Newsgroup: it.comp.reti.cisco
Titolo: cisco pix firewall e le piccole lan

Salve a tutti,
Ho il seguente problema, in cui comunque credo incappino parecchi
amministratori
di piccole lan (credo sarebbe utile includere la risposta nelle faq del
newsgroup).
Utilizzando un cisco pix, fornire i seguenti servizi:
-) Consentire ad una lan la navigazione web, l'utilizzo della posta
elettronica, etc.
-) Consentire dall'esterno l'accesso ad un webserver della lan 
Come condizioni:
-) Il webserver e la lan  appartengono alla stessa subnet.
-) Il pix in questione ha solo due schede di rete, una interna ed una
esterna.
vorrei risolverlo utilizzando il minor numero di indirizzi ip pubblici
possibile.
L'ideale sarebbe utilizzarne uno solo.
Da quello che ho letto sulla documentazione ufficiale, nel caso si
disponesse di 3 ip pubblici si dovrebbe
operare nel modo seguente.
-) Assegnare un ip pubblico alla scheda esterna del firewall.
-) Utilizzare il secondo ip per effettuare il PAT della rete interna
(mascherandola).
-) Creare una route statica tra l'ip interno del webserver ed il terzo
ip pubblico disponibile.
la sequenza dei comandi IOS dovrebbe essere la seguente:
#configurazione della interfaccia interna
ip address inside FW_INT_IP INT_NETMASK
#configurazione della interfaccia esterna
ip addres outside FW_EXT_IP EXT_NETMASK
#Masqueradingdella rete interna
nat 1 INT_NET INT_NETMASK
#Port address translation della rete interna
global 1 PAT_EXT_IP
# creazione della route statica e del percorso di ritorno per il
webserver
static  WEBSERVER_EXT_IP WEBSERVER_INT_IP
conduit permit tcp host WEBSERVER_EXT_IP eq www any
Nell'ipotesi di possedere solamente due ip pubblici, mi chiedo se sia
possibile utilizzare
l'ip pubblico del firewall come ip su cui effettuare il pat, un po' come
si fa con il
masquerading con iptables/ipchains su linux. Si avrebbe quind la
seguente topologia:
-) Assegnare un ip pubblico alla scheda esterna del firewall ed
utilizzare l'ip per effettuare il PAT della
   rete interna.
-) Creare una route statica tra l'ip interno del webserver ed il terzo
ip pubblico disponibile.
la sequenza dei comandi IOS dovrebbe essere la stessa del punto
precedente ma con
FW_EXT_IP e PAT_EXT_IP coincidenti.
Con un solo ip pubblico come si procede? E' possibile impegnare un unico
ip come PAT, route statica
ed indirizzo esterno del firewall? Oppure bisogna procedere in maniera
del tutto differente?
Grazie.
Clemente Biondo.
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 ha scritto nel messaggio
news:f2667240daabcb7daf8...@mygate.mailgate.org...


 192.168.2.2 (ip del server  web)
Che io sappia se impegno un ip pubblico in un NAT overload (forse
piu' noto come PAT) non posso riutilizzare lo stesso ip in una route
statica od in un port forwarding. 
Dato che è l'unico ip in gioco o ci navigano gli utenti della lan o
ci sta in ascolto il webserver.
Il PAT infatti ha la funzione di mascherare un insieme di ip privati
in un unico ip pubblico, separando le sessioni dei singoli ip privati
impegnando piu' porte dell'ip pubblico.
Ora, non è possibile (almeno così credo) forwardare una porta specifica
su di un altro ip interno in quanto quella porta potrebbe essere usata 
per mascherare un utente.
Se mi sbaglio, potresti postare un esempio di script IOS che fa quello
da te affermato, per favore?
Grazie,
Clemente.


 per mascherare un utente.
a livello teorico e' possibile, poiche' nel pat/overload sono utilizzate le
porte > 1023 per identificare le sessioni (che comunque partono da porte a
loro volta > 1023), quindi se fai il forward di una porta well-known come la
80....
a livello pratico: mai avuto pochi ip :-P
Lyl

 Ora, non č possibile (almeno cosě credo) forwardare una porta specifica


 PAT , credo proprio che lo si possa fare su di un pix.
Con IOS si, con PIX no.
Il sistema operativo PIX è di gran lunga meno meno versatile dell'IOS e fare
un NAT statico sull'indirizzo dell'interfaccia OUTSIDE è una delle cose che
non può fare.
Anche secondo me la soluzione minima è fare PAT sull'indirizzo OUTSIDE (su
può fare ma solo dalla versione 6.0), ed NAT-tare un secondo indirizzo
pubblico sul server.
MAU

Cito dal documento
DESIGN IMPLEMENTATION GUIDE
Cisco Secure PIX Firewall 506 Design Guide
Covering VPN IPSec & Firewall Functions
(Copyright © 2000 Cisco Systems, Inc. All Rights Reserved.)
scaricabile all' indirizzo:
http://www.lansystems.com.au/weekly_update/290900/P506_dg.pdf
..............
IP Addressing:
All PIX 506 firewalls require a minimum of 3 IP addresses. These consist of
IP addresses for Outside interface, Inside interface, and
NAT or PAT IP addresses for an internal user to establish outbound
connections. For the Internet deployments, IP address used for
Outside interface and one used for NAT or PAT must be registered IP
addresses.
.......
più avanti si afferma:
#1 Step by Step PIX 506 setup for basic Firewall features in a small office
or work at home example. We are going to assume
we only want one inbound connection to allow ourWeb Server access from the
Internet. Next we want to allow all our inside users
outbound access.
It is important to note we will need three registered IP addresses for this
configuration to work. One for the outside IP Address
of the PIX (168.20.1.5). One for the IP Address of the Web Server (used at
static command line as 168.20.1.6). The Internal users
(For PAT purpose 168.20.1.7) use the last one for Internet access.
qui si afferma che servono 3 ip pubblici per fare quanto da me proposto nel
post iniziale. Scartabellando da altre fonti di documentazione
e smanettando sul pix firewall sono arrivato ad una conclusione diversa. Se
la versione del pix in questione è maggiore della 5.2 i
comandi nat e global ammettono come parametro l'ip della scheda esterna del
firewall con la seguente sintassi:
: configuro l'interfaccia eth0
ip addres outside *IP_scheda_esterna_del_firewall*  *netmask*
: attivo il PAT per tutti i computers della rete interna
: utilizzando l'indirizzo esterno del firewall
nat 1 0 0
: da notare che utilizzo il token interface non l'indirizzo della scheda
: se specificassi l'ip della scheda esterna del fw otterrei l'errore
:  ERROR: static overlaps with *.*.*.* to *.*.*.*
global 1 interface
: abilito il port forwarding verso il web server per le richieste dirette
all'ip esterno del firewall su porta 80
static tcp outside www *IP_interno_del_webserver* www netmask
255.255.255.255 0 0
: stabilisco una acl che consenta di raggiungere il webserver  dall'esterno
access-list teln_serv permit tcp any host *IP_scheda_esterna_del_firewall*
eq www
access-group teln_serv in interface outside
L' ipotesi fatta da poker e Lyl è quindi corretta a patto che il pix sia
sufficientemente recente o
sia stato upgradato (grazie per avermi messo sulla giusta strada).
Auguri di buona pasqua a tutto l'ng :-)
Clemente Biondo.

 esterna.
in primis sconsiglio, sconsiglio, sconsiglio e sconsiglio il webserver
sulla stessa subnet della lan.
costituisce una gravissima violazione delle poche regole ti permettono
di avere una reet sicura.
personalmente lo evito sempre, faccio firmare una liberatoria ai clienti
che esigono un server pubblicato su Internet in lan, un web server, iis
magari, in particolare.
detto questo risolverei cosi', con 4 ip:
network
ip router
ip pix
broadcast
per poi dire al pix:
nameif ethernet0 outside security0
nameif ethernet1 inside security100
ip address outside x.x.x.x 255.255.255.252
ip address inside 192.168.1.254 255.255.255.0
global (outside) 1 interface
static (inside, outside) tcp interface 25 192.168.1.11 2
nat (inside) 1 192.168.1.0 255.255.255.0 0 0
poi credo che le acl tu te le sappia scrivere da solo :)
un mayhem e l'area pubblica del sito cisco ...
--
Without sacrifice, without death, we would have nothing. TD
Cisco FAQ: 
http://mayhem.oltrelinux.com/icrc
HackLabVR: 
http://www.m2net.it.eu.org

Hai perfettamente ragione ma con un solo ip non è che ci sia granchè da
fare, però se il Cliente vuole attaccare "i bovi dietro al carro" ...
sceglie Lui ...basta che sia consapevole a cosa va incontro ...


 sceglie Lui ...basta che sia consapevole a cosa va incontro ...
il nat esiste apposta per avere una dmz anche con un solo ip.
il problema e' che molti non percepiscono l'utilita' dell'acquistare un
nuovo server per la dmz.
a molti sembra sprecato
un mayhem mi spiace per l'oro


Sě, in effetti molti hanno le mani stile braccioli/poltrona Luigi XVI


 ha scritto nel messaggio
news:JXjp8.44398$S52.1...@news2.tin.it...
