Newsgroup: it.comp.reti.cisco
Titolo: Comandi PIX per aggiornare configurazione

Salve.
Devo configurare un PIX 506e.
Alla configurazione esistente (che ho, dumpata, in un file) dovrei
aggiungervi soltanto un comando e renderla "permanente".
Esiste una breve guida che spieghi come effettuare tale operazione?
Buona serata, m.

 Esiste una breve guida che spieghi come effettuare tale operazione?
http://www.cisco.com/en/US/docs/security/pix/pix62/quick/guide/506quick.html
-- 
Flavio Visentin
Ubuntu in Zulu significa "Non so usare Debian". (cit. CtRiX)

 Esiste una breve guida che spieghi come effettuare tale operazione?
Entra in configuration mode e inserisci il comando.
Poi, sempre in configurazione dai un "wr mem" e vivi felice
-- 
"Never underestimate the bandwidth of a station wagon full of tapes
hurtling down the highway" - Andrew S. Tanenbaum
http://blog.mainardi.me
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"

 
http://www.cisco.com/en/US/docs/security/pix/pix62/quick/guide/506quick.html
L'avevo letta, ma non spiega alcunché sui comandi, ed il link alla
command reference sembra rotto, e comunque più che una command ref.
(quella dovrei averla già in pdf) vorrei leggere degli how-to con
introduzione e spiegazione dell'uso dei comandi...
Non so [le guide di] quali altri modelli siano "compatibili"...
So che la versione del firewall è la 6.3(4).
Qualcosa ho trovato, ma non è proprio granché...
Inoltre non ho spesso sottomano il firewall, quindi non posso
"giocherellare" quanto voglio con la shell... :-(
Ciao e grazie, m.

 Poi, sempre in configurazione dai un "wr mem" e vivi felice
Ma cosě il comando me lo inserisce in coda alla configurazione, no?
Se invece volessi aggiungere un comando in un certo punto?
Se modifico il dump della configurazione aggiungendo i comandi che mi
interessano, poi come faccio ad "importarlo"?
In passato ho visto un tizio che lavorava su un firewall Cisco: azzerava
la configurazione e ridigitava tutti i comandi uno per uno, per poi dare
un wr mem finale... Ma mi sembra strano debba funzionare cosě...
Grazie comunque per l'aiuto.
Buona serata, m.

 un wr mem finale... Ma mi sembra strano debba funzionare cosě...
No, non funziona cosě infatti.


 Ip, username e password oscurate) e dicendoci cosa vuoi ottenere.
Diciamo che un minimo d'infarinatura di networking ce l'ho, e che in
generale non sono proprio alle prime armi coi PC. Al momento uso telnet
dalla console: per importare/esportare file di testo, vedrò di usare
putty o altro software simile. Quel che m'interessava capire è se
bisogna "azzerare" la configurazione in qualche modo prima di ricopiarla
interamente e dare il comando di write memory...
Ciao e grazie!
m.


diciamo che l'import è un termine aleatorio...non esiste un vero e 
proprio import, tutt'al più il "dump" che tu hai corrisponde all'incirca 
ai comandi, ma se è vero che puoi sempre "estrarti" la configurazione 
non lo è altrettanto vero per il reinserimento.
un consiglio, vista la tua non conoscenza approfondita delle questioni 
riguardanti un pix, leggi il più possibile e sopratutto occhio sempre 
alle configurazioni...sii sempre sicuro prima di dare un "wr m", una 
configurazione sbagliata o una disattenzione possono sbatterti fuori 
dall'apparato, le modifiche sul pix di solito sono istantanee, se tu 
neghi con un acl l'accesso al pix alla tua rete, verrai immediatamente 
tagliato fuori, fortunatamente in questo caso basta riavviarlo e poichè 
non hai dato il comando di wr m il pix ripartirà senza quest'ultima regola

 un wr mem finale... Ma mi sembra strano debba funzionare così...
I casi son 3:
a) non sapeva come far notte
b) non sapeva cosa faceva
c) non sapeva cosa faceva e non sapeva come far notte
-- 
Non tocca a noi dominare tutte le maree del mondo,
il nostro compito è di fare il possibile per la
salvezza degli anni nei quali viviamo,
sradicando il male dai campi che conosciamo.

 c) non sapeva cosa faceva e non sapeva come far notte
Anzi, 4
d) non era sufficientemente intelligente da capire che
copiando l'intera configurazione (dato che è testuale)
in un editor di testo, inserendo il nuovo comando nel
editor e poi ricopiando l'intera configurazione avrebbe
avuto lo stesso effetto senza diventare cretino a ridigitare tutto.
Il copia/incolla, questo sconosciuto.


 avuto lo stesso effetto senza diventare cretino a ridigitare tutto.
Ma anche no.


 Ma anche no.
Perchč? Tu ogni volta riscrivi tutta la configurazione paro-paro
carattere per carattere?
-- 
Non tocca a noi dominare tutte le maree del mondo,
il nostro compito č di fare il possibile per la


 carattere per carattere?
No, aggiungo quel che mi serve all'esistente. Se copincolli l'intera
configurazione in certi casi puoi fare dei bei casini (
p.es
. con le
access-list) e se la macchina č in produzione ti assicuro che non č quello
che desideri.
Copia e incolla va bene solo se ragionato. Se proprio dovessi fare un
copincolla di tutta la conf farei piuttosto un copy tftp: running-config (o
come cavolo si scrive che non ricordo mai).


 come cavolo si scrive che non ricordo mai).
Allora stiamo parlando della stessa cosa.
Ma come avrai notato l'OP ha detto di aver visto un tizio riscrivere
tutti i comandi uno per uno e non solo modificando la configurazione
nelle parti interessate.
Piuttosto che scrivere tutti i comandi uno per uno, mi copio la config
(via tftp o via copia/incolla) e la modifico sul mio pc.
Comunque sia, non dovrebbe cambiare niente tra un
copy tftp: running-config
ed un
sh running-config e poi incollato copiato sul blocco note.
-- 
Non tocca a noi dominare tutte le maree del mondo,
il nostro compito è di fare il possibile per la


 non hai dato il comando di wr m il pix ripartirà senza quest'ultima regola
sì, generalmente sono sempre molto cauto su queste cose, dato che ci
sono un centinaio di postazioni che lavorano e bloccarle sarebbe un bel
casino :-)
grazie mille per la disponibilità e la chiarezza.
ciao, m.

 chiederò l'intervento di un esperto...
Nel PDM c'è anche un wizard se non ricordo male.


 Il copia/incolla, questo sconosciuto.
Il copia/incolla doveva esser fatto in una finestra ms-dos da windows
xp: non sono sicuro neanche io che sarebbe andato tutto bene.
A maggior ragione con le righe indentate degli object-group.
Mi auguro che quando riuscirò a "caricare" la configurazione da un file
di testo tramite un server tftp, il PIX riuscirà ad "interpretare" le
righe indentate correttamente, e cioè come facenti parte del relativo
object-group... Credo sia così, ma chiedo conferma...
Appena ho tempo scriverò degli articoli sul mio blog di quanto avrò
imparato :-)
Saluti, M.

 Nel PDM c'è anche un wizard se non ricordo male.
Il PDM è al momento inaccessibile: pare abbia bisogno di una certa (e
datata) versione di virtual machine e di una certa (e datata) versione
del browser, ma anche installando quelli indicati sul sito Cisco, dalle
prove che facemmo qualche tempo fa, non riusciva a partire.
Vedrò poi come eventualmente risolvere anche questo problema...
Grazie e buona giornata, M.

 prove che facemmo qualche tempo fa, non riusciva a partire.
Strano. Comunque penso che tutti quelli che hanno a che fare con i PIX
abbiano una vecchia macchina virtuale da parte per queste occasioni :-)


 abbiano una vecchia macchina virtuale da parte per queste occasioni :-)
L'idea è quella di preparare ed emulare con VMWare o simile un ambiente
adatto a far avviare PDM... Manca solo il tempo di farlo...
Ciao, m.


[cut]
Il "no" significa "cancella questo comando". In pratica la shell del PIX 
cerca ESATTAMENTE quella riga nella parte di configurazione che stai 
modificando e la cancella.
Ogni comando PIX ha il suo "no", altrimenti non si può modificare la 
configurazione.
Il PDM (almeno, quello del nostro PIX 501) è una mezza fetecchia (non lo 
uso più da almeno 4 anni). A parte funzionare al più con Java 1.4_07, se 
tu fai una serie di modifiche di cui una sbagliata (tipo cancellare una 
cosa che non si può cancellare), il PDM esegue tutte le istruzioni e le 
applica, senza fermarsi all'errore, lasciandoti una configurazione 
incompleta. Per fortuna la sua è una semplice "write terminal" per cui 
basta resettarlo (con sommo gaudio degli utenti).

 Saluti, M.
posso consigliarti una cosa? non farlo...non ho mai avuto occasione o 
modo di dover ricaricare in questo modo tutto.
anche in casi nei quali ho dovuto riconfigurare tutto un pix da capo ho 
sempre preferito fare tutto a manina avendo il dump aperto e 
copia/incollando a mano riga per riga o al massimo una decina insieme, 
ma sempre rispondenti ad un gruppo di comandi "eterogeneo" (ossia 10 acl 
insieme, ma non una acl e una static)
se poi capitasse proprio il caso di dover ripristinare così ti consiglio 
di prendere il dump e pulirlo manualmente per essere sicuro che segua 
l'ordine corretto e la logica del pix
alternativamente puoi usare il cisco packet tracer o il programma gns3 
che consentono di realizzare un'infrastruttura (limitata) virtuale sul 
quale puoi provare o cercare di clonare quella reale esistente


veramente tutti quelli che conosco io ripudiano e odiano profondamente 
il pdm come l'asdm (per gli asa), a mio giudizio č un vero 
cesso...l'unica cosa per la quale l'ho usato (perň ero su un router 
2810) era per controllare lo stato del tunnel vpn...in quel caso:
un pallino verde vale piů di mille "show [something]"

 come l'asdm (per gli asa), a mio giudizio è un vero cesso...
Personalmente le versioni di asdm >= 6 le reputo decisamente ottime.
L'ultimo asa che ho installato l'ho configurato praticamente tutto da
interfaccia ed è uscito un lavoro molto pulito. Certamente l'interpretazione
delle regole da cli diventa decisamente più complessa, ma se su una stessa
macchina ci devono lavorare più persone con skill non omogenei l'ASDM è una
manna dal cielo.
E tutti gli infiniti problemi che aveva PDM sono spariti. :-)


 software "prestato" al networking. 
ad ognuno il suo mestiere, le vacche a chi le sa tenere!

 [CUT]
Sicuro? Stavo leggendo del pdm, che non ho mai avuto il piacere di provare, 
proprio questa mattina e nel manuale c'era scritto che se trovava qualche 
istruzione che non era in grado di gestire entrava in modalita' monitor e 
non permetteva la gestione della configurazione, non che la ignorava.
-- 
 ************** (.)_(.)  **************
 Un amico č uno che sa tutto di te e,
 nonostante questo, gli piaci
(E. Hobbard)
http://www.youtube.com/user/Nameci65
 

 non permetteva la gestione della configurazione, non che la ignorava.
Premetto che non uso Pix tutti i giorni dato che sono solo un paio d'anni
che metto mano un po' più frequentemente a macchien cisco e per mia fortuna
Pix in gestione ne sono rimasti pochi.
Se nel manuale c'è scritto così sono confidente che sia corretto.
In ogni caso ricordo molto bene le bestemmie di un collega dovute a casini
fatti dal PDM quando s'è "rimangiato" una configurazione modificata a mano;
sinceramente non so se le regole fossero state ignorate o male interpretate
o qualsiasi altra cosa, ma certamente l'indice di incazzatura del collega
era di diverse imprecazioni al minuto e da allora è stata creata la lista
dei clienti PDM; su quei PIX tutte le modifiche significative devono esser
fatte da interfaccia Web e da quel momento problemi non ce ne sono più stati
(poi se bisogna solo modificare un semplice acl anche la CLI non da nessun
problema ed è certamente più veloce dell'arcaico PDM).
