Newsgroup: it.comp.reti.cisco
Titolo: vario problemini con PIX 506

Ciao a tutti, premetto che sono un neofita dei pix ed ho iniziato a
configurarli da poco. Ho acquistato da poco un PIX 506 e, dopo diversi
esperimenti ho configurato come meglio potevo il mio PIX in ufficio.
Rimangono alcuni problemi che non riesco a risolvere:
1- Quando accedo da casa con la mia VPN Cisco, riesco a navigare sono
attraverso il proxy e non come se fossi in ufficio (ne consegue che FTP e
altri programmi non funzionano bene)
2- Vorrei impedire agli utenti della mia rete di poter navigare senza proxy.
La macchina 192.168.1.254 (il proxy EUROPA) deve essere l'unica a poter
navigare. (a parte il pool degli utenti VPN del primo punto)
3- E' possibile impostare una route statica interna? I nostri uffici remoti
sono collegati tramite una VPN con la classe 192.168.32.0 mask 255.255.252.0
e il gateway locale č il 192.168.1.252. I client della rete non rescono ad
accedere a questa rete perchč hanno come default gateway il PIX, se invece
creo un route statica sul server ed imposto come default gateway sui client
il server, funziona correttamente (purtroppo non posso fare cosě per altri
problemi)
Posto la mia conf. (č forse un pň incasinata per via delle prove e delle
configurazioni tramite il PDM)
Grazie a chiunque voglia aiutarmi.
Ruben
ruben@fornito***nospam***.com
P.s. Sono anche ben accetti consigli sulla sicurezza della configurazione!
Building configuration...
: Saved
:
PIX Version 6.3(1)
interface ethernet0 auto
interface ethernet1 auto
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password cPlB2nEKPcL3MFxy encrypted
passwd cPlB2nEKPcL3MFxy encrypted
hostname pixfirewall
clock timezone CEST 1
clock summer-time CEDT recurring last Sun Mar 2:00 last Sun Oct 3:00
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol icmp error
fixup protocol ils 389
fixup protocol pptp 1723
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
names
name 10.0.0.1 INTERNET
name 192.168.1.1 AMERICA
name 192.168.1.15 ASIA
name 192.168.1.254 EUROPA
name 192.168.32.0 BESTUNION
object-group service EBCGROUP tcp
  port-object eq pop3
  port-object range 3389 3389
  port-object eq www
  port-object eq smtp
  port-object eq ftp
object-group service WEBASIA88 tcp
  port-object range 88 88
access-list inside_outbound_nat0_acl permit ip 192.168.1.0 255.255.255.0
192.168.100.0 255.255.255.192
access-list inside_outbound_nat0_acl permit ip BESTUNION 255.255.252.0
192.168.100.0 255.255.255.192
access-list outside_cryptomap_dyn_20 permit ip any 192.168.100.0
255.255.255.192
access-list outside_access_in permit tcp any interface outside object-group
EBCGROUP log
access-list outside_access_in permit tcp any interface outside object-group
WEBASIA88 log
access-list ebc_splitTunnelAcl permit ip 192.168.1.0 255.255.255.0 any
access-list ebc_splitTunnelAcl permit ip BESTUNION 255.255.252.0 any
access-list ebc_splitTunnelAcl_1 permit ip 192.168.1.0 255.255.255.0 any
access-list ebc_splitTunnelAcl_1 permit ip BESTUNION 255.255.252.0 any
access-list outside_cryptomap_dyn_40 permit ip any 192.168.100.0
255.255.255.192
pager lines 24
logging on
logging timestamp
logging trap warnings
logging host inside ASIA format emblem
mtu outside 1500
mtu inside 1500
ip address outside INTERNET 255.255.255.0
ip address inside 192.168.1.250 255.255.255.0
ip verify reverse-path interface outside
ip audit info action alarm
ip audit attack action alarm
ip local pool VPNPOOL 192.168.100.10-192.168.100.50
pdm location 192.168.1.0 255.255.255.0 inside
pdm location EUROPA 255.255.255.255 inside
pdm location AMERICA 255.255.255.255 inside
pdm location INTERNET 255.255.255.255 inside
pdm location INTERNET 255.255.255.255 outside
pdm location ASIA 255.255.255.255 inside
pdm location 192.168.1.10 255.255.255.255 inside
pdm location BESTUNION 255.255.252.0 inside
pdm location 192.168.1.13 255.255.255.255 inside
pdm logging warnings 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list inside_outbound_nat0_acl
nat (inside) 1 AMERICA 255.255.255.255 0 0
nat (inside) 1 192.168.1.10 255.255.255.255 0 0
nat (inside) 1 192.168.1.13 255.255.255.255 0 0
nat (inside) 1 ASIA 255.255.255.255 0 0
nat (inside) 1 EUROPA 255.255.255.255 0 0
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) tcp interface smtp EUROPA smtp netmask
255.255.255.255 0 0
static (inside,outside) tcp interface www EUROPA www netmask 255.255.255.255
0 0
static (inside,outside) tcp interface pop3 EUROPA pop3 netmask
255.255.255.255 0 0
static (inside,outside) tcp interface 3389 EUROPA 3389 netmask
255.255.255.255 0 0
static (inside,outside) tcp interface ftp EUROPA ftp netmask 255.255.255.255
0 0
static (inside,outside) tcp interface 88 ASIA 88 netmask 255.255.255.255 0 0
access-group outside_access_in in interface outside
route outside 0.0.0.0 0.0.0.0 10.0.0.254 1
route inside INTERNET 255.255.255.255 10.0.0.254 1
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225
1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
ntp server 193.204.114.232 source outside prefer
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac
crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac
crypto dynamic-map outside_dyn_map 20 match address outside_cryptomap_dyn_20
crypto dynamic-map outside_dyn_map 20 set transform-set ESP-3DES-MD5
crypto dynamic-map outside_dyn_map 40 match address outside_cryptomap_dyn_40
crypto dynamic-map outside_dyn_map 40 set transform-set ESP-DES-MD5
crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map
crypto map outside_map interface outside
isakmp enable outside
isakmp policy 20 authentication pre-share
isakmp policy 20 encryption 3des
isakmp policy 20 hash md5
isakmp policy 20 group 2
isakmp policy 20 lifetime 86400
isakmp policy 40 authentication pre-share
isakmp policy 40 encryption des
isakmp policy 40 hash md5
isakmp policy 40 group 2
isakmp policy 40 lifetime 86400
vpngroup ebc address-pool VPNPOOL
vpngroup ebc dns-server AMERICA
vpngroup ebc default-domain ebcgroup.lan
vpngroup ebc split-tunnel ebc_splitTunnelAcl_1
vpngroup ebc idle-time 1800
vpngroup ebc password ********
vpngroup casa address-pool VPNPOOL
vpngroup casa dns-server AMERICA
vpngroup casa idle-time 1800
vpngroup casa password ********
vpngroup ellysse address-pool VPNPOOL
vpngroup ellysse dns-server AMERICA
vpngroup ellysse idle-time 1800
vpngroup ellysse password ********
telnet 192.168.1.0 255.255.255.0 inside
telnet timeout 5
ssh timeout 5
management-access inside
console timeout 0
vpdn enable outside
terminal width 80
Cryptochecksum:e8bc9936db7f06a957ca1edd65a8c3d6
: end
[OK]


Non sono sicuro di aver capito la tua domanda, comunque il pix permette di
configurare route statiche mediante il comando (guardacaso) route, però
queste route funzionano solo per il traffico che attraversa il pix, il quale
non permette ai pacchetti di entrare da un'interfaccia ed uscire dalla
stessa interfaccia (è per lo stesso motivo che gli utenti vpn non riescono a
navigare tramite il pix).
Quindi se devi raggiungere una subnet locale devi impostare un gateway
diverso dal pix o utilizzare delle route statiche.
Ciao,
         Tosh.

 ha scritto nel messaggio
news:2ls076F...@uni-berlin.de...



Non so se sarebbe una buona soluzione dal punto di vista della sicurezza,
visto che perderesti la protezione del pix per il traffico verso la vpn,
certo questa soluzione risolverebbe il tuo problema del default gateway, in
questo caso potresti utilizzare il pix come default gateway ed indirizzare
lan2 con una statica sul pix (in questo caso il traffico attraverserebbe
sempre entranbe le interfacce, quindi sarebbe consentito).
Per quanto riguarda la config non è facile darti un consiglio su due piedi,
comincia a documentarti e a preparare qualcosa che poi vediamo di darti una
mano.
Ciao,
        Tosh.

ho visto che nella tua configurazione c'é anche la porta 3389 che dovrebbe
essere usata dall'assistenza rremota
ti funge? se si mi puoi dare lucidazioni per implementarla?

 ha scritto nel messaggio
news:cdg6sd$m14$1...@news.flashnet.it...


 ha scritto nel messaggio
news:xTNKc.87345$G%.61315@tornado.fastwebnet.it...


 ha scritto nel messaggio
news:O6OKc.87372$G%.51534@tornado.fastwebnet.it...


 ha scritto nel messaggio
news:cdge6v$o5e$1...@news.flashnet.it...


non è che mi dici come lo hai implementato e come lo usi?

 ha scritto nel messaggio
news:cdiggc$8lc$1...@news.flashnet.it...


Ti sei spiegato bene e forse ho capito un pň anch'io
Devo avere per forza dei IP pubblici statici? deve essere piů di un IP? se
ho un router prima del firewall come ci si comporta?
se riesci a rispondere mi fai un immenso piacere, ho delle notizioni ma come
vedi sono molto vaghe se non addirittura inesistenti

 Devo avere per forza dei IP pubblici statici? deve essere più di un IP? se
