Newsgroup: it.comp.reti.cisco
Titolo: PIX





Hai giá abilitato sia porta 20 che la porta 21 
(ftp e ftp-data) ??



Hai giá abilitato sia porta 20 che la porta 21 (ftp e ftp-data) ??
Sul sito di cisco ho trovato un documento che "consigliava"
di provare anche con "fixup protocol ftp strict 20-21"
ma non ha funzionato.....
invece dall'esterno del pix riesco a fare ftp verso l'interno,
ovvero il 130 finale contattato dall'esterno del pix mi fa
usare www, mail e ftp
mentre con il 140 finale (un notebook x fare delle prove
dall'interno verso l'esterno) non riesco a connettermi con ftp 
a un qualsiasi host esterno al pix
messaggio dal log quando tento di uscire in ftp:
Oct 26 12:51:14 195.191.96.129 Oct 26 2000 12:44:33: %PIX-2-106001:
Inbound TCP connection denied from 
192.168.0.54/3802
 to
192.168.0.140/113
 flags SYN  on interface outside
al momento la conf e' messa cosi se vuoi vederla tutta fammi sapere
<snip>
fixup protocol http 80
fixup protocol smtp 25
fixup protocol ftp 21
nat (inside) 0 192.168.0.128 255.255.255.192 0 0
static (inside,outside) 192.168.0.130 192.168.0.130 netmask
255.255.255.255 0 0
static (inside,outside) 192.168.0.140 192.168.0.140 netmask
255.255.255.255 0 0
conduit permit tcp host 192.168.0.130 eq www any 
conduit permit tcp host 192.168.0.130 eq smtp any 
conduit permit tcp host 192.168.0.130 eq pop3 any 
conduit permit tcp host 192.168.0.130 eq ftp any
service resetinbound
<snip>
Ivan

 conduit permit tcp host 192.168.0.130 eq ftp any
ma della porta ftp-data (20) nun diciamo nulla?
un mayhem lokid rulez ;P
--
cosa bisogna scrivere in questo riquadro?

ma della porta ftp-data (20) nun diciamo nulla?
in effetti non mi ero accorto di non poter fare upload sul 130... :-)
allego la nuova conf ritoccata, cmq il problema e' che dal 140
non riesco ad uscire in ftp, sotto la conf ci sono i log 
dal 140 provo a fare ftp sul 54 ma la sua risposta mi viene
bloccata......
fixup protocol ftp 20
fixup protocol ftp 21
static (inside,outside) 192.168.0.130 192.168.0.130 netmask
255.255.255.255 0 0
static (inside,outside) 192.168.0.140 192.168.0.140 netmask
255.255.255.255 0 0
conduit permit tcp host 192.168.0.130 eq www any 
conduit permit tcp host 192.168.0.130 eq smtp 192.168.0.0
255.255.255.128 
conduit permit tcp host 192.168.0.130 eq pop3 any 
conduit permit tcp host 192.168.0.130 range ftp-data ftp 192.168.0.0
255.255.255.128 
conduit permit tcp host 192.168.0.140 range ftp-data ftp any 
Oct 28 13:37:07 192.168.0.129 Oct 28 2000 12:27:04: %PIX-2-106001:
Inbound TCP connection denied from 
192.168.0.54/1078
 to
192.168.0.140/113
 flags SYN  on interface outside 
Oct 28 13:40:51 192.168.0.129 Oct 28 2000 12:30:49: %PIX-6-302002:
Teardown TCP connection 104446 faddr 
192.168.0.54/21
 gaddr
192.168.0.140/1036
 laddr 
192.168.0.140/1036
 duration 0:14:22 bytes 0
(FIN Timeout) 
Oct 28 13:42:45 192.168.0.129 Oct 28 2000 12:32:42: %PIX-6-302002:
Teardown TCP connection 104488 faddr 
192.168.0.54/21
 gaddr
192.168.0.140/1037
 laddr 
192.168.0.140/1037
 duration 0:13:00 bytes 0
(FIN Timeout) 

 
192.168.0.140/113
 flags SYN  on interface outside
Il log e' molto chiaro: la colpa e' del tuo "server FTP" che
intendi contattare, ovvero 192.168.0.54 che attua una verifica
dell'utente tramite protocollo AUTH (113/TCP), il classico identd.
Essendo fallita questa, il tuo server nega la connessione.
Riconfigura il server, oppure inserisci una
"conduit permit tcp any eq 113 any" che dovrebbe risolverti il
problema per il tuo client specifico (.140). Per gli altri, nel
caso dovresti ridefinire le static.
--
 Alberto                 
albe...@my-deja.com
"The whole problem with the world is that fools
and fanatics are always so certain of themselves,
but wiser people so full of doubts." (B. Russell)
Sent via Deja.com 
http://www.deja.com/
Before you buy.

caso dovresti ridefinire le static.
ho provato ad inserire il conduit, ma non funziona,
dal log ho questi messaggi:
Oct 29 13:48:25 192.168.0.129 Oct 29 2000 14:41:31: %PIX-6-302001:
Built outbound TCP connection 104972 for faddr 
192.168.0.54/21
 gaddr
192.168.0.140/1028
 laddr 
192.168.0.140/1028
Oct 29 13:48:25 192.168.0.129 Oct 29 2000 14:41:34: %PIX-6-302001:
Built inbound TCP connection 104974 for faddr 
192.168.0.54/1089
 gaddr
192.168.0.140/113
 laddr 
192.168.0.140/113
Oct 29 13:48:25 192.168.0.129 Oct 29 2000 14:41:34: %PIX-6-302002:
Teardown TCP connection 104974 faddr 
192.168.0.54/1089
 gaddr
192.168.0.140/113
 laddr 
192.168.0.140/113
 duration 0:00:00 bytes 0
(TCP Reset-I)


Ciao


ma al client ftp, spieghi che l'assegnazione dinamica delle porte data la
stabilisce un firewall?
se vai verso un'altro segmento bastionato....o vai preoccupato tramite pasv
mode o mi comunichi come come hai risolto
potrebbe essere una minkiata, ma prova.....
Vs bit

Volevo giusto ricordare come, a seguito del baco sull "internal ip
discovery" i pix developper mi han detto che non sara' fixato, perche'
utilizzando "fixup protocol ftp strict 21" che obbliga client e server e
essere "strictly RFC compliant" ( a seguito di ogni comando <CR><LF> )
il baco non sussiste.
PECCATO che a 3/4 dei clienti non posso metterglielo perche senno non gli
funziona nulla...
PixSux :)
naif
