Newsgroup: it.comp.reti.cisco
Titolo: CBAC + emule

Sto tendando di passare da una configurazione con access-list statiche
ed IOS-IP ad una che sfrutti le potenzialità di IOS-FW.
Come primo tentativo ho seguito l' esempio che ho trovato su
networking italia.
http://www.networkingitalia.it/modules.php?name=News&file=article&sid=1224&mode=&order=0&thold=0&mode=&order=0&thold=0
Ovvero ho configurato il CBAC in questa maniera
ip inspect name testrules tcp 
ip inspect name testrules udp audit-trail on 
ip inspect name testrules smtp 
ip inspect name testrules ftp timeout 120 
ip inspect name testrules h323 timeout 30 
ip inspect name testrules realaudio timeout 30 
ip inspect name testrules fragment max 120 timeout 5 
Il tutto funzia bene per navigare , ricevere mail etc.. ma non c'è
verso di far andare emule, si connette raramente e sempre con i basso.
:(
Si riesce a farlo funzionare usando CBAC ?
Ammettendo di riuscirci , è proponibile come uso o è suicida visto
l' altissimo genere di connessioni che apre emule?
In alternativa cosa mi consigliate per rendere il router un' po' più
sicuro ma senza rinunciare a poter connettermi ad emule ?
Reflexive access-list ?
Ciao
Ste
--
Please remove NOSPAM from address when replying

 Reflexive access-list ?
ma le porte di emule le hai nattate?

ma le porte di emule le hai nattate?
Si le ho nattate.
Ho provato anche a mettere all' inizio della mia access list
dei permit specifici per le porte di emule ma non va comunque.
Ma a te funziona con CBAC ?
Ciao
Ste.


 Sto tendando di passare da una configurazione con access-list statiche
ciao, io uso un 827 con ios fw e cbac e opportune access list con emule.
Ottenevo un id basso ma dopo il nat delle porte e la modifica della access
list tutto é ok.
Ottengo un id alto.
ciao giovanni

Ottengo un id alto.
Il ciň mi rincuora ..
Puoi postare o mandarmi per mail qualche dettaglio in piů sulla
configurazione funzionante?  ;)
Questa č all' incirca quella che ho provato io e non funzionava , č
possibilissimo che abbia cannato io alla grande ;)
!
version 12.3
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname paparazzo
!
boot-start-marker
boot-end-marker
!
logging console critical
enable secret 5 xx.
!
no aaa new-model
ip subnet-zero
no ip source-route
!
no ip bootp server
ip inspect name testrules tcp
ip inspect name testrules udp audit-trail on
ip inspect name testrules smtp
ip inspect name testrules ftp timeout 120
ip inspect name testrules h323 timeout 30
ip inspect name testrules realaudio timeout 30
ip inspect name testrules fragment maximum 120 timeout 5
!
!
!
!
!
!
interface Ethernet0
 ip address 10.0.0.1 255.255.255.0
 ip nat inside
 no cdp enable
 hold-queue 100 out
!
interface ATM0
 no ip address
 no atm ilmi-keepalive
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 bundle-enable
 dsl operating-mode auto
 hold-queue 224 in
!
interface Dialer0
 ip address negotiated
 ip access-group 191 in
 ip nat outside
 ip inspect testrules out
 encapsulation ppp
 dialer pool 1
 no cdp enable
 ppp chap hostname username
 ppp chap password 7 pwd
 ppp pap sent-username username password 7 pwd
!
ip nat inside source list 101 interface Dialer0 overload
ip nat inside source static udp 10.0.0.2 4662 interface Dialer0 4662
ip nat inside source static tcp 10.0.0.2 6550 interface Dialer0 6550
(6550 č correttamente settata sul mio emule)
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
no ip http server
no ip http secure-server
!
logging 10.0.0.2
access-list 1 permit 10.0.0.0 0.0.0.255
access-list 5 permit 10.0.0.2
access-list 101 permit ip 10.0.0.0 0.0.0.255 any
access-list 191 remark *** FILTRI ANTI-SPOOFING *************
access-list 191 deny   ip 127.0.0.0 0.255.255.255 any
access-list 191 deny   ip 10.0.0.0 0.255.255.255 any
access-list 191 deny   ip 172.16.0.0 0.15.255.255 any
access-list 191 deny   ip 192.168.0.0 0.0.255.255 any
access-list 191 deny   ip 224.0.0.0 15.255.255.255 any
access-list 191 remark *** ACCESSO PER EMULE ****************
access-list 191 permit tcp any any eq 6553
access-list 191 permit udp any any eq 4672
access-list 191 remark *** blocca UDP TCP *******************
access-list 191 deny   tcp any any log
access-list 191 deny   udp any any log
access-list 191 remark *** Ping DALL INTERNO ****************
access-list 191 permit icmp any any echo-reply
access-list 191 permit icmp any 10.0.0.0 0.0.0.255 time-exceeded
access-list 191 permit icmp any 10.0.0.0 0.0.0.255 traceroute
access-list 191 permit icmp any 10.0.0.0 0.0.0.255 unreachable
access-list 191 remark ***BUTTA E LOGGA IL RESTO ************
access-list 191 deny   ip any any log
no cdp run
!
snmp-server engineID local xxx
snmp-server community public RO 5
snmp-server enable traps tty
!
line con 0
 exec-timeout 0 0
 transport preferred all
 transport output all
 stopbits 1
line vty 0 4
 access-class 102 in
 password 7 xxx
 login
 transport preferred all
 transport input all
 transport output all
!
scheduler max-task-time 5000
!
end
paparazzo# 
Ciao
Grazie


 Puoi postare o mandarmi per mail qualche dettaglio in più sulla
ciao, correggi queste cose e fammi sapere: attento alla quantita di log che
produce emule !!
giovanni
1 abbassa il timeout per il nat:
ip nat translation timeout 3600
ip nat translation udp-timeout 1200
ip nat translation finrst-timeout 300
ip nat translation syn-timeout 120
2 fai il nat corretto:
ip nat inside source static tcp 10.0.0.2 4662 interface Dialer0 4662
ip nat inside source static udp 10.0.0.2 4672 interface Dialer0 4672
no ip nat inside source static tcp 10.0.0.2 6550 interface Dialer0 6550
3 correggi l'access list:
no access-list 191
access-list 191 remark *** FILTRI ANTI-SPOOFING *************
access-list 191 deny   ip 127.0.0.0 0.255.255.255 any
access-list 191 deny   ip 10.0.0.0 0.255.255.255 any
access-list 191 deny   ip 172.16.0.0 0.15.255.255 any
access-list 191 deny   ip 192.168.0.0 0.0.255.255 any
access-list 191 deny   ip 224.0.0.0 15.255.255.255 any
access-list 191 remark *** ACCESSO PER EMULE ****************
access-list 191 permit tcp any any eq 4662
access-list 191 permit udp any any eq 4672




Ho fatto come dici punto per punto ed ho cambiato la porta TCP sul mio
emule riportandolo al valore standard 4662.
Però non va comunque.
Non è sicuramente un problema di porte emule o di nat perchè
disabilitando 
ip inspect testrules out sulla dialer0
sostituendo la  access list 191 con questa (su dialer0 in)
access-list 190 remark *** FILTRI ANTI-SPOOFING *************
access-list 190 deny   ip 127.0.0.0 0.255.255.255 any
access-list 190 deny   ip 10.0.0.0 0.255.255.255 any
access-list 190 deny   ip 172.16.0.0 0.15.255.255 any
access-list 190 deny   ip 192.168.0.0 0.0.255.255 any
access-list 190 deny   ip 224.0.0.0 15.255.255.255 any
access-list 190 remark *** ACCESSO PER EMULE ****************
access-list 190 permit tcp any any eq 4662
access-list 190 permit udp any any eq 4672
access-list 190 remark *** CONN DALL INTERNO ****************
access-list 190 permit tcp any any established
access-list 190 permit tcp any eq ftp-data any gt 1023
access-list 190 permit udp any eq domain any gt 1023
access-list 190 permit icmp any any echo-reply
access-list 190 remark ***BUTTA E LOGGA IL RESTO ************
access-list 190 deny   ip any any log
Il tutto funziona.
Dunque nat e porte sono OK.
Anzi anche se tolgo tutte le access list dalla dialer0  
ovviamente il tutto funziona... ma basta che aggiungo
ip inspect testrules out sulla dialer0
e dunque a quel che ho capito abilito CBAC ed emule non siconnette
più  :(
Tutto il resto continua ad andare..
Ho come la sensazione che venga bloccato qualcosa in uscita da emule
piuttosto che in entrata dalla dialer0
Come posso abilitare un log o comunque fare u debug di quel che sta
facendo CBAC??
Ciao
Ste.


 e dunque a quel che ho capito abilito CBAC ed emule non siconnette
ciao,
guarda che non puoi fare deny tcp o udp any any a meta.
ti mando il mio cbac ma non e quello il problema
entra nella console e mentri usi emule fai un sh logging per vedere i
messaggi.
Posta uno show ver.
ip inspect tcp max-incomplete host 50 block-time 1
ip inspect name INTERNET-OUT http alert on audit-trail off timeout 3600
ip inspect name INTERNET-OUT tcp alert on audit-trail off
ip inspect name INTERNET-OUT udp alert on audit-trail off timeout 15
ip inspect name INTERNET-OUT ftp alert on audit-trail off timeout 3600
ip inspect name INTERNET-OUT cuseeme
ip inspect name INTERNET-OUT h323
ip inspect name INTERNET-OUT rcmd
ip inspect name INTERNET-OUT realaudio
ip inspect name INTERNET-OUT streamworks alert on
ip inspect name INTERNET-OUT vdolive alert on
ip inspect name INTERNET-OUT sqlnet alert on
ip inspect name INTERNET-OUT tftp
ip inspect name INTERNET-OUT fragment maximum 50 timeout 1
ip inspect name INTERNET-OUT smtp alert on audit-trail on timeout 30
ip inspect name INTERNET-OUT icmp alert on audit-trail on
ip inspect name INTERNET-OUT rtsp alert on

"Stef@none"  ha scritto nel messaggio
vedi anche questi  link:
http://lugdunum2k.free.fr/cisco.html
http://www.thedonkeynetwork.com/connection_test
http://www.emule-help.com/id.htm
giovanni



Grazie, ora guardo i link.
 Ecco lo show version
Cisco Internetwork Operating System Software
IOS (tm) C820 Software (C820-K9OSY6-M), Version 12.3(5), RELEASE
SOFTWARE (fc1)
Copyright (c) 1986-2003 by cisco Systems, Inc.
Compiled Tue 28-Oct-03 10:31 by kellythw
Image text-base: 0x80013148, data-base: 0x80A9890C
ROM: System Bootstrap, Version 12.1(1r)XB1, RELEASE SOFTWARE (fc1)
Seguendo alla lettera i tuoi consigli sono arrivato a questa config.
Tutto funzia ma non emule..
version 12.3
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname paparazzo
!
boot-start-marker
boot-end-marker
!
logging console critical
enable secret 5 xxx.
!
no aaa new-model
ip subnet-zero
no ip source-route
ip name-server 212.216.112.112
!
no ip bootp server
ip inspect tcp max-incomplete host 50 block-time 1
ip inspect name INTERNET-OUT http alert on audit-trail off timeout
3600
ip inspect name INTERNET-OUT tcp alert on audit-trail off
ip inspect name INTERNET-OUT udp alert on audit-trail off timeout 15
ip inspect name INTERNET-OUT ftp alert on audit-trail off timeout 3600
ip inspect name INTERNET-OUT cuseeme
ip inspect name INTERNET-OUT h323
ip inspect name INTERNET-OUT rcmd
ip inspect name INTERNET-OUT realaudio
ip inspect name INTERNET-OUT streamworks alert on
ip inspect name INTERNET-OUT vdolive alert on
ip inspect name INTERNET-OUT sqlnet alert on
ip inspect name INTERNET-OUT tftp
ip inspect name INTERNET-OUT fragment maximum 50 timeout 1
ip inspect name INTERNET-OUT smtp alert on audit-trail on timeout 30
ip inspect name INTERNET-OUT icmp alert on audit-trail on
ip inspect name INTERNET-OUT rtsp alert on

 ip inspect INTERNET-OUT out
 encapsulation ppp
 dialer pool 1
 no cdp enable
 ppp chap hostname user
 ppp chap password 7 pwd
 ppp pap sent-username user password 7 pwd
!
ip nat translation timeout 3600
ip nat translation udp-timeout 1200
ip nat translation finrst-timeout 300
ip nat translation syn-timeout 120
ip nat inside source list 101 interface Dialer0 overload
ip nat inside source static tcp 10.0.0.2 4662 interface Dialer0 4662
ip nat inside source static udp 10.0.0.2 4672 interface Dialer0 4672
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
no ip http server
no ip http secure-server
!
logging 10.0.0.2
access-list 1 permit 10.0.0.0 0.0.0.255
access-list 5 permit 10.0.0.2
access-list 101 permit ip 10.0.0.0 0.0.0.255 any
access-list 102 permit tcp host 10.0.0.101 any eq telnet log
access-list 102 deny   ip any any log
access-list 191 remark *** FILTRI ANTI-SPOOFING *************
access-list 191 deny   ip 127.0.0.0 0.255.255.255 any
access-list 191 deny   ip 10.0.0.0 0.255.255.255 any
access-list 191 deny   ip 172.16.0.0 0.15.255.255 any
access-list 191 deny   ip 192.168.0.0 0.0.255.255 any
access-list 191 deny   ip 224.0.0.0 15.255.255.255 any
access-list 191 remark *** ACCESSO PER EMULE ****************
access-list 191 permit tcp any any eq 4662
access-list 191 permit udp any any eq 4672
access-list 191 remark *** Ping DALL INTERNO ****************
access-list 191 permit icmp any any echo-reply
access-list 191 permit icmp any 10.0.0.0 0.0.0.255 time-exceeded
access-list 191 permit icmp any 10.0.0.0 0.0.0.255 traceroute
access-list 191 permit icmp any 10.0.0.0 0.0.0.255 unreachable
access-list 191 remark ***BUTTA E LOGGA IL RESTO ************
access-list 191 deny   ip any any log
no cdp run
!
snmp-server engineID local pwd
snmp-server community public RO 5
snmp-server enable traps tty
!
line con 0
 exec-timeout 0 0
 transport preferred all
 transport output all
 stopbits 1
line vty 0 4
 access-class 102 in
 password 7 pwd
 login
 transport preferred all
 transport input all
 transport output all
!
scheduler max-task-time 5000
!
end
Ciao
Grazie.


Oggi ho potuto fare dei test più approfonditi dall' ufficio verso il
cisco 827 a casa..
A quel che sembra con la configurazione postata ieri sembra che
con CBAC abilitato non funzioni più  il NAT :(


con CBAC abilitato non funzioni più  il NAT :(
Grazie all' account CCO che ho attivato da poco ho scoperto che era
un Bug di quella versione di IOS, mi sono scaricato l' ultima
disponibile "c820-k9osy6-mz.123-3f.bin" ed il CBAC ha incominciato a
funzionare magicamente come da Manuale ;))
