cisco Asa 5510 doppia adsl

[onlyforangels1977]

Salve a tutti, è da molto che non scrivo, dopo tanto lavoro su altre piattaforme, la settimana scorsa mi sono trovato a configurare un cisco asa 5510

Sono riuscito a configurarlo riesco a navigare sia dalla dmz che dalla lan senza che le due reti si vedo, mi funziona anche il forward su un host web di prova. Il mio problema è il seguente, visto che ho due adsl vorrei far uscire la lan con la prima e la dmz con la seconda, è possibile tutto cio ho anche l'esigenza di fare la ridondanza con lo stesso modello. Vi posto la mia configurazione di base:

Result of the command: "show startup-config"

: Saved
: Written by enable_15 at 08:17:43.253 UTC Thu Mar 19 2009
!
ASA Version 7.0(8)
!
hostname ciscoasa
domain-name default.domain.invalid
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
names
dns-guard
!
interface Ethernet0/0
nameif outside
security-level 0
ip address 1.x.x.99 255.255.255.248
!
interface Ethernet0/1
nameif inside
security-level 1
ip address 192.168.200.1 255.255.255.0
!
interface Ethernet0/2
nameif dmz
security-level 50
ip address 172.16.31.1 255.255.255.0
!
interface Ethernet0/3
shutdown
no nameif
no security-level
no ip address
!
interface Management0/0
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
management-only
!
ftp mode passive
same-security-traffic permit inter-interface
object-group service portawebmin tcp
description porta webmin
port-object range 10000 10000
access-list outside_access_in extended permit tcp any host 1.x.x.99 eq www
access-list outside_access_in extended permit tcp any host 1.x.x.99 object-group portawebmin
access-list outside_access_in extended permit tcp any host 1.x.x.99 eq https
pager lines 24
logging asdm informational
mtu outside 1500
mtu inside 1500
mtu dmz 1500
mtu management 1500
no failover
monitor-interface outside
monitor-interface inside
monitor-interface dmz
monitor-interface management
asdm image disk0:/asdm-508.bin
asdm location 172.16.31.100 255.255.255.255 dmz
asdm location 172.16.31.101 255.255.255.255 dmz
no asdm history enable
arp timeout 14400
global (outside) 10 interface
nat (inside) 10 0.0.0.0 0.0.0.0
nat (dmz) 10 0.0.0.0 0.0.0.0
static (dmz,outside) tcp 1.x.x.99 www 172.16.31.100 www netmask 255.255.255.255
static (dmz,outside) tcp 1.x.x.99 10000 172.16.31.100 10000 netmask 255.255.255.255
static (dmz,outside) tcp 1.x.x.99 https 172.16.31.100 https netmask 255.255.255.255
access-group outside_access_in in interface outside
route outside 0.0.0.0 0.0.0.0 1.x.x.97 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00
timeout mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
http server enable
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 192.168.200.2-192.168.200.254 inside
dhcpd dns 151.99.0.100 151.99.125.3
dhcpd lease 3600
dhcpd ping_timeout 50
dhcpd enable inside
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map global_policy
class inspection_default
inspect dns maximum-length 512
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
!
service-policy global_policy global
Cryptochecksum:1ed18063c0b7a376d923d3d77e543772


In questo caso vorrei che la interface Ethernet0/3 avrebbe un indirizzo pubblico della seconda adsl del tipo 2.x.x.99
ho prova5o a rinattare la lan con l'eventuale route ouside
route outside 0.0.0.0 0.0.0.0 2.x.x.97 2 ma non riesco a farla funzionare.

Mi date qualche consiglio in merito.

Grazi e a presto

[Wizard]

avere 2 int outside e fare uscire una rete da una e una altra dalla altra si può e nn è molto difficile.

Direi che è impossibile nel tuo caso fare un vero bilanciamento...

[onlyforangels1977]

avere 2 int outside e fare uscire una rete da una e una altra dalla altra si può e nn è molto difficile.

Direi che è impossibile nel tuo caso fare un vero bilanciamento...

più che bilanciare, ho solo la necessità di dedicare un adsl esclusivamente per internet ed un'altra per servizi web e posta.

Mi serve sapere appunto come gestire le route outiside e il nat. Grazie in anticipo

[Wizard]

Mi serve sapere appunto come gestire le route outiside e il nat

Il nat è facile:

pat verso un ip della outside 1
nat statici sugli ip della outside 2 x i server web e posta

Il problema grosso è il routing poichè gli asa che io sappia nn supportano ancora il source routing (route map)

[onlyforangels1977]

Mi serve sapere appunto come gestire le route outiside e il nat

Il nat è facile:

pat verso un ip della outside 1
nat statici sugli ip della outside 2 x i server web e posta

Il problema grosso è il routing poichè gli asa che io sappia nn supportano ancora il source routing (route map)

Ho provato questo tipo di configurazione, il firewall mi permette di inserire la metrica sulle route, ma non riesco a farle funzionare contemporaneamente, o meglio funzionano solo se stacco la prima e viceversa. Mi è stato difficile anche reperire la documentazione per capire se effettivamente gli asa supportano questo tipo di funzione.

in ogni caso ti posto la nuova configurazione, mi farebbe piacere che tu ci dessi un' occhiata. Grz in anticipo

Result of the command: "show startup-config"

: Saved
: Written by enable_15 at 06:16:52.756 UTC Mon Mar 23 2009
!
ASA Version 7.0(8)
!
hostname ciscoasa
domain-name default.domain.invalid
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
names
dns-guard
!
interface Ethernet0/0
nameif telecom
security-level 0
ip address x.x.x.99 255.255.255.248
!
interface Ethernet0/1
nameif Lan
security-level 1
ip address 192.168.200.1 255.255.255.0
!
interface Ethernet0/2
nameif dmz
security-level 50
ip address 172.16.31.1 255.255.255.0
!
interface Ethernet0/3
nameif fastweb
security-level 0
ip address 10.10.10.142 255.255.255.0
!
interface Management0/0
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
management-only
!
ftp mode passive
same-security-traffic permit inter-interface
object-group service portawebmin tcp
description porta webmin
port-object range 10000 10000
access-list outside_access_in extended permit tcp any host x.x.x.99 eq www
access-list outside_access_in extended permit tcp any host x.x.x.101 object-group portawebmin
access-list outside_access_in extended permit tcp any host x.x.x.101 eq https
access-list inside_access_in extended permit ip any any
access-list dmz_access_in extended permit ip any any
access-list management_access_in extended permit ip any any
pager lines 24
logging asdm informational
mtu telecom 1500
mtu Lan 1500
mtu dmz 1500
mtu fastweb 1500
mtu management 1500
no failover
monitor-interface telecom
monitor-interface Lan
monitor-interface dmz
monitor-interface fastweb
monitor-interface management
asdm image disk0:/asdm-508.bin
asdm location 172.16.31.100 255.255.255.255 dmz
asdm location 172.16.31.101 255.255.255.255 dmz
no asdm history enable
arp timeout 14400
global (telecom) 10 interface
global (fastweb) 11 interface
nat (Lan) 11 0.0.0.0 0.0.0.0
nat (dmz) 10 0.0.0.0 0.0.0.0
static (dmz,telecom) tcp interface www 172.16.31.100 www netmask 255.255.255.255
static (dmz,telecom) tcp x.x.x.101 10000 172.16.31.101 10000 netmask 255.255.255.255
static (dmz,telecom) tcp x.x.x.101 https 172.16.31.101 https netmask 255.255.255.255
static (Lan,dmz) 192.168.200.0 192.168.200.0 netmask 255.255.255.0
static (dmz,Lan) 172.16.31.0 172.16.31.0 netmask 255.255.255.0
access-group outside_access_in in interface telecom
access-group inside_access_in in interface Lan
access-group dmz_access_in in interface dmz
route telecom 0.0.0.0 0.0.0.0 x.x.x.97 1
route fastweb 0.0.0.0 0.0.0.0 10.10.10.1 2
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00
timeout mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
http server enable
http 192.168.200.0 255.255.255.0 Lan
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 192.168.200.2-192.168.200.254 Lan
dhcpd address 192.168.1.2-192.168.1.254 management
dhcpd dns 151.99.0.100 151.99.125.3
dhcpd lease 3600
dhcpd ping_timeout 50
dhcpd enable Lan
dhcpd enable management
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map global_policy
class inspection_default
inspect dns maximum-length 512
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
!
service-policy global_policy global
Cryptochecksum:ad82da22cca7447625433cae176fe99b

Con questa configuraizone la lan esce su internet con fastweb solo se stacco il cavo adsl di telecom.

[Wizard]

route telecom 0.0.0.0 0.0.0.0 x.x.x.97 1
route fastweb 0.0.0.0 0.0.0.0 10.10.10.1 2

In questo modo la linea fastweb si attiva solo se la int fisica telecom cade quindi nn è un gran metodo per bilanciare.

Se vuoi fare un vero backup tenendo 2 linee in attivo \ passivo gli ASA supportano object tracking

[onlyforangels1977]

route telecom 0.0.0.0 0.0.0.0 x.x.x.97 1
route fastweb 0.0.0.0 0.0.0.0 10.10.10.1 2

In questo modo la linea fastweb si attiva solo se la int fisica telecom cade quindi nn è un gran metodo per bilanciare.

Se vuoi fare un vero backup tenendo 2 linee in attivo \ passivo gli ASA supportano object tracking

Il mio scopo non era il backup... volevo solo dividere il traffico della lan da quello della dmz... utilizzando quindi la doppia adsl, ma non ho capito ancora se gli asa mi permetto di fare questa cosa...

[Wizard]

ma non ho capito ancora se gli asa mi permetto di fare questa cosa...

Da quello che so io no

[onlyforangels1977]

ma non ho capito ancora se gli asa mi permetto di fare questa cosa...

Da quello che so io no

ummm costa tanti solidi... in ogni caso grazie per i preziosi consigli

[risk]

Scusate l'intromissione ma mi piacerebbe sapere se l'asa 5505, mi riferisco a
quello con codice d'acquisto asa550550bun-k9, supporta object tracking.
Più precisamente, mi sembra che possa usare solo due interfaccie contemporaneamente e completamente. Dico giusto ?
Se volessi impostare due route, tramite object tracking, in uscita come dovrei fare ?

Help, please.

Grazie

[Wizard]

Più precisamente, mi sembra che possa usare solo due interfaccie contemporaneamente e completamente. Dico giusto ?

Con la ios base si ma x i 5505 esiste la licenza plus

[risk]

Grazie mille per la gentile risposta.

[gabry]

Codice: Seleziona tutto

route outside1 0.0.0.0 0.0.0.0 $GW1 1 track 1
route outside2 0.0.0.0 0.0.0.0 $GW2 254

sla monitor 1
 type echo protocol ipIcmpEcho $IPESTERNODAPINGARE interface outside1
 num-packets 2
 frequency 30
sla monitor schedule 1 life forever start-time now

track 1 rtr 1 reachability

con questo non c'è bisogno che cada fisicamente l'interfaccia; appena l'asa non riesce più a raggiungere l'ip esterno definito la route viene temporaneamente rimossa...

puoi anche fare nat contemporaneo sulla seconda linea senza problemi (solo in ingresso ovviamente)

[Wizard]

Si certo però così lavorano in attivo \ passivo le 2 linee sia chiaro!