CiscoForums.it

Ciao, a tutti,

sono nuovo del forum e anche dell'affascinante mondo della Cisco...

ho un grosso problema, e ringrazio in anticipo chi vorrà aiutarmi...

devo riconfigurare un router 2621 per poter bypassare l'uso del firewall Cisco montato sulla lan, ora tolto perché bruciato e in riparazione. Il tutto per poter riattivare il servizio ftp server su porta 21. Premetto che, attualmente, anche provando varie stringhe del tipo "ip nat service list 10 ftp tcp port 21, non sono riuscito ad ottenere i risultati sperati, le porte (21, 23 ecc.) risultano tutte quante in modalità "stealth".
Vi pregherei di dare un'occhiata alla mia configurazione e di dirmi se è possibile ovviare la carenza del firewall inserendo delle ACL apposite, e/o modificando la configurazione originale, oppure utilizzando un altro stratagemma tipo firewall linux per ovviare alla mancanza del firewall originale.

configurazione originale del router (prima di smanettare)

Current configuration:
!
version 12.0
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Agf
!
aaa new-model
aaa authentication ppp default local
enable password xxxxxx
!
username xxxx password 0 xxxxxxxx
!
!
!
!
memory-size iomem 25
clock timezone ITA 1
clock summer-time ITA recurring last Sun Mar 2:00 last Sun Oct 3:00
ip subnet-zero
no ip domain-lookup
!
!
!
!
interface Loopback0
ip address 81.112.191.193 255.255.255.248
no ip directed-broadcast
ip nat outside
!
interface FastEthernet0/0
ip address 192.168.11.200 255.255.255.0
ip access-group 130 in
no ip directed-broadcast
ip nat inside
duplex auto
speed auto
!
interface Serial0/0
no ip address
no ip directed-broadcast
encapsulation frame-relay
no ip mroute-cache
no fair-queue
!
interface Serial0/0.1 point-to-point
ip address 81.112.182.242 255.255.255.252
ip access-group 120 in
no ip directed-broadcast
ip nat outside
frame-relay interface-dlci 268 IETF
!
interface FastEthernet0/1
ip address 192.168.106.1 255.255.255.0
ip access-group 140 in
no ip directed-broadcast
ip nat inside
duplex auto
speed auto
!
ip nat inside source list 101 interface Loopback0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Serial0/0.1
no ip http server
!
access-list 101 permit ip any any
access-list 120 permit tcp any any established
access-list 120 permit udp any any gt 1023
access-list 120 permit icmp any any
access-list 120 deny ip any any
access-list 130 permit ip 192.168.11.0 0.0.0.255 host 192.168.106.10
access-list 130 deny ip 192.168.11.0 0.0.0.255 192.168.106.0 0.0.0.255
access-list 130 permit ip 192.168.11.0 0.0.0.255 any
access-list 130 permit icmp 192.168.11.0 0.0.0.255 any
access-list 140 permit ip host 192.168.106.10 192.168.11.0 0.0.0.255
access-list 140 deny ip 192.168.106.0 0.0.0.255 192.168.11.0 0.0.0.255
access-list 140 permit ip 192.168.106.0 0.0.0.255 any
access-list 140 permit icmp 192.168.106.0 0.0.0.255 any
!
line con 0
transport input none
line aux 0
line vty 0 4
password xxxxxxxx
transport preferred telnet
!
ntp clock-period 17180272
ntp server 130.149.17.21
time-range open-hours
periodic weekdays 7:30 to 19:00
periodic Saturday 7:30 to 13:00
!
end

grazie di nuovo!!!!!!

Da quanto vedo non capisco la configurazione della Loopback0, comunque tralasciando questo, per consentire l'accesso FTP dall'esterno verso un host interno devi aggiungere alla configurazione

ip nat inside source static tcp ip_interno 20 interface Serial0/0.1 20
ip nat inside source static tcp ip_interno 21 interface Serial0/0.1 21

così permetti l'accesso FTP, ma devi ancora modificare l'ACL 120 in:

access-list 120 permit tcp any any established
access-list 120 permit udp any any gt 1023
access-list 120 permit icmp any any
access-list 120 permit tcp any any eq 20
access-list 120 permit tcp any any eq 21
access-list 120 deny ip any any