petit soucis ACL

[fabz]

Bonjour,

Sur un Cisco 837, connecté en ADSL chez un FAI.
IP dynamique.
NAT INSIDE sur l'interface ethernet.
et NAT OUTSIDE sur le Dialer.

J'ai une access-list étendue qui me bloque mon traffic entrant sur l'interface Dialer. Je sors bien, mais au retour, j'ai un deny (tous protocoles confondus, www, smtp, etc...)
A noter que c'est une ACL qui interdit par défaut. (on interdit ce qui n'est pas explicitement autorisé)

je dresse les acl en autorisant les connexions établies sur la classe d'adresses du LAN

Le probleme :

Les deny loggués m'indiquent la bonne source, et en destination de paquets, j'ai l'IP dynamique attribuée par mon FAI.
Comme mes ACL indiquent des adresses locales, forcément, c'est bloqué par l'ACL étendue entrant sur l'interface Dialer...
Est-ce à cause du NAT ?
Du coup à part tout autoriser, je ne vois pas comment faire.

Mon ACL sur Dialer IN :

access-list 151 deny tcp any any range 32771 32789 log
access-list 151 permit tcp any eq domain 192.168.10.0 0.0.0.255 established
access-list 151 permit udp any eq domain 192.168.10.0 0.0.0.255
access-list 151 permit tcp any 192.168.10.0 0.0.0.255 eq 443
access-list 151 permit tcp any eq 443 any established
access-list 151 permit tcp any 192.168.10.0 0.0.0.255 eq ftp
access-list 151 permit tcp any eq ftp 192.168.10.0 0.0.0.255
access-list 151 permit tcp any 192.168.10.0 0.0.0.255 eq ftp-data
access-list 151 permit tcp any eq ftp-data 192.168.10.0 0.0.0.255
access-list 151 permit tcp any eq 22 192.168.10.0 0.0.0.255 established
access-list 151 permit tcp any eq nntp 192.168.10.0 0.0.0.255 established
access-list 151 deny ip 127.0.0.0 0.255.255.255 any
access-list 151 deny ip 192.9.200.0 0.0.0.255 any
access-list 151 permit tcp any 192.168.10.0 0.0.0.255 established
access-list 151 permit udp any 192.168.10.0 0.0.0.255 gt 1023
access-list 151 deny ip any any log

[azertypolo]

Bonjour,
je crois que ton access-list 151 deny ip any any log est à la base. Dans ton cas, tu devras deny les protocoles TCP et UDP qui ont pour source des @ privées à destination de ton interface dialer sauf permission exceptionnelle. Et comme cela suppose un deny implicite, tu finira par access-list 151 permit ip any any