Full NAT or 1 to 1 NAT

Hey, Justin, welcome to the User BB!

You need both a DNAT and an SNAT.  Normally, we configure our clients' Astaros with their primary MX record set to the FQDN that resolves to the primary IP on their External interface.  More importantly, we assign mail.domain.com as the hostname of the Astaro.

Cheers - Bob

I tried a SNAT but it would not show the correct address. It still shows the firewall WAN IP. 

I followed the directions from this site.

Astaro Security Gateway – SNAT, DNAT, 1-to-1 NAT and Full NAT – HowTo » The time I've wasted on technology...

Here is a picture of what I have below. The example I have below is my domain controller that I need to have 1 to 1 NAT. The VPN feature is very nice with this Astaro. I was able get the site to site VPN with my home ASA 5505 up in a few minutes.

Well, several things.

Just to be sure, NAT rules are evaluated in the order listed.  If a packet satisfies a traffic selector, the rule is applied and no further rules are considered.

You started this thread only talking about Exchange, but you didn't show rules related to that.  If the SMTP traffic from your Exchange server is going through the Astaro Proxy, when the packet leaves it, the source is the IP of "External (Address)", so your traffic selector in the SNAT must be 'External (Address) -> SMTP -> Internet'.  If you are using the Proxy, then you don't need a DNAT.  If you are using a DNAT instead of the Proxy, you also probably want to use "SMTP instead of "Any" in its traffic selector.

Normally, I would limit the packets selected by not using "Any" service in the traffic selectors, and then I would select auto packet filter rules.

If your PBX is VoIP, and since you have a Network Security subscription (you said you set up a site-to-site VPN), then you might want to use the VoIP proxy instead of NAT rules.

What is the reason for opening your Domain Controller to the public?

Cheers - Bob

The server is a DC/Exchange 2010. In the Cisco world I would create a 1 to 1 nat rule for my DC/Exchange box and then only open the ports I want in the firewall rules. The purpose of this is to have my mail server go out on the right external public IP address that already has reverse DNS setup. It seems like every firewall on the planet has 1 to 1 NAT except for Astaro.

This a great product. 1 to 1 NAT is essential.

Once I start getting more familiar with the device I will start using the proxies. I could not get the VOIP one to work when I tried.

The purpose of this is to have my mail server go out on the right external public IP address that already has reverse DNS setup

Currently the way to set this up in Astaro is to use additional addresses in combination with an SNAT rule.

1 to 1 NAT is essential

1-to-1 NAT is currently planned to be added early next year in version 9.0.  Network Security: 1-to-1 NAT

I could not get the VOIP one to work when I tried

A couple of things could be going on here.  The Astaro VOIP proxy only works with SIP and H323, but every VOIP system that I know of also uses other ports/protocols, that will need to be opened to function properly.  If your PBX vendor recommends not to use SIP-fixup for Cisco with their product, then you won't want to use the Astaro VOIP proxy either.

Hey, fintech, I think there's more here than you're asking for...

You already can do what you're asking for with an SNAT + a DNAT.

Astaro has a plan to do, for example, 1.2.3.4-1.2.3.9 mapped to 10.2.3.4-10.2.3.9.

Cheers - Bob

I kept on reading a way to use DNAT / SNAT to do 1:1 Nat as discussed in this thread. In particular, outbound packet should show the extra IP address that I have added to the external interface. I never can get it to work (Always main IP address show up in the outgoing packet and not the one that I added). Can someone point me to any work around if you know how to do this.

Hi, boruguru, and welcome to the User BB!

Please [Go Advanced] below and attach a picture of your SNAT rule.  Also mention if this traffic is via an Astaro proxy.

Cheers - Bob

Bob, 

Thank you for the reply. Look like I may be doing something wrong here. 

Here is what I want to do. 

extip = nat24  (This is not the wan-ext-ip which is different, I can ping nat24)
internalip = vm24 (192.168.1.24)

I want all my traffic from and to vm24 to use the nat24 ip. (There are other internal IPs which should go through the normal NAT using the regular WAN IP as it is today,unchanged)
extip-> asg -> internalip
internalip -> asg -> externalip


My puzzle is that I have not defined in my DNAT,SNAT rules about my internal IP address info, so I believe my rules are flawed. 

I check marked automatic firewall rule on/off with no luck. I am sure I am missing something here. Do I need an extra 2 more rules defining internal IP. 

I followed the following to get going. However what I found is the outgoing packets do not show the IP of the new interface that I defined. [:S]

Astaro Security Gateway – SNAT, DNAT, 1-to-1 NAT and Full NAT – HowTo

 


Appreciate help..