but the client cannot process that information because he doesn't know why he gets those datapackets (he expects to get that information for the external IP-address and not from the internal ip of the webserver).

If you make a small change to the config of NAT, then it works:
Source Address: Any
Destination Address: IP assigned by ISP
Service: HTTP
Source Translation Addres: IP ASSIGNED BY ISP (!!!!)
Source Translation Service: none
Destination Translation Address: IP of Internal Webserver
Destination Translation Service : none

By doing this the webserver is forced to communicate with the firewall instead of directly with the internal client... Problem solved!!

Kind regards,
Tim.

(BTW: if your ISP forces you to use their proxy, you have to add the external address to the list of addresses that don't need the proxy or it might not work)

If you do source IP address translation in your Web server NAT rule, this might work OK for the machines on the internal network that wish to browse the web server via its external IP address, but how does the web server now manage to reply to web browsing from the outside world? The replies will now be addressed to the External interface on the ASL box.

Have you tested your modified NAT rule by browsing the web server from outside of your local LAN? I would suggest that you return to your original rule, which is the proper one for external access, and simply use the local LAN IP address (unless you are running split dNS, with a separate DNS server for the internal network) to browse the web server locally from the internal net.

It works fine for both pc's on the internal network or machines on the outside.  I do not understand your remark quite well: the webserver now communicates with the ip assigned by the ISP and the NAT translates the packets to the actual source ip, just like it was when there was no change in the source ip... or am I missing something?

Tim.

actually this will work ok except for certain circumstances
1. unforseen problems because your doing interesting things with the packets (your guess is as good as mine as to what this will be)
2. no ability to log based on ip address or block by acl because every packet coming from outside is translated to external isp assigned ip
in other words your website internally will see everything as the external ip
-Dave

Your web server now sees all the traffic as originating from your external IP address, and responds accordingly. This is something that I consider to be a misconfiguration. It remains a mystery to me how people can now successfully browse your web server from the outside world, since it now sees the external IP address of the ASL box as the single source (and thus the only reply destination) for all the web traffic.

I can only repeat my recommendation that you return to your original, properly configured, NAT rule.

Your web server now sees all the traffic as originating from your external IP address, and responds accordingly. This is something that I consider to be a misconfiguration. It remains a mystery to me how people can now successfully browse your web server from the outside world, since it now sees the external IP address of the ASL box as the single source (and thus the only reply destination) for all the web traffic.

I can only repeat my recommendation that you return to your original, properly configured, NAT rule.