Newsgroup: it.comp.reti.cisco
Titolo: Cisco 827, IOS FW o IOS Base ?

Avendo un pò di tempo, oggi ho aggiornato il cisco 827 con l'ios fw/3des che
mi hanno dato insieme al router (comprato usato). Tutto è andato bene,
nessun problema nell'aggiornamento. Quello che però adesso non so, è se
abilitare o no il firewall dell'ios, unica funzionalità in più che mi serve
rispetto all'ios base. Cercando sul sito cisco e nei vecchi post, mi è parso
di capire che configurare il firewall non è molto immediato, anzi è un bel
pò complicato.
Come firewall non penso che mi servano funzioni complicate, ma non so
proprio cosa fare...
Cosa mi consigliate ?

 Cosa mi consigliate ?
leggere l'ottimo articolo sulle cbac (il firewall ios) su networking
italia
un mayhem ed i reboot
-- 
 Everyone is gay, with someone's else ass 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613


è stato il primo sito dove ho cercato, ma non trovo nulla......mi passi
l'indirizzo diretto ?
Ciao


Trovato !! Vado a leggere...


e' un pezzo che lo cerco, ma quale č, mi dici il titolo completo
dell'articolo ??
SAluti
Cuccio
Posted from X-Privat Free NNTP server - 
www.x-privat.org


http://www.networkingitalia.it/modules.php?name=News&file=article&sid=1224&mode=&order=0&thold=0&mode=&order=0&thold=0


allora, ho letto e ho iniziato a sistemare il tutto, come cmbac ho messo
(seguendo networking italia e il sito cisco):
ip inspect name firewall smtp
ip inspect name firewall ftp timeout 120
ip inspect name firewall h323 timeout 30
ip inspect name firewall realaudio timeout 30
ip inspect name firewall tcp
ip inspect name firewall udp
ip inspect name firewall cuseeme timeout 30
ip inspect name firewall rcmd timeout 30
ip inspect name firewall streamworks timeout 30
ip inspect name firewall vdolive timeout 30
ip inspect name firewall sqlnet timeout 30
ip inspect name firewall tftp
ip inspect name firewall fragment max 120 timeout 5
poi sulla dialer1 ho messo in uscita  "ip inspect firewall out"
e le access list 112 in input:
access-list 112 deny ip host 255.255.255.255 any
! permessi espliciti server interni
access-list 112 permit tcp any any eq 4662
access-list 112 permit tcp any any eq 80
access-list 112 permit udp any any eq 4672
!
access-list 112 deny TCP any any
access-list 112 deny UDP any any
access-list 112 remark Blocca lo spoofing
access-list 112 deny ip 192.168.1.0 0.0.0.255 any
access-list 112 remark permetto icmp
access-list 112 permit icmp any any echo-reply
access-list 112 permit icmp any any time-exceeded
access-list 112 permit icmp any any packet-too-big
access-list 112 permit icmp any any traceroute
access-list 112 permit icmp any any unreachable
access-list 112 deny ip any any
nelle access list ho dovuto mettere any any perchè ho un ip dinamico, e
finquì mi pare tutto giusto. La cosa che non so se va bene, sono le acl
messe per permettere in modo esplicito l'ingresso di connessioni per i
server interni (www, posta etc, le acl su sono solo 3 per prova).
Per fare il port forwarding delle porte uso:
ip nat inside source static udp 192.168.1.101 5198 interface Dialer1 5198
ip nat inside source static udp 192.168.1.101 5199 interface Dialer1 5199
ip nat inside source static tcp 192.168.1.3 80 interface Dialer1 80
ip nat inside source static tcp 192.168.1.3 110 interface Dialer1 110
ip nat inside source static tcp 192.168.1.3 25 interface Dialer1 25
ip nat inside source static tcp 192.168.1.48 62345 interface Dialer1 62345
ip nat inside source static tcp 192.168.1.15 4662 interface Dialer1 4662
ip nat inside source static udp 192.168.1.15 4672 interface Dialer1 4672
se non metto le acl 112 per le porte forwardate, i server interni non vanno.
E' normale o sbaglio ?

 vanno. E' normale o sbaglio ?
esatto.
ora puoi configurare le cbac anche per quel che entra :)
un mayhem ed i piedi doloranti



quello che entra sulla ethernet ? o da internet sul Dialer1 ?

 quello che entra sulla ethernet ? o da internet sul Dialer1 ?
da internet sul d1 :)
un mayhem che deve fare la pipi'



mhhh.....aspč. Allora desso sono abilitate le CBAC sul dialer1 in uscita, il
dialer1 ha poi in ingresso le acl 112 che puoi leggere nel post precedente.
Quindi il CBAC aggiunge da solo le acl 112 per permettere le varie
connessioni di ingresso alle sessioni.
Tu mi dici quindi di abilitare il CBAC oltre che in uscita, anche in gresso.
Ok...ma in questo caso come mi debbo comportare ? Debbo inserire anche della
acl in uscita al dialer1 ?
Sul sito cisco, ho visto che volendo si mettono i CBAC anche sull'ethernet,
cosa utile quando il router si trova in mezzo a 2 reti entrambe da rendere
sicure, ma non č il mio caso.
Ciao

 entrambe da rendere sicure, ma non è il mio caso.
direi invece di si.
permetti un sacco di cose in entrata
un mayhem "paranoia is a virtue"



mhhh, misà che prima ti sei confuso allora. Se devo limitere il traffico in
ingresso sull'ethernet0, non debbo applicare il CBAC su quest'ultima in
uscita ?



la tua navigazione/etc
acl 110 applicata al dialer1 in
ip inspect applicato alla eth0 out
i servizi pubblicati:
acl 120 applicata alla eth0 in
ip inspect applicato al d1 in
un mayhem che dovrebbe andare in bagno di nuovo


 ip inspect applicato al d1 in
qui invece ho solo una acl applicata in ingresso alla eth0,
ecco la sho run attuale, cosě da farti capire meglio come sono messo
attualmente, visto che non ti seguo molto....magari mi indichi i problemi.
La configurazion del cbac č stata fatta seguendo la guida su networking
italia.
no service pad
service timestamps debug datetime
service timestamps log datetime
service password-encryption
no service dhcp
!
hostname router
!
enable secret ******
!
clock timezone CET 1
clock summer-time CET recurring
ip subnet-zero
ip name-server 212.216.172.62
ip name-server 212.216.112.112
!
!
ip inspect name firewall tcp
ip inspect name firewall udp
ip inspect name firewall smtp
ip inspect name firewall ftp timeout 120
ip inspect name firewall h323 timeout 30
ip inspect name firewall realaudio timeout 30
ip inspect name firewall cuseeme timeout 30
ip inspect name firewall rcmd timeout 30
ip inspect name firewall streamworks timeout 30
ip inspect name firewall vdolive timeout 30
ip inspect name firewall sqlnet timeout 30
ip inspect name firewall tftp
!
!
ip inspect name firewall fragment max 120 timeout 5
!
!
interface Ethernet0
 no ip address
 ip address 192.168.1.1 255.255.255.0
 ip access-group 111 in
 ip nat inside
 no cdp enable
 hold-queue 100 out
 no shutdown
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 bundle-enable
 dsl operating-mode auto
 hold-queue 224 in
 no shutdown
!
interface Dialer1
 ip address negotiated
 no ip redirects
 ip access-group 112 in
 ip inspect firewall out
 ip nat outside
 encapsulation ppp
 no ip route-cache
 no ip mroute-cache
 ip tcp header-compression passive
 dialer pool 1
 dialer-group 1
 no cdp enable
 ppp chap hostname ******
 ppp chap password ******
 ppp pap sent-username ****** password ******
!
ip nat inside source list 101 interface Dialer1 overload
!
!
ip nat inside source static udp 192.168.1.101 5198 interface Dialer1 5198
ip nat inside source static udp 192.168.1.101 5199 interface Dialer1 5199
ip nat inside source static tcp 192.168.1.3 80 interface Dialer1 80
ip nat inside source static tcp 192.168.1.3 80 interface Dialer1 443
ip nat inside source static tcp 192.168.1.3 110 interface Dialer1 110
ip nat inside source static tcp 192.168.1.3 25 interface Dialer1 25
ip nat inside source static tcp 192.168.1.48 62345 interface Dialer1 62345
ip nat inside source static tcp 192.168.1.15 4662 interface Dialer1 4662
ip nat inside source static udp 192.168.1.15 4672 interface Dialer1 4672
!
!
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
no ip http server
!
!
access-list 1 permit 192.168.1.3
!
access-list 10 permit 192.168.1.0 0.0.0.255
!
access-list 101 permit ip 192.168.1.0 0.0.0.255 any
!
!
access-list 111 deny udp any range 135 netbios-ss any
access-list 111 permit ip 192.168.1.0 0.0.0.255 any
!
!
access-list 112 deny ip host 255.255.255.255 any
access-list 112 remark host interni
access-list 112 permit udp any any eq 5198
access-list 112 permit udp any any eq 5199
access-list 112 permit tcp any any eq 80
access-list 112 permit tcp any any eq 443
access-list 112 permit tcp any any eq 110
access-list 112 permit tcp any any eq 25
access-list 112 permit tcp any any eq 62345
access-list 112 permit tcp any any eq 4662
access-list 112 permit udp any any eq 4672
access-list 112 permit udp any any eq ntp
access-list 112 remark fine host interni
access-list 112 deny TCP any any
access-list 112 deny UDP any any
access-list 112 remark Blocca lo spoofing
access-list 112 deny ip 192.168.1.0 0.0.0.255 any
access-list 112 remark permetto icmp
access-list 112 permit icmp any any echo-reply
access-list 112 permit icmp any any time-exceeded
access-list 112 permit icmp any any packet-too-big
access-list 112 permit icmp any any traceroute
access-list 112 permit icmp any any unreachable
access-list 112 deny ip any any
!
!
dialer-list 1 protocol ip permit
no cdp run
snmp-server community ****** RO 1
!
line con 0
 stopbits 1
line vty 0 4
 access-class 10 in
 password ******
 login
!
scheduler max-task-time 5000
sntp server 193.204.114.233
end


idem qui, ho messo una ACL 111 sulla eth0 in ingresso e abilitato il cbac
sul dialer 1 in ingresso, questo per analizzare i pacchetti diretti ai
server interni giusto ?
Mi manca da capire solo una cosa, per abilitare il cbac in entrabe le
interfaccie eth0 e d1 io ho usato lo stesso inspect name, posso farlo o devo
definirne 2 ? Per i timeout dell'ip inspect, come mi posso orientare ?
Ecco le varie acl e cbac, dovrebbero essere finalmente "quasi" corrette:
!
ip inspect name firewall tcp
ip inspect name firewall udp
ip inspect name firewall smtp
ip inspect name firewall ftp timeout 120
ip inspect name firewall h323 timeout 30
ip inspect name firewall realaudio timeout 30
ip inspect name firewall cuseeme timeout 30
ip inspect name firewall rcmd timeout 30
ip inspect name firewall streamworks timeout 30
ip inspect name firewall vdolive timeout 30
ip inspect name firewall sqlnet timeout 30
ip inspect name firewall tftp
ip inspect name firewall fragment max 120 timeout 5
!
interface Ethernet0
  ip access-group 111 in
  ip inspect firewall in
!
!
interface Dialer1
 ip inspect firewall in
 ip access-group 112 in
!
!!acl in ingresso sulla ethernet0
access-list 111 deny udp any range 135 netbios-ss any
access-list 111 permit tcp 192.168.1.0 0.0.0.255 any
access-list 111 permit udp 192.168.1.0 0.0.0.255 any
access-list 111 permit icmp 192.168.1.0 0.0.0.255 any
!
!acl in ingresso sul dialer
access-list 112 remark Blocca lo spoofing
access-list 112 deny ip 192.168.1.0 0.0.0.255 any
access-list 112 remark Broadcast
access-list 112 deny ip host 255.255.255.255 any
access-list 112 remark host interni permessi
access-list 112 permit udp any any eq 5198
access-list 112 permit udp any any eq 5199
access-list 112 permit tcp any any eq 80
access-list 112 permit tcp any any eq 8384
access-list 112 permit tcp any any eq 443
access-list 112 permit tcp any any eq 110
access-list 112 permit tcp any any eq 25
access-list 112 permit tcp any any eq 62345
access-list 112 permit tcp any any eq 4662
access-list 112 permit udp any any eq 4672
access-list 112 permit udp any any eq ntp
access-list 112 remark fine host interni
access-list 112 remark permetto icmp
access-list 112 permit icmp any any administratively-prohibited
access-list 112 permit icmp any any echo
access-list 112 permit icmp any any echo-reply
access-list 112 permit icmp any any packet-too-big
access-list 112 permit icmp any any time-exceeded
access-list 112 permit icmp any any traceroute
access-list 112 permit icmp any any unreachable
access-list 112 deny ip any any
!
puň andare ??
Ciao

 Ecco le varie acl e cbac, dovrebbero essere finalmente "quasi" corrette:
non capisco se e' il mio reader o il tuo, ma i CR non ci sono e vedo
tutta la cfg come se fosse una sola riga.
perdomani, ma mi sono appena alzato e non ho voglia di riformattarla.
un mayhem che doveva andare in edicola ....


 perdomani, ma mi sono appena alzato e non ho voglia di riformattarla.
boh, te la reincollo non si sa mai:
ip inspect name firewall tcp
ip inspect name firewall udp
ip inspect name firewall smtp
ip inspect name firewall ftp timeout 120
ip inspect name firewall h323 timeout 30
ip inspect name firewall realaudio timeout 30
ip inspect name firewall cuseeme timeout 30
ip inspect name firewall rcmd timeout 30
ip inspect name firewall streamworks timeout 30
ip inspect name firewall vdolive timeout 30
ip inspect name firewall sqlnet timeout 30
ip inspect name firewall tftp
!
ip inspect name firewall2 tcp
ip inspect name firewall2 udp
ip inspect name firewall2 smtp
ip inspect name firewall2 ftp timeout 120
ip inspect name firewall2 h323 timeout 30
ip inspect name firewall2 realaudio timeout 30
ip inspect name firewall2 cuseeme timeout 30
ip inspect name firewall2 rcmd timeout 30
ip inspect name firewall2 streamworks timeout 30
ip inspect name firewall2 vdolive timeout 30
ip inspect name firewall2 sqlnet timeout 30
ip inspect name firewall2 tftp
!
ip inspect name firewall fragment max 120 timeout 5
ip inspect name firewall2 fragment max 120 timeout 5
!
interface Ethernet0
 no ip address
 ip address 192.168.1.1 255.255.255.0
 ip access-group 111 in
 ip nat inside
 ip inspect firewall in
 no cdp enable
 hold-queue 100 out
 no shutdown
!
interface Dialer1
 ip address negotiated
 no ip redirects
 ip inspect firewall2 in
 ip access-group 112 in
 ip nat outside
 encapsulation ppp
 no ip route-cache
 no ip mroute-cache
 ip tcp header-compression passive
 dialer pool 1
 dialer-group 1
 no cdp enable
!.......etc.
!



"piccolo" problema, con il cbac abilitato, la navigazione internet è
lentissima, quasi ferma. Disabilito e tutto funziona.