Pix 501 e IP Pubblico

Tutto ciò che ha a che fare con la configurazione di apparati Cisco (e non rientra nelle altre categorie)

Moderatore: Federico.Lagni

Rispondi
chatts73
Cisco fan
Messaggi: 30
Iscritto il: lun 19 giu , 2006 11:06 am

cisketto ha scritto:...altra cosa:

sei sicuro che il tuo pc si presenti sull'outside del fw con un ip della classe 81.115.170.0/24 (che è cmq grande!)?
Prova a controllare le hit sulle acl e verificare che aumentino quando fai i tentativi...

al massimo attiva qualche debug e guarda cosa succede....

...
Ciao,
Cisketto!
bè quello è la classe del mio pix con cui esco...

poi passo per il router e arrivo al firewall..io penso che mi presento al firewall sempre con lo stesso ip??
sbaglio?
Top
Avatar utente
cisketto
Cisco pathologically enlightened user
Messaggi: 178
Iscritto il: mar 20 dic , 2005 12:02 pm
Località: Milano

Dipende dalla configurazione del router... in teoria dovresti arrivare con quell'IP ma siccome non hai modo di accedere al router (o sbaglio?) l'unico modo che hai per capire cosa non quadra è attivare dei debug sul pix e vedere cosa succede quando provi a connetterti dall'esterno...
Top
chatts73
Cisco fan
Messaggi: 30
Iscritto il: lun 19 giu , 2006 11:06 am

sono riuscito ad avere la config del rtr
eccola:

interface FastEthernet0/0
description $ETH-LAN$
ip address 85.39.96.1yy 255.255.255.248
ip access-group 105 out
ip nat inside
duplex auto
speed auto
fair-queue
!
interface FastEthernet0/1
no ip address
shutdown
duplex auto
speed auto
!
interface Serial0/0/0
bandwidth 1024
no ip address
encapsulation frame-relay
frame-relay lmi-type ansi
!
interface Serial0/0/0.1 point-to-point
bandwidth 1024
ip address 85.37.255.1xx 255.255.255.252
ip access-group 104 in
ip access-group 103 out
ip nat outside
frame-relay interface-dlci 248 IETF
!
ip classless
ip route 0.0.0.0 0.0.0.0 Serial0/0/0.1
ip route 85.39.96.0 255.255.255.0 Serial0/0/0.1
ip route 151.99.0.0 255.255.0.0 Serial0/0/0.1
!
ip http server
ip http access-class 30
!
access-list 1 permit 192.168.1.0 0.0.0.255
access-list 1 permit 85.39.96.0 0.0.0.7
access-list 30 remark SDM_ACL Category=17
access-list 30 permit 85.37.255.109
access-list 30 permit 151.99.9.6
access-list 30 permit 151.99.126.0 0.0.0.255
access-list 30 permit 85.39.96.136 0.0.0.7
access-list 103 permit 85.39.96.136 0.0.0.7 any ip
access-list 104 permit ip any any
access-list 105 remark SDM_ACL Category=1
access-list 105 permit ip any any

le ip nat inside e outside le posso togliere?
Top
chatts73
Cisco fan
Messaggi: 30
Iscritto il: lun 19 giu , 2006 11:06 am

allora....
appena inserisco il comando
static (inside,outside) <ip_pubblico> <ip_interno_AS400> netmask 255.255.255.255 0 0

e l'acl su outside per permettermi di arrivarci

ecco che l'as400 non va ne in internet ne arriva al pix....

ci vuole un altra acl ??
Top
Avatar utente
cisketto
Cisco pathologically enlightened user
Messaggi: 178
Iscritto il: mar 20 dic , 2005 12:02 pm
Località: Milano

prova a postare uno sh run del pix...
Top
chatts73
Cisco fan
Messaggi: 30
Iscritto il: lun 19 giu , 2006 11:06 am

Building configuration...
: Saved
:
PIX Version 6.3(5)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password wVp32v1TnORQir.0 encrypted
passwd wVp32v1TnORQir.0 encrypted
hostname pix501
domain-name svila.it
clock timezone CEST 1
clock summer-time CEDT recurring last Sun Mar 2:00 last Sun Oct 3:00
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol icmp error
fixup protocol pptp 1723
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
name 192.0.0.0 vpn_pool
name 85.39.96.xxx router
access-list NONAT permit ip any vpn_pool 255.255.255.0
access-list outside_access_in permit icmp any any echo-reply
access-list inside_access_in permit ip any any
access-list inside_access_in permit tcp any any
access-list inside_access_in permit icmp any any
pager lines 24
icmp permit any outside
icmp permit any inside
mtu outside 1500
mtu inside 1500
ip address outside 85.39.96.yyy 255.255.255.248
ip address inside 192.0.0.22 255.255.255.0
ip verify reverse-path interface outside
ip audit info action alarm
ip audit attack action alarm
ip local pool VPN_svila 192.0.0.220-192.0.0.225 mask 255.255.255.0
pdm location router 255.255.255.255 outside
pdm location router 255.255.255.255 inside
pdm location 85.39.96.yyy 255.255.255.255 inside
pdm location vpn_pool 255.255.255.0 outside
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list NONAT
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
access-group outside_access_in in interface outside
access-group inside_access_in in interface inside
route outside 0.0.0.0 0.0.0.0 router 1
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout sip-disconnect 0:02:00 sip-invite 0:03:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
http server enable
http router 255.255.255.255 outside
http vpn_pool 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
sysopt connection permit-pptp
sysopt noproxyarp outside
telnet router 255.255.255.255 outside
telnet vpn_pool 255.255.255.0 inside
telnet timeout 5
ssh router 255.255.255.255 outside
ssh vpn_pool 255.255.255.0 inside
ssh timeout 5
management-access outside
console timeout 0
vpdn group SASVPN accept dialin pptp
vpdn group SASVP

ho tolto la static (inside, outside).. perchè non funzionava..comunque l'ip del as400 è 192.0.0.1
Top
Avatar utente
cisketto
Cisco pathologically enlightened user
Messaggi: 178
Iscritto il: mar 20 dic , 2005 12:02 pm
Località: Milano

Non capisco la configurazioen del tuo NONAT......

Il NoNat server per fare in modo che alcuni Ip della rete interna escano in chiaro verso reti "Outside" (dmz...ecc...)...

dal quel che vedo dalla tua cfg però....
tu gli dici di applicare alla NAT0 (nonat) l'acl NONAT:

nat (inside) 0 access-list NONAT

Poi però nella acl gli dici di non nattare qualsiasi cosa diretto alla rete interna vpn_pool (192.0.0.0)... questa è la tua rete inside vero?

Sinceramente non capisco come possa funzionare.... e/o a cosa serva...
Top
chatts73
Cisco fan
Messaggi: 30
Iscritto il: lun 19 giu , 2006 11:06 am

hai ragione non serve più...

inizialmente alla vpn avevo assegnato un pool 192.168.0.xxx e con un nat lo facevo vedere alla classe interna...

poi l'ho modificata perchè gli assegnasse un ip della stessa classe

ora la tolgo
Top
chatts73
Cisco fan
Messaggi: 30
Iscritto il: lun 19 giu , 2006 11:06 am

per chiarire meglio:

avevo un pool della vpn : 192.168.0.0

e
access-list NONAT permit ip 192.0.0.0 255.255.255.0 192.168.0.0 255.255.255.0
..
global (outside) 1 interface
nat (inside) 0 access-list NONAT
nat (inside) 1 192.0.0.0 255.255.255.0 0 0
Top
Avatar utente
cisketto
Cisco pathologically enlightened user
Messaggi: 178
Iscritto il: mar 20 dic , 2005 12:02 pm
Località: Milano

ok poi riprova la statica....
Top
chatts73
Cisco fan
Messaggi: 30
Iscritto il: lun 19 giu , 2006 11:06 am

mi tocca tenerlo altrim...non esco più in internet???!? perche???!?!
Top
Avatar utente
cisketto
Cisco pathologically enlightened user
Messaggi: 178
Iscritto il: mar 20 dic , 2005 12:02 pm
Località: Milano

:(
Top
Avatar utente
cisketto
Cisco pathologically enlightened user
Messaggi: 178
Iscritto il: mar 20 dic , 2005 12:02 pm
Località: Milano

Ciao,
nessuna news?
Top
chatts73
Cisco fan
Messaggi: 30
Iscritto il: lun 19 giu , 2006 11:06 am

Ho cercato di ripulire tutte le acl del router....praticamente non ce ne sono più

(E' stata cambiata la rete interna da 192.0.0.0 a 10.144.145.0
Mentre ero in ferie!!!!) comunque...ciò non cambia molto...infatti ...
Ora sto assegnando ip pubblici al server as400 e ad un altro server w2003...che è anche server di dominio e dns...

Il problema rimane...ovvero appena aggiungo le statiche e relative acl...i due server sono scollegati...e quindi l'intera rete (legata al server dns) non esce più....
per ora ho tolto la statica del server dns, alsciando l'altra

riposto parte del sh run del pix...

clock timezone CEST 1
clock summer-time CEDT recurring last Sun Mar 2:00 last Sun Oct 3:00
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol icmp error
fixup protocol pptp 1723
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
name 81.115.170.xxx router
access-list SAS_splitTunnelAcl permit ip 10.144.145.0 255.255.255.0 any
access-list inside_outbound_nat0_acl permit ip 10.144.145.0 255.255.255.0 10.144.145.192 255.255.255.192
access-list inside_outbound_nat0_acl permit ip 10.144.145.0 255.255.255.0 192.168.10.0 255.255.255.240
access-list inside_access_in permit ip any any
access-list outside_cryptomap_dyn_20 permit ip any 192.168.10.0 255.255.255.240
access-list outside_access_in permit tcp any host 81.115.170.139 eq ftp
pager lines 24
icmp permit any echo-reply outside
icmp permit any echo inside
mtu outside 1500
mtu inside 1500
ip address outside 81.115.170.yyy 255.255.255.248
ip address inside 10.144.145.253 255.255.255.0
ip verify reverse-path interface outside
ip audit info action alarm
ip audit attack action alarm
ip local pool SAS 10.144.145.220-10.144.145.225 mask 255.255.255.0
ip local pool SasInfo 192.168.10.1-192.168.10.15
pdm location router 255.255.255.255 outside
pdm location router 255.255.255.255 inside
pdm location 10.144.145.192 255.255.255.192 outside
pdm location 10.144.145.192 255.255.255.192 inside
pdm location 10.144.145.1 255.255.255.255 inside
pdm location 10.144.145.6 255.255.255.255 inside
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list inside_outbound_nat0_acl
nat (inside) 1 10.144.145.0 255.255.255.0 0 0
static (inside,outside) 81.115.170.xxy 10.144.145.1 netmask 255.255.255.255 0 0
access-group outside_access_in in interface outside
access-group inside_access_in in interface inside
route outside 0.0.0.0 0.0.0.0 router 1
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout sip-disconnect 0:02:00 sip-invite 0:03:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
ntp server 193.204.114.232 source outside prefer
ntp server 193.204.114.233 source outside
http server enable
http router 255.255.255.255 outside
http 10.144.145.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
sysopt connection permit-pptp
sysopt noproxyarp outside
crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac
crypto dynamic-map outside_dyn_map 20.....
....ecc ecc
Top
Avatar utente
cisketto
Cisco pathologically enlightened user
Messaggi: 178
Iscritto il: mar 20 dic , 2005 12:02 pm
Località: Milano

senti prova ad attivare questo debug:

debug packet outside src 81.115.170.139

e fai dei tentativi di connessione...
se arrivi al firewall vedrai i pacchetti altrimenti se non li vedi vuol dire che non ci arrivi....

Ciao!
Top
Rispondi

Torna a “Configurazioni”