Gli IP Services raggruppano feature trasversali che tengono in piedi la rete enterprise: traduzione degli indirizzi, sincronizzazione temporale e distribuzione efficiente del traffico uno-a-molti. In ENCOR devi saperne riconoscere il comportamento in scenari, non solo la sintassi.

NAT e PAT: la terminologia è tutto

Il NAT traduce gli indirizzi mentre il pacchetto attraversa il confine inside/outside. La difficoltà d’esame non è configurarlo, ma leggere correttamente le quattro categorie di indirizzo:

Termine Significato
Inside local Indirizzo dell’host interno come visto dall’interno (tipicamente privato RFC 1918)
Inside global Indirizzo dell’host interno come visto dall’esterno (il pubblico dopo la traduzione)
Outside global Indirizzo reale dell’host esterno
Outside local Come l’host esterno appare all’interno (raramente diverso, salvo NAT bidirezionale)

Regola mnemonica: local = lato interno della rete, global = come appare su Internet; inside = host nostro, outside = host remoto.

Le tre modalità principali:

  • NAT statico: mapping 1:1 permanente (ip nat inside source static). Utile per esporre un server interno con un indirizzo pubblico fisso.
  • NAT dinamico: mapping 1:1 temporaneo pescato da un pool finché ci sono indirizzi liberi; esauriti, i nuovi host non traducono (drop).
  • PAT / NAT overload: molti inside local condividono uno o pochi inside global distinguendosi per numero di porta L4. È la modalità che consente a un’intera LAN di uscire con un solo IP pubblico.
ip nat inside source list 1 interface GigabitEthernet0/1 overload

La parola chiave overload è ciò che trasforma un NAT dinamico in PAT. Ricorda di marcare le interfacce con ip nat inside e ip nat outside: senza questa direzionalità, nessuna traduzione avviene.

NTP: fiducia gerarchica sul tempo

NTP (UDP 123) sincronizza gli orologi, prerequisito per log correlati, certificati, Kerberos-like e SIEM. La gerarchia si misura in stratum:

  • Stratum 0 = sorgenti di riferimento (orologi atomici, GPS), non raggiungibili in rete.
  • Stratum 1 = server direttamente collegati a stratum 0.
  • Ogni hop incrementa lo stratum di 1; il massimo utile è 15. Uno stratum 16 indica un dispositivo non sincronizzato.

Un router configurato come client (ntp server <ip>) eredita lo stratum del server +1. Può anche fungere da peer (relazione simmetrica) o distribuire l’ora a valle. L’autenticazione protegge dai server temporali malevoli: si definisce una chiave (ntp authentication-key 1 md5 …), la si dichiara trusted (ntp trusted-key 1) e la si associa al server (ntp server <ip> key 1). Attenzione: è il client ad autenticare il server, non il contrario.

Multicast: chi parla con chi

Il multicast usa lo spazio 224.0.0.0/4. Due protocolli distinti lavorano a livelli diversi e confonderli è la trappola classica:

  • IGMP opera tra host e router locale (host-to-router). È il meccanismo con cui un receiver dichiara di voler ricevere un gruppo.

    • IGMPv2: messaggi Membership Report per il join, Leave Group per uscire, e Query dal querier (eletto con l’IP più basso).
    • IGMPv3: aggiunge liste include/exclude di sorgenti, requisito per il SSM (Source-Specific Multicast, range 232.0.0.0/8).

  • PIM opera tra router per costruire l’albero di distribuzione. Non trasporta dati: instrada le repliche e si appoggia sempre al controllo RPF (Reverse Path Forwarding) contro la tabella di unicast.

    • PIM Dense Mode: flood-and-prune, costruisce alberi sorgente (S,G), spreca banda, nessun RP. Adatto solo a reti dense.
    • PIM Sparse Mode: modello explicit-join. I receiver si agganciano a un albero condiviso (*,G) radicato sul Rendezvous Point (RP), poi il router del receiver commuta sullo Shortest Path Tree (S,G) verso la sorgente. L’RP si scopre in modo statico, via Auto-RP (Cisco) o BSR (standard).

Trappole tipiche d’esame

  • Scenario NAT con host interno che raggiunge Internet → l’indirizzo privato è inside local, il pubblico tradotto è inside global. Non invertirli: molte domande scambiano volutamente le etichette.
  • “Una LAN intera deve uscire con un solo IP pubblico” → serve PAT, cioè NAT con overload. Un NAT dinamico normale esaurirebbe il pool.
  • “I router non condividono l’orario” con stratum 16 → il dispositivo non è sincronizzato, non è un problema di raggiungibilità: verifica ntp server e l’eventuale mismatch di chiave di autenticazione.
  • “Come fa un PC a comunicare al router che vuole un flusso multicast?” → IGMP (host-to-router), NON PIM. PIM lavora solo router-to-router.
  • “Serve filtrare per sorgente specifica / SSM” → richiede IGMPv3, perché IGMPv2 non conosce le liste di sorgenti.
  • Pacchetto multicast scartato pur avendo un receiver attivo → probabile fallimento del controllo RPF: la rotta unicast verso la sorgente non passa dall’interfaccia da cui arriva il traffico.