Newsgroup: it.comp.reti.cisco
Titolo: Pix + Server web

Ciao a tutti,
ho una domanda, a cui credo però di aver già dato risposta purtroppo, nella 
mia ditta abbiamo una connessione a internet con una subnet da 4 indirizzi 
pubblici, quindi alla fine uno realmente utilizzabile.
All'interno abbiamo la nostra lan e poi usando un Catlyst 2950 ho creato due 
vlan e una fà da dmz, usando le sottointerfaccie del pix (ce ne sono fino a 
3 nella ultima ver di ios) tutti funziona benissimo.
Con le acl accetto dall'eterno certe porte e con il comando "static 
(dmz,outside)......" traslo le porte sul ip privato del server web nella 
dmz.
Ora ho un problema quando proviamo a vedere un sito sul nostro server web, 
il dns pubblico risolve il nome con l'ip dell'interfaccia outside del pix 
ovvero l'ip pubblico libero della subnet da 4 e non si vede nulla, per 
vedere il sito bisogna forzare il file "hosts" di windows con l'ip locale 
del server....
Ora a quanto ne sò il pix mi blocca la richiesta in quanto non fà passare in 
uscita e poi in entrata la stessa richiesta sulla stessa interfaccia.... 
???? quindi a quanto ne sò ho solo una soluzione inserire un server dns 
interno che risolva gli ip dei siti nostri con l'ìp locale e non con quello 
pubblico....
A livello pix non c'è nessuna regola per evitare il dns interno ????? Grazie 
mille spero di essermi più o meno spiegato....
Saluti
Matteo 

 indirizzi pubblici, quindi alla fine uno realmente utilizzabile.
Con 4 indirizzo intendi una /30 ?
Gli indirizzi utilizzabili sono due.
Che togli oltre al network e broadcast?
2 alla seconda - 2 = 2

Matteo wrote:
[CUT]
Quello che cerchi si chiama DNS doctoring. Che versione di Finesse (sist. op. dei PIX) usi?
Così ti dico qual è l'espressione che va bene per te.
Ciao Alex.

Così ti dico qual è l'espressione che va bene per te.
Uso la 6.3(4)..... grazie mille
Per quanto riguarda gli ip si è una /30 ma considerando che uno dei due cmq 
è il gateway del router di chi mi fornisce la subnet, alla fine a me ne 
rimane uno....
Saluti
Mat 

 rimane uno....
ah gia :)

 Uso la 6.3(4)..... grazie mille
Come quella che gira su quello che gestisco io.
In questo momento non riesco ad accedere a tale PIX. Posta la riga STATIC che pubblica il tuo web 
server all'esterno (nascondi l'indirizzo esterno!).
Non vorrei dirti una cosa per un'altra ma devi inserire la parola dns all'interno del comando ma non 
vorrei dirti una posizione per un'altra. A memoria mi sembra prima della parola netmask, ma se posti 
  il comando te lo riscrivo, oppure aspetti lunedì ;-)
Ciao Alex.

che pubblica il tuo web server all'esterno (nascondi l'indirizzo esterno!).
Ecco le tre righe che riguardano questo problema, grazie mille per l'aiuto
--------------------conf 
pix-----------------------------------------------------------------
access-list acl_outside permit tcp any host IP_PUBBLICO eq www
static (inside,outside) tcp interface www IP_LOCALE www netmask 
255.255.255.255 0 0
access-group acl_outside in interface outside
---------------------fine---------------------------------------------------------------------
Saluti
Matte 

 static (inside,outside) tcp interface www IP_LOCALE www netmask 255.255.255.255 0 0
Ok, prova con questi comandi
no static (inside,outside) tcp interface www IP_LOCALE www netmask 255.255.255.255 0 0
static (inside,outside) tcp interface www IP_LOCALE www dns netmask 255.255.255.255 0 0
Quando fai le prove di risoluzione dei nomi svuota la cache dei client windows con
ipconfig /dnsflush altrimenti potrebbe essere che il client si ricordi ancora l'indirizzo pubblico.
Facci sapere.
Ciao Alex.

 Ciao Alex.
Grazie mille, lunedě provo e vi dico.... saluti
Matte 

> Grazie mille, lunedì provo e vi dico.... saluti
Allora ho provato, ma nulla quando lancio l'interrogazione mi punta sempre 
all'ip pubblico.... mi sà che l'unica soluzione sia usare un dns interno che 
risolva deteriminati indirizzi con l'ip interno.... cosa ne pensi ??
A che cosa sarebbe sarvita l'aggiunta del comando "dns" ??? nella riga 
static ??
Saluti e grazie
Matteo 

>Postaci la configurazione
Ecco la configurazione completa
--------------------------inizio-------------------------------------------------
PIX Version 6.3(4)
interface ethernet0 auto
interface ethernet1 100full
interface ethernet1 vlan400 physical
interface ethernet1 vlan200 logical
interface ethernet1 vlan300 logical
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif vlan200 dmz security50
nameif vlan300 housing security40
------zona password enable etc etc----------
hostname firewall
domain-name 
zenazone.it
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
access-list on-inside permit ip any 192.168.100.0 255.255.255.224
access-list vlan400_200 permit ip 192.168.0.0 255.255.255.224 192.168.0.64 
255.255.255.224
access-list vlan400_200 permit ip any 192.168.100.0 255.255.255.224
access-list acl_outside permit tcp any host IP_PUBBLICO eq 222
access-list acl_outside permit tcp any host IP_PUBBLICO eq domain
access-list acl_outside permit udp any host IP_PUBBLICO eq domain
access-list acl_outside permit tcp any host IP_PUBBLICO eq 2081
access-list acl_outside permit tcp any host IP_PUBBLICO eq ftp
access-list acl_outside permit tcp any host IP_PUBBLICO eq smtp
access-list acl_outside permit tcp any host IP_PUBBLICO eq www
access-list acl_outside permit tcp any host IP_PUBBLICO eq pop3
access-list acl_outside permit tcp any host IP_PUBBLICO eq imap4
pager lines 24
mtu outside 1500
mtu inside 1500
ip address outside IP_PUBBLICO 255.255.255.252
ip address inside 192.168.0.1 255.255.255.224
ip address dmz 192.168.0.65 255.255.255.224
ip address housing 192.168.0.97 255.255.255.224
ip audit info action alarm
ip audit attack action alarm
ip local pool poolip-vpn 192.168.100.1-192.168.100.30
pdm location 192.168.0.3 255.255.255.255 inside
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list vlan400_200
nat (inside) 1 192.168.0.0 255.255.255.224 0 0
nat (dmz) 1 192.168.0.64 255.255.255.224 0 0
nat (housing) 1 192.168.0.96 255.255.255.224 0 0
static (inside,outside) tcp interface 222 192.168.0.8 ssh netmask 
255.255.255.255 0 0
static (inside,outside) tcp interface domain 192.168.0.8 domain netmask 
255.255.255.255 0 0
static (inside,outside) udp interface domain 192.168.0.8 domain netmask 
255.255.255.255 0 0
static (inside,outside) tcp interface 2081 192.168.0.8 2081 netmask 
255.255.255.255 0 0
static (inside,outside) tcp interface ftp 192.168.0.8 ftp netmask 
255.255.255.255 0 0
static (inside,outside) tcp interface smtp 192.168.0.8 smtp netmask 
255.255.255.255 0 0
static (inside,outside) tcp interface pop3 192.168.0.8 pop3 netmask 
255.255.255.255 0 0
static (inside,outside) tcp interface imap4 192.168.0.8 imap4 netmask 
255.255.255.255 0 0
static (inside,outside) tcp interface www 192.168.0.8 www dns netmask 
255.255.255.255 0 0
access-group acl_outside in interface outside
route outside 0.0.0.0 0.0.0.0 INDIRIZZO_IP_DG 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 
1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
http server enable
http 192.168.0.3 255.255.255.255 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-pptp
telnet 192.168.0.3 255.255.255.255 inside
telnet timeout 60
ssh 192.168.0.0 255.255.255.224 inside
ssh timeout 30
management-access outside
console timeout 0
vpdn group PPTP-VPDN-GROUP accept dialin pptp
vpdn group PPTP-VPDN-GROUP ppp authentication pap
vpdn group PPTP-VPDN-GROUP ppp authentication chap
vpdn group PPTP-VPDN-GROUP ppp authentication mschap
vpdn group PPTP-VPDN-GROUP client configuration address local poolip-vpn
vpdn group PPTP-VPDN-GROUP pptp echo 60
vpdn group PPTP-VPDN-GROUP client authentication local
vpdn username ************* password *********
vpdn enable outside
terminal width 80
banner motd *Accesso consentito solo a persone autorizzate*
---------------------------fine--------------------------------------------------------
Grazie mille per l'aiuto
Matteo

Matteo wrote:
Matteo wrote:
 >>Postaci la configurazione
 >
 >
 > Ecco la configurazione completa
 >
 > --------------------------inizio-------------------------------------------------
Ciao Matteo,
innanzi tutto prova uno "clear xlate" che pulisce le traduzioni e riprova a fare il gioco
Poi, ho visto che l'unica macchina pubblicata all'esterno è la 192.168.0.8 ma tanti servizi disponibili su quella macchina
Inoltre hai una access list per permettere gli stessi protocolli specificati nelle static.
Io farei così
static (inside,outside) interface 192.168.0.8 dns netmask 255.255.255.255 0 0
e poi userei la access list per permettere solo i protocolli desiderati.
Penso che così ti tagli la possibilità di pubblicare più server interni con lo stesso indirizzo ma io ho una 
configurazione fatta così (ma ho anche una decina di indirizzi pubblici ;) ) e il dns doctoring funziona.
Quindi
no static (inside,outside) tcp interface 222 192.168.0.8 ssh netmask 255.255.255.255 0 0
no static (inside,outside) tcp interface domain 192.168.0.8 domain netmask 255.255.255.255 0 0
no static (inside,outside) udp interface domain 192.168.0.8 domain netmask 255.255.255.255 0 0
no static (inside,outside) tcp interface 2081 192.168.0.8 2081 netmask 255.255.255.255 0 0
no static (inside,outside) tcp interface ftp 192.168.0.8 ftp netmask 255.255.255.255 0 0
no static (inside,outside) tcp interface smtp 192.168.0.8 smtp netmask 255.255.255.255 0 0
no static (inside,outside) tcp interface pop3 192.168.0.8 pop3 netmask 255.255.255.255 0 0
no static (inside,outside) tcp interface imap4 192.168.0.8 imap4 netmask 255.255.255.255 0 0
no static (inside,outside) tcp interface www 192.168.0.8 www dns netmask 255.255.255.255 0 0
static (inside,outside) interface 192.168.0.8 dns netmask 255.255.255.255 0 0
access-group acl_outside in interface outside
Inoltre puoi togliere il protocollo tcp per il servizio domain.
Valuta quello che ti ho proposto, vediamo se ruiescoa riprodurre la tua situazione di usare DNS esterni e ti so dire,
Alex.

 ancora l'indirizzo pubblico.
Volevo dire ipconfig /flushdns :-)
Sto provando la tua configurazione.
Alex.

 
Allora ho fatto una prova ed il DNS doctoring non funziona nella prima versione che ti ho detto ma solo se mappi 
direttamente l'indirizzo pubblico verso la macchina interna senza specificare protocolli e porte.
A questo punto devi scegliere. Se hai ulteriori dubbi scrivi.
Facci sapere
Ciao Alex.


Grazie mille, di tutto, domani in giornata provo la configurazione, oggi ho 
avuto una presentazione di un lavoro e non ho avuto tempo per il pix..... 
domani testo tutto e ti dico.... per il momento grazie mille....
Il fatto che lo static completo sarebbe un problema, provo e se poi questa è 
l'unica via sarò costretto ad optare per la soluzione dns interno.... anche 
se molto più noiosa.
Ancora grazie mille
Matteo 

AM wrote:

Ciao Matteo,
ho aperto uan TAC al proposito e mi hanno detto che "potrebbe funzionare" una cosa di questo tipo:
uso il port redirection senza dns e poi usi il comando alias per fare il doctoring ddell'IP pubblico con quello interno.
Su quel "potrebbe funzionare" non ho il controllo, magari è semplicemente l'ordine dei comandi nel file di 
configurazione ma, coem ho detto, non ho idea.
Proverò anch'io,
Ciao Alex.