CiscoForums.it

Cisco Users Group
https://www.ciscoforums.it/

cisco Asa 5510 doppia adsl

https://www.ciscoforums.it/viewtopic.php?f=10&t=10410

Pagina 1 di 1

cisco Asa 5510 doppia adsl

Inviato: sab 21 mar , 2009 8:55 am
da onlyforangels1977
Salve a tutti, è da molto che non scrivo, dopo tanto lavoro su altre piattaforme, la settimana scorsa mi sono trovato a configurare un cisco asa 5510

Sono riuscito a configurarlo riesco a navigare sia dalla dmz che dalla lan senza che le due reti si vedo, mi funziona anche il forward su un host web di prova. Il mio problema è il seguente, visto che ho due adsl vorrei far uscire la lan con la prima e la dmz con la seconda, è possibile tutto cio ho anche l'esigenza di fare la ridondanza con lo stesso modello. Vi posto la mia configurazione di base:

Result of the command: "show startup-config"

: Saved
: Written by enable_15 at 08:17:43.253 UTC Thu Mar 19 2009
!
ASA Version 7.0(8)
!
hostname ciscoasa
domain-name default.domain.invalid
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
names
dns-guard
!
interface Ethernet0/0
nameif outside
security-level 0
ip address 1.x.x.99 255.255.255.248
!
interface Ethernet0/1
nameif inside
security-level 1
ip address 192.168.200.1 255.255.255.0
!
interface Ethernet0/2
nameif dmz
security-level 50
ip address 172.16.31.1 255.255.255.0
!
interface Ethernet0/3
shutdown
no nameif
no security-level
no ip address
!
interface Management0/0
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
management-only
!
ftp mode passive
same-security-traffic permit inter-interface
object-group service portawebmin tcp
description porta webmin
port-object range 10000 10000
access-list outside_access_in extended permit tcp any host 1.x.x.99 eq www
access-list outside_access_in extended permit tcp any host 1.x.x.99 object-group portawebmin
access-list outside_access_in extended permit tcp any host 1.x.x.99 eq https
pager lines 24
logging asdm informational
mtu outside 1500
mtu inside 1500
mtu dmz 1500
mtu management 1500
no failover
monitor-interface outside
monitor-interface inside
monitor-interface dmz
monitor-interface management
asdm image disk0:/asdm-508.bin
asdm location 172.16.31.100 255.255.255.255 dmz
asdm location 172.16.31.101 255.255.255.255 dmz
no asdm history enable
arp timeout 14400
global (outside) 10 interface
nat (inside) 10 0.0.0.0 0.0.0.0
nat (dmz) 10 0.0.0.0 0.0.0.0
static (dmz,outside) tcp 1.x.x.99 www 172.16.31.100 www netmask 255.255.255.255
static (dmz,outside) tcp 1.x.x.99 10000 172.16.31.100 10000 netmask 255.255.255.255
static (dmz,outside) tcp 1.x.x.99 https 172.16.31.100 https netmask 255.255.255.255
access-group outside_access_in in interface outside
route outside 0.0.0.0 0.0.0.0 1.x.x.97 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00
timeout mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
http server enable
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 192.168.200.2-192.168.200.254 inside
dhcpd dns 151.99.0.100 151.99.125.3
dhcpd lease 3600
dhcpd ping_timeout 50
dhcpd enable inside
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map global_policy
class inspection_default
inspect dns maximum-length 512
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
!
service-policy global_policy global
Cryptochecksum:1ed18063c0b7a376d923d3d77e543772


In questo caso vorrei che la interface Ethernet0/3 avrebbe un indirizzo pubblico della seconda adsl del tipo 2.x.x.99
ho prova5o a rinattare la lan con l'eventuale route ouside
route outside 0.0.0.0 0.0.0.0 2.x.x.97 2 ma non riesco a farla funzionare.

Mi date qualche consiglio in merito.

Grazi e a presto

Inviato: sab 21 mar , 2009 4:54 pm
da Wizard
avere 2 int outside e fare uscire una rete da una e una altra dalla altra si può e nn è molto difficile.

Direi che è impossibile nel tuo caso fare un vero bilanciamento...

Inviato: lun 23 mar , 2009 9:58 am
da onlyforangels1977
Wizard ha scritto:avere 2 int outside e fare uscire una rete da una e una altra dalla altra si può e nn è molto difficile.

Direi che è impossibile nel tuo caso fare un vero bilanciamento...
più che bilanciare, ho solo la necessità di dedicare un adsl esclusivamente per internet ed un'altra per servizi web e posta.

Mi serve sapere appunto come gestire le route outiside e il nat. Grazie in anticipo

Inviato: lun 23 mar , 2009 9:59 pm
da Wizard
Mi serve sapere appunto come gestire le route outiside e il nat
Il nat è facile:

pat verso un ip della outside 1
nat statici sugli ip della outside 2 x i server web e posta

Il problema grosso è il routing poichè gli asa che io sappia nn supportano ancora il source routing (route map)

Inviato: mar 24 mar , 2009 9:22 am
da onlyforangels1977
Wizard ha scritto:
Mi serve sapere appunto come gestire le route outiside e il nat
Il nat è facile:

pat verso un ip della outside 1
nat statici sugli ip della outside 2 x i server web e posta

Il problema grosso è il routing poichè gli asa che io sappia nn supportano ancora il source routing (route map)
Ho provato questo tipo di configurazione, il firewall mi permette di inserire la metrica sulle route, ma non riesco a farle funzionare contemporaneamente, o meglio funzionano solo se stacco la prima e viceversa. Mi è stato difficile anche reperire la documentazione per capire se effettivamente gli asa supportano questo tipo di funzione.

in ogni caso ti posto la nuova configurazione, mi farebbe piacere che tu ci dessi un' occhiata. Grz in anticipo

Result of the command: "show startup-config"

: Saved
: Written by enable_15 at 06:16:52.756 UTC Mon Mar 23 2009
!
ASA Version 7.0(8)
!
hostname ciscoasa
domain-name default.domain.invalid
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
names
dns-guard
!
interface Ethernet0/0
nameif telecom
security-level 0
ip address x.x.x.99 255.255.255.248
!
interface Ethernet0/1
nameif Lan
security-level 1
ip address 192.168.200.1 255.255.255.0
!
interface Ethernet0/2
nameif dmz
security-level 50
ip address 172.16.31.1 255.255.255.0
!
interface Ethernet0/3
nameif fastweb
security-level 0
ip address 10.10.10.142 255.255.255.0
!
interface Management0/0
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
management-only
!
ftp mode passive
same-security-traffic permit inter-interface
object-group service portawebmin tcp
description porta webmin
port-object range 10000 10000
access-list outside_access_in extended permit tcp any host x.x.x.99 eq www
access-list outside_access_in extended permit tcp any host x.x.x.101 object-group portawebmin
access-list outside_access_in extended permit tcp any host x.x.x.101 eq https
access-list inside_access_in extended permit ip any any
access-list dmz_access_in extended permit ip any any
access-list management_access_in extended permit ip any any
pager lines 24
logging asdm informational
mtu telecom 1500
mtu Lan 1500
mtu dmz 1500
mtu fastweb 1500
mtu management 1500
no failover
monitor-interface telecom
monitor-interface Lan
monitor-interface dmz
monitor-interface fastweb
monitor-interface management
asdm image disk0:/asdm-508.bin
asdm location 172.16.31.100 255.255.255.255 dmz
asdm location 172.16.31.101 255.255.255.255 dmz
no asdm history enable
arp timeout 14400
global (telecom) 10 interface
global (fastweb) 11 interface
nat (Lan) 11 0.0.0.0 0.0.0.0
nat (dmz) 10 0.0.0.0 0.0.0.0
static (dmz,telecom) tcp interface www 172.16.31.100 www netmask 255.255.255.255
static (dmz,telecom) tcp x.x.x.101 10000 172.16.31.101 10000 netmask 255.255.255.255
static (dmz,telecom) tcp x.x.x.101 https 172.16.31.101 https netmask 255.255.255.255
static (Lan,dmz) 192.168.200.0 192.168.200.0 netmask 255.255.255.0
static (dmz,Lan) 172.16.31.0 172.16.31.0 netmask 255.255.255.0
access-group outside_access_in in interface telecom
access-group inside_access_in in interface Lan
access-group dmz_access_in in interface dmz
route telecom 0.0.0.0 0.0.0.0 x.x.x.97 1
route fastweb 0.0.0.0 0.0.0.0 10.10.10.1 2
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00
timeout mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
http server enable
http 192.168.200.0 255.255.255.0 Lan
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 192.168.200.2-192.168.200.254 Lan
dhcpd address 192.168.1.2-192.168.1.254 management
dhcpd dns 151.99.0.100 151.99.125.3
dhcpd lease 3600
dhcpd ping_timeout 50
dhcpd enable Lan
dhcpd enable management
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map global_policy
class inspection_default
inspect dns maximum-length 512
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
!
service-policy global_policy global
Cryptochecksum:ad82da22cca7447625433cae176fe99b

Con questa configuraizone la lan esce su internet con fastweb solo se stacco il cavo adsl di telecom.

Inviato: gio 26 mar , 2009 3:43 pm
da Wizard
route telecom 0.0.0.0 0.0.0.0 x.x.x.97 1
route fastweb 0.0.0.0 0.0.0.0 10.10.10.1 2
In questo modo la linea fastweb si attiva solo se la int fisica telecom cade quindi nn è un gran metodo per bilanciare.

Se vuoi fare un vero backup tenendo 2 linee in attivo \ passivo gli ASA supportano object tracking

Inviato: ven 27 mar , 2009 12:20 pm
da onlyforangels1977
Wizard ha scritto:
route telecom 0.0.0.0 0.0.0.0 x.x.x.97 1
route fastweb 0.0.0.0 0.0.0.0 10.10.10.1 2
In questo modo la linea fastweb si attiva solo se la int fisica telecom cade quindi nn è un gran metodo per bilanciare.

Se vuoi fare un vero backup tenendo 2 linee in attivo \ passivo gli ASA supportano object tracking
Il mio scopo non era il backup... volevo solo dividere il traffico della lan da quello della dmz... utilizzando quindi la doppia adsl, ma non ho capito ancora se gli asa mi permetto di fare questa cosa...

Inviato: ven 27 mar , 2009 1:23 pm
da Wizard
ma non ho capito ancora se gli asa mi permetto di fare questa cosa...
Da quello che so io no

Inviato: ven 27 mar , 2009 4:43 pm
da onlyforangels1977
Wizard ha scritto:
ma non ho capito ancora se gli asa mi permetto di fare questa cosa...
Da quello che so io no

ummm costa tanti solidi... :( in ogni caso grazie per i preziosi consigli

asa 5505 e object tracking

Inviato: dom 26 apr , 2009 10:05 am
da risk
Scusate l'intromissione ma mi piacerebbe sapere se l'asa 5505, mi riferisco a
quello con codice d'acquisto asa550550bun-k9, supporta object tracking.
Più precisamente, mi sembra che possa usare solo due interfaccie contemporaneamente e completamente. Dico giusto ?
Se volessi impostare due route, tramite object tracking, in uscita come dovrei fare ?

Help, please.

Grazie

Inviato: lun 27 apr , 2009 9:05 pm
da Wizard
Più precisamente, mi sembra che possa usare solo due interfaccie contemporaneamente e completamente. Dico giusto ?
Con la ios base si ma x i 5505 esiste la licenza plus

Inviato: mar 28 apr , 2009 7:49 pm
da risk
Grazie mille per la gentile risposta.

Inviato: mer 29 apr , 2009 7:42 pm
da gabry

Codice: Seleziona tutto

route outside1 0.0.0.0 0.0.0.0 $GW1 1 track 1
route outside2 0.0.0.0 0.0.0.0 $GW2 254

sla monitor 1
 type echo protocol ipIcmpEcho $IPESTERNODAPINGARE interface outside1
 num-packets 2
 frequency 30
sla monitor schedule 1 life forever start-time now

track 1 rtr 1 reachability
con questo non c'è bisogno che cada fisicamente l'interfaccia; appena l'asa non riesce più a raggiungere l'ip esterno definito la route viene temporaneamente rimossa...

puoi anche fare nat contemporaneo sulla seconda linea senza problemi (solo in ingresso ovviamente)

Inviato: gio 30 apr , 2009 2:46 pm
da Wizard
Si certo però così lavorano in attivo \ passivo le 2 linee sia chiaro!
Tutti gli orari sono UTC+01:00
Pagina 1 di 1

Creato da phpBB® Forum Software © phpBB Limited

Traduzione Italiana phpBB-Store.it