CiscoForums.it

Inviato: **gio 19 apr , 2007 7:25 pm**

ho a disposizione 2 ip pubblici facenti parte di un pool di 8 ip forniti dalla telecom.
vorrei configurare in modo ke i miei server con indirizzi privati (interfaccia InSide=192.168.1.1 uno dei miei serv=192.168.1.100) rispondessero alle rikieste (www, smtp, ftp) inviate all'indirizzo pubblico 85.x.x.44.
IP OutSide=85.x.x.46.
Ho abbozzato questa configurazione ma nn mi funziona

Codice: Seleziona tutto

pixfirewall# sh run                   
: Saved       
: 
PIX Version 6.3(5)                  
interface ethernet0 auto                        
interface ethernet1 100full                           
nameif ethernet0 outside secu                            
nameif ethernet1 inside security100                                   
enable password 8Ry2YjIyt7RRXU24 encrypted                                          
passwd 2KFQnbNIdI.2KYOU encrypted                                 
hostname pixfirewall                    
domain-name ciscopix.com                        
fixup protocol dns maximum-length 512                                     
fixup protocol ftp 21                     
fixup protocol h323 h225 1720                             
fixup protocol h323 ras 1718-1719                                 
fixup protocol http 80                      
fixup protocol rsh 514                      
fixup protocol rtsp 554                       
fixup protocol sip 5060                       
fixup protocol sip udp 5060                           
fixup protocol skinny 2000                          
fixup protocol smtp 25                      
fixup protocol sqlnet 1521                          
fixup protocol tftp 69                      
names     
name 192.168.5.0 Tor                        
name 192.168.2.0 se                      
access-list inside_outbound_nat0_acl permit ip 192.168.1.0 255.255.255.0 se                                                                             
255.255.255.0             
access-list outside_cryptomap_20 permit ip 192.168.1.0 255.255.255.0 se 255.                                                                                
255.255.0         
pager lines 24              
mtu outside 1500                
mtu inside 1500               
ip address outside 85.x.x.46 255.255.255.248                                               
ip address inside 192.168.1.1 255.255.255.0                                           
ip audit info action alarm                          
ip audit attack action alarm                            
pdm location 85.x.x.40 255.255.255.248 outside                                                 
pdm location Tor 255.255.255.0                                     
pdm location 85.x.x.40 255.255.255.255 outside                                                 
pdm location 192.168.1.100 255.255.255.255 inside                                                 
pdm location se 255.255.255.0 outside                                         
pdm location 85.x.x.44 255.255.255.255 outside                                                 
pdm logging informational 100                             
pdm history enable                  
arp timeout 14400                 
global (outside) 1 interface                            
global (inside) 2 192.168.1.100                               
nat (inside) 0 access-list inside_outbound_nat0_acl                                                   
nat (inside) 1 0.0.0.0 0.0.0.0 0 0                                  
static (outside,inside) tcp 192.168.1.100 www 85.x.x.44 www netmask 255.255.255.255 0 0          
route outside 0.0.0.0 0.0.0.0 85.x.x.41 1                                            
timeout xlate 0:05:00                     
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00                                                                             
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00                                                               
timeout sip-disconnect 0:02:00 sip-invite 0:03:00                                                 
timeout uauth 0:05:00 absolute                              
aaa-server TACACS+ protocol tacacs+                                   
aaa-server TACACS+ max-failed-attempts 3                                        
aaa-server TACACS+ deadtime 10                              
aaa-server RADIUS protocol radius                                 
aaa-server RADIUS max-failed-attempts 3                                       
aaa-server RADIUS deadtime 10                             
aaa-server LOCAL               
http server enable                  
http 192.168.1.0 255.255.255.0 inside                                     
no snmp-server location                       
no snmp-server contact                      
snmp-server community public                            
no snmp-server enable traps                           
floodguard enable                 
sysopt connection permit-ipsec                              
crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac                                                             
crypto map outside_map 20 ipsec-isakmp                                      
crypto map outside_map 20 match address outside_cryptomap_20                                                            
crypto map outside_map 20 set peer 85.x.x.42                                               
crypto map outside_map 20 set transform-set ESP-3DES-MD5                                                        
crypto map outside_map interface outside                                        
crypto map outside_map interface outside                                        
isakmp key ******** address 85.x.x.42 netmask 255.255.255.255 no-xauth no-con
fig-mode
isakmp policy 20 authentication pre-share
isakmp policy 20 encryption 3des
isakmp policy 20 hash md5
isakmp policy 20 group 2
isakmp policy 20 lifetime 86400
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 192.168.1.2-192.168.1.254 inside
dhcpd dns 151.99.125.1 151.99.0.100
dhcpd lease 1048575
dhcpd ping_timeout 750
dhcpd auto_config outside
dhcpd enable inside
terminal width 80

Ho anke una VPN funzionante

Inviato: **ven 20 apr , 2007 9:04 am**

Beh, dalla config si vede che tu pubblici la porta 80 di un server:

static (outside,inside) tcp 192.168.1.100 www 85.x.x.44 www netmask 255.255.255.255 0 0

Questa regola funziona?
Devi crearne n per ogni regola di nat.
Ricordati di configurare anche le acl.

Inviato: **sab 21 apr , 2007 1:17 pm**

il mio dilemma e ke il server nn risponde con l'indirizzo pubblico 85.x.x.44.
da notare ke all'interfaccia outside del pix ho assegnato 85.x.x.46.
il pix l'ho configurato da interfaccia nn essendo esperto.

Inviato: **sab 21 apr , 2007 3:11 pm**

Puo' essere che manca l'access list per permettere l'accesso in ingresso?

una cosa del tipo:

access-list xxxxx permit ip any host 85.x.x.44 eq www

'ao
Guercio

Inviato: **mer 02 mag , 2007 10:25 am**

p1ut0 ha scritto:il mio dilemma e ke il server nn risponde con l'indirizzo pubblico 85.x.x.44.
da notare ke all'interfaccia outside del pix ho assegnato 85.x.x.46.
il pix l'ho configurato da interfaccia nn essendo esperto.

Hmhm.. ma l'outside del pix 501 non dovrebbe essere collegata ad una eth di un router che ha un indirizzo privato ? E se cosi fosse, non andrebbero utilizzati indirizzi privati ? Ovviamente e' una domanda rivolta agli esperti :)

Inviato: **mer 02 mag , 2007 11:12 am**

Solo se tu non hai più ip pubblici disponibili devi creare una rete privata tra il pix e il router (devi fare doppio nat e company).
Se hai almeno 2 ip pubblici disponibili si imposta un ip pubblico sulla outside del pix e si mette come gw del pix l'ip della eth del router (pubblico); sul router va ovviamente disabilitato il nat infatti in questo caso fa da "modem".

Inviato: **mer 02 mag , 2007 11:31 am**

Wizard ha scritto:sul router va ovviamente disabilitato il nat infatti in questo caso fa da "modem".

Questo per evitare che a seguito di transazioni verso l'esterno da parte di altri pc della interna, il router natti gli stessi ip pubblici utilizzati per i server ?

Inviato: **lun 07 mag , 2007 7:43 pm**

p1ut0, configura l'access-list per il traffico entrante, e ricordati di associarla all'interfaccia outside, così facendo dovresti accedere al tuo web server....

access-list outside permit tcp any host 85.x.x.44 eq www
access-group outside in interface outside

Buon lavoro...

CiscoForums.it

pix 501 può gestire virtual server?

pix 501 può gestire virtual server?

... Access-list