Loopback NAT or Nat-on-a-stick question

Could you setup a static entry for Global Options in the Network | DNS mapping section?

I had considered setting up split dns, but there are a lot of hosts* so it wouldn't be an great solution**.  

* We host web based applications.
**and we're using MS DNS servers which don't support Bind-style split dns.  Double PITA.

Elizabeth, I'm not very good with Cisco, but I wonder if your rule wouldn't simply make internal traffic appear to be coming from the Cisco device.  If that is indeed your goal, then you can duplicate that with a SNAT rule in the Astaro:

Traffic Source: Internal (Network)
Traffic Service: {not sure, 'Web Surfing' or 'HTTP'?}
Traffic Destination: {You might have defined a group or subnet of webservers}
NAT Mode: SNAT
Source: Internal (Address) {or just 192.168.0.1}
Service: {leave this blank!}

You might need to set up a packet filter rule depending on what you have already.  The downside of this solution is that you can no longer see the specific origin of internal traffic with the webservers - everything is with 192.168.0.1.

Having said that, I feel like my suggestion above is a bandaid instead of the "right" solution.  I suspect you have DNAT rules for your webservers and that you could create a policy route for internal traffic to the group of servers.  The most time-consuming part of that would be creating the group of webservers if they aren't already all on a separate subnet.

Cheers - Bob

Thanks Bob, I think that is a step in the right direction.

Your assessment "simply make internal traffic appear to be coming from the Cisco device" is correct.  That is exactly what it does.  Internal traffic accessed by the external IP has the source IP rewritten to the firewall's address.

Our current band-aid solution is to use full nat that translation rules for everything, with the fw internal IP set as the source address.  This works, but all traffic appears to come from the FW now.  This is "not so great" for both security and web-statistics purposes.

-ellie

Elizabeth, I'm not very good with Cisco, but I wonder if your rule wouldn't simply make internal traffic appear to be coming from the Cisco device.  If that is indeed your goal, then you can duplicate that with a SNAT rule in the Astaro:

Traffic Source: Internal (Network)
Traffic Service: {not sure, 'Web Surfing' or 'HTTP'?}
Traffic Destination: {You might have defined a group or subnet of webservers}
NAT Mode: SNAT
Source: Internal (Address) {or just 192.168.0.1}
Service: {leave this blank!}

You might need to set up a packet filter rule depending on what you have already.  The downside of this solution is that you can no longer see the specific origin of internal traffic with the webservers - everything is with 192.168.0.1.

Having said that, I feel like my suggestion above is a bandaid instead of the "right" solution.  I suspect you have DNAT rules for your webservers and that you could create a policy route for internal traffic to the group of servers.  The most time-consuming part of that would be creating the group of webservers if they aren't already all on a separate subnet.

Cheers - Bob

Split DNS on Windows 2003 server is really not that difficult.  Here is a link that describes the needed configuration.

Configure a split DNS system on Windows Server 2003

I don't know if that is what you may need, but that is how split DNS is done in AD.

Elizabeth, I'm not very good with Cisco, but I wonder if your rule wouldn't simply make internal traffic appear to be coming from the Cisco device.  If that is indeed your goal, then you can duplicate that with a SNAT rule in the Astaro:

Traffic Source: Internal (Network)
Traffic Service: {not sure, 'Web Surfing' or 'HTTP'?}
Traffic Destination: {You might have defined a group or subnet of webservers}
NAT Mode: SNAT
Source: Internal (Address) {or just 192.168.0.1}
Service: {leave this blank!}

You might need to set up a packet filter rule depending on what you have already.  The downside of this solution is that you can no longer see the specific origin of internal traffic with the webservers - everything is with 192.168.0.1.

Having said that, I feel like my suggestion above is a bandaid instead of the "right" solution.  I suspect you have DNAT rules for your webservers and that you could create a policy route for internal traffic to the group of servers.  The most time-consuming part of that would be creating the group of webservers if they aren't already all on a separate subnet.

Cheers - Bob

Split DNS on Windows 2003 server is really not that difficult.  Here is a link that describes the needed configuration.

Configure a split DNS system on Windows Server 2003

I don't know if that is what you may need, but that is how split DNS is done in AD.