Newsgroup: it.comp.reti.cisco
Titolo: sistemista UNIX che si deve configurare un PIX... quasi fatto ma sono disperato. PER ESPERTI

Ciao a tutti,
nella mia carriera mi è capitato ogni tanto di configurare 
apparecchiature cisco, soprattutto PIX. Alla fine ci sono sempre 
riuscito, cercando in rete le cose che non sapevo... Ma questa volta 
sono davvero disperato, spero che qualcuno sappia darmi la dritta giusta 
per uscire dal tunnel...
Il pix in questione è un 515E con firmware 8.0.2, segue descrizione 
della rete:
		SERVER FARM
		  X.X.X.X
		     |
		     |
		    ADSL
		     |
		     |
		192.168.69.30
LAN SEDE (indirizzi LAN SEDE 
192.168.69.0/24
)
		     |
		     |
		     |
   PIX 515E (indirizzo interno 192.168.69.253, esterno Y.Y.Y.Y)
		     |
		     |
		  INTERNET
In pratica la situazione è questa: c'e' un LINK ADSL che serve per 
collegare la LAN aziendale ad una server farm esterna dove risiedono i 
server sui quali lavoriamo, la lan interna è di tipo C ed ha indirizzi 
192.168.69.0, la LAN è collegata ad internet mediante una seconda linea 
adsl.
Dal momento che capita che ci siano delle mergenze, anche ad orari 
notturni, sarebbe molto comodo poter raggiungere i server della rete 
X.X.X.X collegandosi al PIX mediante VPN. La configurazione l'abbiamo 
fatta, funziona quelloche deve (non scendo nei particolari, ma si deve 
poter raggiungere un mailserver interno e la rete interna deve poter 
navigare... ma queste non sono cose complicatissime e ci siamo riusciti. 
il problema è che quando ci colleghiamo in VPN non riusciamo ad accedere 
ai server della rete X.X.X.X. In più, se il PC è nella rete LAN (quindi 
con indirizzo 192.168.68.X) è necessario aggiungere al PC la rotta 
statice che gli dice che il gw per la rete X.X.X.X è 192.168.69.30 anche 
se la rotta è presente anche sul PIX (che è il default gw, quindi non 
capisco perché non gli piaccia...)
Spero che qualcuno mi dica dove mi sono perso, segue la configurazione 
del pix...
Grazie a chiunque mi aiuterà (se in zona milano offro una birra!)
CONFIGURAZIONE PIX
PIX Version 8.0(2)
!
hostname PIXNSC
domain-name 
nscsrl.it
enable password RKODEhJ1uwKzCJ1e encrypted
names
!
interface Ethernet0
  nameif outside
  security-level 0
  ip address Y.Y.Y.Y 255.255.255.248
!
interface Ethernet1
  nameif inside
  security-level 100
  ip address 192.168.69.253 255.255.255.0
!
interface Ethernet2
  shutdown
  no nameif
  no security-level
  no ip address
!
passwd ************** encrypted
ftp mode passive
dns server-group DefaultDNS
  domain-name 
nscsrl.it
access-list outside_access_in extended permit tcp any host Y.Y.Y.140 eq www
access-list outside_access_in extended permit tcp any host Y.Y.Y.140 eq pop3
access-list outside_access_in extended permit tcp any host Y.Y.Y.140 eq 5222
access-list outside_access_in extended permit tcp any host Y.Y.Y.140 eq 5223
access-list outside_access_in extended permit tcp any host Y.Y.Y.140 eq 
https
access-list outside_access_in extended permit tcp any host Y.Y.Y.140 eq smtp
access-list outside_access_in extended permit tcp any host Y.Y.Y.140 eq 995
access-list outside_access_in extended permit tcp any host Y.Y.Y.140 eq 465
access-list outside_access_in extended permit tcp host 85.18.117.122 
host Y.Y.Y.139 eq ssh
access-list outside_access_in extended permit tcp host 85.18.117.122 
host Y.Y.Y.139 eq 3306
access-list outside_access_in extended permit tcp host 85.18.117.122 
host Y.Y.Y.139 eq 7129
access-list outside_access_in extended permit tcp any host Y.Y.Y.142 eq www
access-list outside_access_in extended permit tcp any host Y.Y.Y.142 eq 8554
access-list outside_access_in extended permit tcp any host Y.Y.Y.142 eq 6968
access-list outside_access_in extended permit tcp any host Y.Y.Y.142 eq 6969
access-list nonat extended permit ip 192.168.69.0 255.255.255.0 host 
192.168.69.145
access-list nonat extended permit ip 192.168.69.0 255.255.255.0 host 
192.168.69.146
access-list nonat extended permit ip 192.168.69.0 255.255.255.0 host 
192.168.69.147
access-list nonat extended permit ip 192.168.69.0 255.255.255.0 host 
192.168.69.148
access-list nonat extended permit ip 192.168.69.0 255.255.255.0 host 
192.168.69.149
access-list nonat extended permit ip 192.168.69.0 255.255.255.0 host 
192.168.69.150
pager lines 24
mtu outside 1500
mtu inside 1500
ip local pool vpnpool1 192.168.69.145-192.168.69.150 mask 255.255.255.0
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list nonat
nat (inside) 1 0.0.0.0 0.0.0.0
static (inside,outside) Y.Y.Y.140 192.168.69.41 netmask 255.255.255.255
static (inside,outside) Y.Y.Y.142 192.168.69.220 netmask 255.255.255.255
static (inside,outside) Y.Y.Y.139 192.168.69.42 netmask 255.255.255.255
static (inside,outside) Y.Y.Y.141 192.168.69.47 netmask 255.255.255.255
access-group outside_access_in in interface outside
route outside 0.0.0.0 0.0.0.0 X.X.X.137 1 << QUESTA E' LA ROTTA VERSO IL 
MODEM ADSL PER NAVIGARE
route inside X.X.X.X 255.255.255.0 192.168.69.30 1  <<QUESTA E' LA ROTTA 
STATICA VERSO LA FARM
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 
0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 
0:02:00
timeout uauth 0:05:00 absolute
dynamic-access-policy-record DfltAccessPolicy
aaa authentication ssh console LOCAL
aaa authentication serial console LOCAL
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec transform-set nsc esp-3des esp-md5-hmac
crypto dynamic-map map2 10 set transform-set nsc
crypto dynamic-map map2 10 set reverse-route
crypto map map1 10 ipsec-isakmp dynamic map2
crypto map map1 interface outside
crypto isakmp enable outside
crypto isakmp policy 10
  authentication pre-share
  encryption 3des
  hash md5
  group 2
  lifetime 86400
no crypto isakmp nat-traversal
telnet timeout 5
ssh 192.168.69.0 255.255.255.0 inside
ssh timeout 5
console timeout 0
threat-detection basic-threat
threat-detection statistics access-list
!
class-map inspection_default
  match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
  parameters
   message-length maximum 512
policy-map global_policy
  class inspection_default
   inspect dns preset_dns_map
   inspect ftp
   inspect h323 h225
   inspect h323 ras
   inspect netbios
   inspect rsh
   inspect rtsp
   inspect skinny
   inspect esmtp
   inspect sqlnet
   inspect sunrpc
   inspect tftp
   inspect sip
   inspect xdmcp
!
service-policy global_policy global
username Administrator password ************** encrypted
username corrado password ************ encrypted
tunnel-group nscvpn type remote-access
tunnel-group nscvpn general-attributes
  address-pool vpnpool1
tunnel-group nscvpn ipsec-attributes
  pre-shared-key *
prompt hostname context
Cryptochecksum:755f1e6a91c1b8423e16b7560519436f
: end
PIXNSC#
 
 

 wrote in message 
news:6065noF...@mid.individual.net...


posso provare,
ma questo non spiega comunque perché nemmeno se sono collegato in lan 
funziona e devo inserire la rotta statica nel pc


  è necessario aggiungere al PC la rotta X.X.X.X 
Il PIX, che non è un router, non ha mai gestito il forwarding di 
traffico entrante ad uscente dalla stessa interfaccia. Dalla 7.x in 
avanti è supportato (anche se con alcune limitazioni). Inserisci questo 
comando:
same-security-traffic permit intra-interface
Se vuoi maggiori dettagli dai un'occhiata qui:
http://www.cisco.com/en/US/products/ps6120/products_tech_note09186a0080734db7.shtml
ciao
Assice

Ciao, ora mi trovo nella LAN aziendale. per ora ho solo aggiunto la 
direttiva che mi hai suggerito tu, ovvero
same-security-traffic permit intra-interface
ma la situazione in locale non sembra essere cambiata, ovvero non riesco 
a raggiungere la server farm (ovviamente ho cancellato la rotta statica 
dal mio pc per vedere se il pix mi direzionava verso la server farm)


 ma la situazione in locale non sembra essere cambiata, ovvero non riesco 
strano, guarda che dovrebbe andare, sei sicuro che la rotta su PIX sia 
impostata correttamente?
Prova a pingare dal PIX stesso su un server, ti risponde?
Se continui a non andare devi farti aiutare dagli strumenti di 
throubleshooting del PIX, cioè log, capture , ecc.
ciao
Assice