Newsgroup: it.comp.reti.cisco
Titolo: Zone pix 501

Ciao a tutti,
Vorrei sapere quante zone si riescono a gestire con cisco pix 501 e con 
quante macchine con la licenza "base" (quella 10 utenti mi pare) senza 
far incazzare mamma cisco.
Se ho capito bene, dopo aver letto il thread "Pix licensing" 
3 zone (2 se faccio mirrorare il traffico ad un PC 
con un buon IDS) in cui però solo 10 "client" posso avere sesssione 
attive in un dato momento, in queste tre zone però non possono starci piu' di 32 "macchine", 
o cmq non piou' di 32 attrezzi  dotati di mac.
Vi ringrazio !

 far incazzare mamma cisco.
mi sa che hai le idee un po' confuse.
il pix 501 ha una inside ed una outside. fine. non si puo' espandere.
quindi 10 utenti lan possono accedere ad internet. fine.
un mayhem curioso sulla questione ip/mac
-- 
I dilettanti hanno costruito l'arca, i professionisti il Titanic
Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
SPP  wpage: 
http://www.spippolatori.com
Hacklab VR: 
http://www.m2net.it.eu.org


possono accedere *contemporaneamente* ad Internet. Giusto?
Quindi è possibile avere più di 10 utenti connessi alla inside di cui max 10
per volta escono con una connessione verso la outside.
Similmente a quanto accade con le licenze "per server" di Microsoft.
Ciao
Aldo



i 761 registravano i primi 10 mac-address, cioe' i primi 10 pc che
accendi e che fanno arp.
il pix devo ancora verificare, ma qualcuno ha detto 10 ip, indirizzi ip.
ma quali? i primi 10 che creano un xlate? o 10 che creano una xlate in
generale?
mi informo e torno :)
un mayhem che non ha voglia di aprire galeon



Da quanto ho letto il 501 ha una arp table bloccata a 32 entries ed un
massimo di 3.500 xlates ma con non più di 10 source address diversi, se
leggi il data sheet in inglese sembrerebbe abbastanza chiaro.
Certo che così basta mettere un proxy per fregarlo allegramente, a meno che
non ci sia anche un numero massimo di xlate con lo stesso source address
(che non mi sembra di aver letto).
Ciao,
         Max.

 mi sa che hai le idee un po' confuse.
Si hai ragione, questo succede quando il capo chiama l' ultimo 
programmatore assunto per fare altre cose e gli dice "trova un firewall 
per questo cliente" .... sto' per far ridere tutto il NG ma ti vorrei 
chiedere come individui una zona? Intendo dire sia fisicamente sul 
firewall (ci sono un numero sufficiente di interfaccie, o meglio cosa 
devo guardare per saperlo ?) che nella topologia di rete, questi vanno 
in una zona x (perche' hanno certe caratteristiche) questa in y (perche' 
ne hanno altre).
Scusa ma non ho altro cui chiederlo, ... ho finito ridete pure !

 ne hanno altre).
credo non vi sia nulla da ridere. le domande intelligenti le fa chi sa la
risposta. gli altri fanno le domande utili. 
per distinguere una zona da una altra si usa il criterio della domanda
"chi ci accede".
immagina una rete tipica: web/mail server e server della lan/client.
il web e mail server sono diversi dagli altri perche' da internet e'
possibile connettersi a loro, mentre ad esempio non e' possibile
connettersi rirettamente ad un client.
quindi ti serve un firewall con 3 schede di rete:
a. parla con il router = tutto il traffico che arriva qui deve ancora
essere controllato.
b. connessa alla dmz = su questa rete arriva da internet il traffico che
noi abbiamo permesso, dalla lan il traffico che noi abbiamo permesso. non
parla con nessuno.
c. lan = qui non arriva nulla se non le risposte alle nostre connessioni.
e cosi' a scalare fino a n dmz. es.
a. internet 
b. dmz0 - web server
c. dmz1 - db server a cui accede il web server 
d. lan 
tutto questo per una ragione: se tu non hai applicato l'ultima patch al
bug di iis uscito la scorsa notte ed oggi bucano il tuo web server, prima
di accedere ai tuoi server interni devono attraversare di nuovo il
firewall. nulla e' impossibile, tuttavia si cerca di complicare la vita
il piu' possibile all'attaccante (il n. 10 di solito ....;P)
spero di essermi spiegato chiaramente senza banalizzare troppo
un mayhem e chi vuole il netbios in dmz ....


 non mi sembra di aver letto).
ovviamente un proxy risolve tutto, ma chi compra un 501 di solito ..... 
un mayhem che vuole essere miliardario


Tosh wrote:

Io ho utilizzato il PIX 501 "al contrario".
In pratica la mia rete è protetta dall esterno per la navigazione con un 
proxy, mentre è protetta dal server web interno (dovesse cadere ai colpi 
del nemico) tramite il PIX (così le 10 connessioni sono aggirate da una nat 
e un percorso sul router).
E' il mio primo fw hw. Mi sono divertito molto.
Ciao
#Ti