Prima configurazione ASA 5510

[mulasso]

Ciao ragazzi, mi sto accingendo a migrare da un pix501 ad un ASA 5510, ho una linea fastweb con un router 1841 di loro gestione, su questo apparato loro ha nattato con un loro indirizzo che è 192.168.1.1 su rete outside.
Da una mia infarinatura ho provato a buttare giù una prima configurazione:
ASA Version 8.2(5)
!
hostname xxxxx
domain-name xxxxx
enable password xxxx encrypted
passwd xxx encrypted
no names
!
interface Ethernet0/0
switchport access vlan 2
!
interface Ethernet0/1
!
interface Ethernet0/2
switchport access vlan 2
!
interface Ethernet0/3
shutdown
!
interface Ethernet0/4
shutdown
!
interface Ethernet0/5
shutdown
!
interface Ethernet0/6
shutdown
!
interface Ethernet0/7
shutdown
!
interface Vlan1
nameif inside
security-level 100
ip address 192.168.2.0 255.255.255.0 (LAN PRIVATA)
!
interface Vlan2
nameif outside
security-level 0
ip address 192.168.1.1 255.255.255.0 (PUBBLICA INDIRIZZO DATO DA FASTWEB CHE HA MESSO IL NAT SUL LORO ROUTER)
!

ftp mode passive
dns server-group DefaultDNS
domain-name xxx
same-security-traffic permit inter-interface
access-list acl_out extended permit icmp any any
access-list acl_out extended permit tcp any host ip_pubblico eq 993
access-list acl_out extended permit tcp any host ip_pubblico eq smtp
access-list acl_out extended permit tcp any host ip_pubblico eq https
access-list acl_out extended permit tcp any host ip_privato eq https
access-list acl_out extended permit tcp any host ip_privato eq smtp
access-list acl_out extended permit udp any host secondo_ip_pubblico eq isakmp
access-list acl_out extended permit udp any host secondo_ip_pubblico eq 4500
access-list acl_out extended permit tcp any host secondo_ip_pubblico eq 10000
access-list acl_out extended permit udp any host terzo_ip_pubblico eq isakmp
access-list acl_out extended permit udp any host secondo_ip_pubblico eq 4500
access-list acl_out extended permit tcp any host secondo_ip_pubblico eq 10000
access-list acl_in extended permit ip 192.168.2.0 255.255.255.224 any
access-list acl_in extended permit ip host 192.168.2.83 any
access-list acl_secure extended permit ip any any
access-list acl_secure extended permit icmp any any
access-list acl_secure extended permit ip host 192.168.2.254 any
pager lines 24
mtu inside 1500
mtu outside 1500
mtu dmz 1500
mtu secure 1500
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list no_nat
nat (inside) 1 192.168.2.0 255.255.255.0
static (inside,outside) tcp ip_pubblico https 192.168.2.3 https netmask 255.255.255.255
static (inside,outside) tcp ip_pubblico smtp 192.168.2.3 smtp netmask 255.255.255.255
static (inside,outside) ip_pubblico 192.168.2.3 netmask 255.255.255.255
access-group acl_in in interface inside
access-group acl_out in interface outside
route outside 0.0.0.0 0.0.0.0 x.x.x.x 1
Vorrei un vostro parere, su questa configurazione dovrei aggiungere una vpn con il client cisco sul terzo ip_pubblico, mi date qualche suggerimento.
Grazie

[mulasso]

Niente di nuovo, qualche aiutino

[Rizio]

Per quel poco che ne posso sapere io la configurazione mi sembra fondamentalmente corretta e senza particolari inghippi, però le parti di security di un asa sono molto soggettive in base alla rete in cui lo inserisci e ai servizi che vuoi/devi dare all'esterno.

Riguardo alla parte VPN hai tante interfacce libere, ti basta sceglirne una su cui mettere l'indirizzo della vpn poi vai di politiche IKE e quant'altro. Trovi su internet (e su questo forum) centinaia di esempi in funzione di quello che devi fare, se cerchi avrai solo l'imbarazzo della scelta in base a che tu voglia una vpn lan2lan, un accesso clientless o con easyconnect, insomma devi solo scegliere dopo.

Se cerchi su questo forum nella sezione sicurezza e/o vpn vedrai che ci sono già tante altre config più o meno complete per le vpn.

Rizio