Newsgroup: it.comp.reti.cisco
Titolo: configurazione pix 515 da newbie

Allora come da subject, sto sperimentando con il 515 a casa, ma per 
varie ragioni non lo posso testare, ora stavo pensando alla 
configurazione da mettere in ufficio, e, dato che è la prima volta che 
ne configuro uno, volevo sapere se  va bene (giusto per non perderci la 
testa)
allora, ho la configurazione di default, a cui ho cambiato soltanto gli ip:
PIX Version 5.3(2)
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pixfirewall
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
names
pager lines 24
logging on
no logging timestamp
no logging standby
no logging console
no logging monitor
no logging buffered
no logging trap
no logging history
logging facility 20
logging queue 512
interface ethernet0 auto shutdown
interface ethernet1 auto shutdown
interface ethernet2 auto shutdown
mtu outside 1500
mtu inside 1500
mtu dmz 1500
ip address outside 192.168.1.254 255.255.255.0
ip address inside 192.168.0.1 255.255.255.0
ip address dmz 10.0.0.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
arp timeout 14400
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 
0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
no sysopt route dnat
isakmp identity hostname
telnet timeout 5
ssh timeout 5
terminal width 80
Cryptochecksum:d41d8cd98f00b204e9800998ecf8427e
: end
[OK]
a questo punto mettendolo tra router e lan per far si che i pc della 
rete possano tranquillamente uscire, a quanto ho capito dovrei creare 
una static route
route outside 0.0.0.0 0.0.0.0 192.168.1.1 1
dove 192.168.1.1 è l'indirizzo del router
Basta soltanto questo per permettere ai vari client di uscire su internet?
Per quanto riguarda i servizi a cui permettere accesso dall'esterno, 
devo creare un nat statico tra l'indirizzo sull'interfaccia esterna e 
quello interno e poi abilitare la access-list?
perdonatemi le domande da niubbo, ma come dicevo è la prima volta che 
vedo questo firewall :-P
Luca

ra1n ha scritto:

Ciao,
con questa configurazione non vai da nessuna parte.
innanzitutto devi mettere le interfacce non in shutdown.
per farti capire meglio il da farsi, ti rimando ad un sito che ti spiega 
meglio come configurarlo.
saluti
mp

 meglio come configurarlo.
Qualcosina ho trovato, ma ogni link è ben accetto, grazie
Luca

> Qualcosina ho trovato, ma ogni link č ben accetto, grazie
niubbo pure col quote.. anzi col cuore :))
Nella tua proposta, sicuro di fondamentale manca la coppia nat global. Per
le chiamate dall'esterno hai bisogno di nat statico e ACL.
Configurazione base: > 
http://openskills.info/infobox.php?ID=802
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 
Si, stavo leggendo giusto quello al riguardo, è solo che faccio ancora 
un pò di casino con nat e global e il nat statico, con i primi 2 dovrei 
far il nat classico, ossia permettere ai client connessi ad inside di 
uscire con un indirizzo ip, anche se non ho ben capito se ci devo 
mettere quello pubblico, oppure un un indirizzo della stessa subnet di 
outside (a cui è attaccato solo il router)
mentre invece nat statico e acl dovrebbero permettermi di accedere da 
outside (o cmq da un indirizzo pubblico) una macchina che sta in inside, 
giusto?
Luca

 giusto?
Yesse..


 Yesse..
perfetto, ho un solo dubbio, dovuto al fatto che il router non lo 
gestisco io:
Al momento i 2 server sono raggiungibili dall'esterno direttamente 
tramite 2 indirizzi pubblici 80.x.x.1 e 80.x.x.2 mentre i server hanno 
sulla lan indirizzi 192.168.0.100 e 192.168.0.200
a questo punto posso far configurare il firewall per far puntare i 2 
indirizzi pubblici all'indirizzo su outside del firewall (192.168.8.254) 
e poi gestire le connessioni tramite static utilizzando gli indirizzi 
pubblici?
static (inside, outside) 192.168.8.1 192.168.0.100 netmask 
255.255.255.255 0 0
static (inside, outside) 192.168.8.1 192.168.0.200 netmask 
255.255.255.255 0 0
e poi con le access-list
access-list webserver permit tcp any host 192.168.8.1 eq 80
access-list mailserver permit tcp any host 192.168.8.1 eq 25
access-list vncserver permit tcp any host 192.168.8.1 eq 5900
sbaglio qualcosa? c'è qualcos'altro da far settare sul router?
grazie mille
Luca

 sbaglio qualcosa? c'è qualcos'altro da far settare sul router?
si: l'acl deve essere univoca; cioe':
access-l acl_from_outside permit tcp any host 192.168.8.1 eq 80
access-l acl_from_outside permit tcp any host 192.168.8.1 eq 25
access-l acl_from_outside permit tcp any host 192.168.8.1 eq 5900
access-g acl_from_outside in interface outside
ciao,
sonoro

 access-g acl_from_outside in interface outside
Questo l'ho letto
Ora ho fatto qualche prova a casa, ma non mi funziona, non so se per 
qualche problema con il mio router adsl, oppure se sbaglio qualcosa,
Il fatto è che sul mio router ho definito un virtual server che 
specifica indirizzo e porta della macchina interna da raggiungere 
(
192.168.8.254:80
), senza il firewall di mezzo funziona tutto
Mettendo il firewall tra router e lan invece non funziona, al router ho 
dato l'indirizzo del server web, 192.168.8.254 sull'interfaccia outside, 
sulla inside invece il server web ha indirizzo 192.168.0.100, il router 
ha indirizzo 192.168.8.1
poi ho aggiunto la static route
static (inside, outside) 192.168.8.1 192.168.0.100 netmask 
255.255.255.255 0 0
e l'access-list
access-l acl_from_outside permit tcp any host 192.168.8.1 eq 80
access-g acl_from_outside in interface outside
ma con questa configurazione il web server dall'esterno non è 
raggiungibile, a questo punto mi chiedo è un problema del mio router 
oppure faccio ancora qualche casino sul pix?
Dove dovrò montare il firewall c'è un router cisco, configurato dal 
provider, a cui dovrò semplicemente indicare l'indirizzo outside del 
pix, quindi se la sintassi di cui sopra è corretta (salvo possibili 
variazioni dell'ip del router) dovrebbe funzionare giusto?
Altro problema io devo raggiungere 2 server, e 2 static route con 
l'indirizzo del router non sono possibili
pixfirewall(config)# static (inside, outside) 192.168.8.1 192.168.0.100 
netmas$
192.168.8.1
: That address already statically translated!
Dovrò creare le static route con gli indirizzi pubblici? ossia
static (inside, outside) 80.x.x.1 192.168.0.100 netmask 255.255.255.255 0 0
static (inside, outside) 80.x.x.2 192.168.0.200 netmask 255.255.255.255 0 0
e quindi modificare di conseguenza le acl
Grazie per la pazienza :-)
Luca

 Grazie per la pazienza :-)
scusa, ma la tua spiegazione mi ha mandato in confusione.... riusciresti
a fare uno schizzo di cio' che vorresti fare magari specificandoi gli
ip, etc.
da quello che ho capito:
 ISP
  |
router
192.168.8.254
  |
192.168.8.1
PIX
192.168.0.1
  |
Lan
corretto?
Ciao


Qualcosa del genere, il problema era il mio router stupido, l'ho portato 
in ufficio e tutto funziona :-)
Luca