aiuto per ASA 5510

[medolake]

abbiate pietà non sono un esperto, sto sostituendo il mio pix 501 con un asa 5510, ho provato lo startup wizard via browser ma nisba, ora sto smanettando con la console, ho seguito l'esempio base dal sito cisco e ho creato la mia configurazione, dalla console collegato all'asa il ping su internet funziona, dalla rete locale non riesco ad uscire in internet, cosa manca?


ASA Version 8.0(3)6
!
hostname ciscoasa
names
!
interface Ethernet0/0
nameif outside
security-level 0
ip address 151.11.194.66 255.255.255.0
!
interface Ethernet0/1
nameif inside
security-level 100
ip address 172.20.0.5 255.255.0.0
!
interface Ethernet0/2
shutdown
no nameif
no security-level
no ip address
!
interface Ethernet0/3
shutdown
no nameif
no security-level
no ip address
!
interface Management0/0
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
management-only
!
ftp mode passive
pager lines 24
logging enable
logging asdm informational
mtu management 1500
mtu outside 1500
mtu inside 1500
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400
global (outside) 1 151.11.194.69-151.11.194.72 netmask 255.255.255.240
nat (inside) 1 0.0.0.0 0.0.0.0
route outside 0.0.0.0 0.0.0.0 151.11.194.65 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
dynamic-access-policy-record DfltAccessPolicy
http server enable
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 192.168.1.2-192.168.1.254 management
dhcpd enable management
!
threat-detection basic-threat
threat-detection statistics access-list
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
!
service-policy global_policy global
prompt hostname context
Cryptochecksum:edff8e63efafefc6aa13758361fdc6db
: end

[medolake]

scusate

il problema era nella mia rete, il dns non passava dall' ASA

[Wizard]

Ma perchè mettete le mani su questi apparati se nn ne sapete niente?!

Mancano le acl in uscita

[medolake]

Ma perchè mettete le mani su questi apparati se nn ne sapete niente?!

purtroppo non si è sempre nella situazione ideale di una grande azienda con l'esperto di reti, l'esperto di programmazione, l'esperto di windows e quello di linux

realtà piccole in cui per sopravvivere ci si ingegna, il mio mestiere è programmare ma mi tocca anche questo

scusate il disturbo

[xanio]

Purtroppo la realta è questa...il problema però e che ci si abbassa ad accettare tutto (avvolte anche per essere belli al capo), ma se ci si oppone, dicendo NON E' COMPITO MIO, NON NE SONO CAPACE E NON MI RIGUARDA, allora la cosa potrebbe cambiare.

Quando è toccato a me di mettere mano su qualcosa che non conoscevo, gli ho detto chiaramente (se la cosa era sistemistica / network ):

IO NON HO MAI USATO TALE APPARATO, CI VUOLE UN TECNICO ESPERTO, MA SE MI CI FATE "GIOCARE" e "STUDIARE" POSSO PROVARE, MA SENZA GARANZIA!

In questo modo, posso imparare, posso aumentare le mie conoscenze - esperienza ma senza responsabilità.

Se invece mi dicono di fare qualcosa che non mi compete, non mi interessa dico:

NON E' COMPITO MIO, NON MI INTERESSA E NON VOGLIO SPRECARE TEMPO A FARE QUALCOSA CHE NON RICOPRE LA MIA AREA.

Ripeto la cosa la vivo quotidianamente, inizialmente pensavo di fare cosa gradita all'azienda, ma poi scopri che il loro scopo e di sfruttarti per bene.

Ho iniziato a studiare per la CCNA e smanettare con apparati cisco reali mi fa cosa gradita, ma per le CONFIGURAZIONI SERIE, gli faccio chiamare il TECNICO SPECIALIZZATO! NON NE SONO CAPACE E NON MI PRENDO RESPONSABILITA' INUTILI!

CIao.

[Wizard]

Io dico che gli apparati Cisco sono appaati di networking di medio\alto livello e quindi complicati da gestire...
La config base di un firewall non è particolarmnete complicata però, mettiamo questa situazione:

Tra un mese pubblichi una macchina e 5 giorni dopo questa macchina viene bucata, il capo, ignorantemente a chi darà la colpa?! A te che gestisci la sicurezza tramite firewall e tu che fai...?

Non è una "critica" solo verso di te ma anche verso tanti altri che prendono ste cose troppo alla leggera...

Se a me dicono che che devo andare a configurare un router MPLS dico: NO!
Attualmente non sono competente e anche se riuscissi a farlo andare appena c'è un problema che faccio?!

Piuttosto che avere un firewall Cisco e saperlo usare al 5% meglio un firewall xyz (+ semplice) che lo sai usare al 90%...

[medolake]

perfettamente d'accordo con voi, non mi sognerei mai di installare o configurare io un firewall presso un cliente, ma nel nostro piccolo ufficio le esigenze sono poche, l'incarico del 'capo' è più una spinta a studiare e imparare più che la scelta di un capro espiatorio in caso di problemi

comunque mi azzardo a fare un'altra domanda sperando di non prendere un'altro cazziatone

premesso che il problema era a monte e quindi la configurazione base funzionava, ora ho attivato anche la vpn per il collegamento da casa, il non utilizzare le ACL a cui fai riferimento mi crea dei buchi di sicurezza?

da quel poco che ho capito le regole base attivate dicono che dalla rete interna verso le reti meno sicure il traffico è permesso, mentre dalla rete esterna il traffico è bloccato

[Wizard]

da quel poco che ho capito le regole base attivate dicono che dalla rete interna verso le reti meno sicure il traffico è permesso, mentre dalla rete esterna il traffico è bloccato

Si, il security level delle interfaccie gestisce questa cosa...

Le ACL io le metterei cmq anche solo per loggare...