Newsgroup: it.comp.reti.cisco
Titolo: PIX

Ho configurato un PIX con DMZ :
PIX Version 6.3(2)
interface ethernet0 auto
interface ethernet1 auto
interface ethernet2 auto
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pixfirewall
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
access-list acl_out permit tcp any host 217.a.b.98 eq www
access-list acl_out permit tcp any host 217.a.b.98 eq https
access-list acl_out permit tcp any host 217.a.b.99 eq www
access-list acl_out permit tcp any host 217.a.b.99 eq https
access-list acl_out permit tcp any host 217.a.b.100 eq www
access-list acl_out permit tcp any host 217.a.b.100 eq https
access-list acl_out permit tcp any host 217.a.b.98 eq domain
access-list acl_out permit udp any host 217.a.b.98 eq domain
access-list acl_out permit icmp any any
pager lines 18
logging buffered debugging
mtu outside 1500
mtu inside 1500
mtu dmz 1500
ip address outside 217.a.b.126 255.255.255.224
ip address inside 172.16.32.14 255.255.255.240
ip address dmz 192.168.b.97 255.255.255.224
ip audit info action alarm
ip audit attack action alarm
pdm history enable
arp timeout 14400
global (outside) 1 217.a.b.124-217.a.b.125 netmask 255.255.255.224
global (outside) 1 217.a.b.123 netmask 255.255.255.224
global (dmz) 1 192.168.b.98-192.168.b.122 netmask 255.255.255.224
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
nat (dmz) 1 0.0.0.0 0.0.0.0 0 0
static (dmz,outside) 217.a.b.98 192.168.b.98 netmask 255.255.255.255 0 0
static (dmz,outside) 217.a.b.99 192.168.b.99 netmask 255.255.255.255 0 0
static (dmz,outside) 217.a.b.100 192.168.b.100 netmask 255.255.255.255 0 0
access-group acl_out in interface outside
route outside 0.0.0.0 0.0.0.0 217.a.b.97 1
timeout xlate 1:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225
1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
http server enable
http 172.16.32.2 255.255.255.255 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
telnet timeout 5
ssh timeout 5
console timeout 0
terminal width 80
Cryptochecksum:76746eb6aa351f86cfbe46f348ae24ac
: end
Ora, dal lato inside navigo senza alcun problema, mentre dal lato DMZ non
solo non navigo, ma dall'esterno non riesco a raggiungere i siti posizionati
in 217.a.b.98 , 217.a.b.99 e 217.a.b.100...
Dove ho combinato casino ?
Grazie.
Don

OK.. ti ringrazio dell'aiuto..
Proverò ad effettuare le modifiche e poi ti farò sapere.
Grazie

Niente da fare...
ho rifatto la configurazione per passi..
dopo aver impostato le solite
interface ethernet0 auto
interface ethernet1 auto
interface ethernet2 auto
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
ip address outside a.b.c.126 255.255.255.224
ip address inside 172.16.32.14 255.255.255.0
ip address dmz 192.168.24.126 255.255.255.0
route outside 0.0.0.0 0.0.0.0 a.b.c.97
ho aggiunto solo le static
static (dmz,outside) a.b.c.98 192.168.24.98 netmask 255.255.255.255 0 0
static (dmz,outside) a.b.c.99 192.168.24.99 netmask 255.255.255.255  0 0
static (dmz,outside) a.b.c.100 192.168.24.100 netmask 255.255.255.255  0 0
static (dmz,outside) a.b.c.101 192.168.24.101 netmask 255.255.255.255  0 0
static (dmz,outside) a.b.c.102 192.168.24.102 netmask 255.255.255.255  0 0
e le access list
access-list 101 permit tcp any host a.b.c.98 eq www
access-list 101 permit tcp any host a.b.c.98 eq https
access-list 101 permit tcp any host a.b.c.98 eq domain
access-list 101 permit udp any host a.b.c.98 eq domain
.... per tutti gli indirizzi inclusi nella static
e poi ovviament access-group 101 in interface outside
risultato.. non navigo dalla dmz e gli indirizzi a.b.c.98/a.b.c.102 non sono
visibili dall'esterno in nessun modo
aggiungo global (outside) 1 a.b.c.125 e nat (dmz) 1 192.168.24.0
255.255.255.0
risultato: non cambia nulla.
Se però tolgo la static 98 allora dalla dmz navigo ma dall'esterno sempre
nulla !
Come IOS ho seguito il tuo suggerimento usando la versione 6.3(1), nche se
ho notato che è disponibile la 6.3(3).
Ovviamente ho usato clear xlate e clear arp.. anzi ho anche fatto il
reload.. ma nulla cambia..
Che consiglimi dai ?
Ciao e grazie per l'aiuto
Don

Niente da fare...
ho rifatto la configurazione per passi..
dopo aver impostato le solite
interface ethernet0 auto
interface ethernet1 auto
interface ethernet2 auto
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50



Prima prova a vedere se la acl sull'outside viene matchata con il comando sh
access-list, il tutto ovviamente immediatamente dopo aver tentato di
accedere ad almeno un server in dmz.
Se no c'è qualche problema a monte (indirizzi sbagliati?), se si prova a
sostituire l'acl sull'outside con un "permit ip any any" e vedi come
risponde ai ping sia dall'interno che dall'esterno.
Ciao,
        Tosh.

Trovato l'arcano...
Il problema sta nella configurazione del router Telecon per HDSL..
Ho utilizzato un altro router, e dopo averlo configurato e connesso all'HDSL
e al PIX.. tutto si è messo a funzionare senza problemi...
Provo a fare un password recovery del routerTelecom.. e vediamo cosa hanno
messo di bello...
Ciao e grazie mille per l'aiuto !
Ciao.