Newsgroup: it.comp.reti.cisco
Titolo: Grosso problema apertura porte su PIX 515

Ciao a tutti, ho qualche problemino di configurazione di un firewall PIX
515, più che di configurazione sul PIX è già impostata una statica dalla DMZ
verso l'INSIDE in questo modo
static (inside,dmz) 10.10.10.16 172.25.207.16 netmask 255.255.255.255 0 0
con una serie di conduit che permettono all'unico server in DMZ con
indirizzo 10.10.10.2 di utilizzare le porte definite dai conduit per
raggiungere un SQL server nella mia LAN, ora il problema è che dovendo
utilizzare una seconda applicazione sul web server in DMZ e che questa deve
puntare verso un secondo SQL nella LAN interna ho pensato che banalmente
potevo replicare la statica mettendo
static (inside,dmz) 10.10.10.19 172.25.207.19 netmask 255.255.255.255 0 0
e quindi inserire le conduit cambiando ovviamente l'IP verso il quale aprivo
le porte.
In realtà fatto tutto questo non funziona o meglio l'WEBSERVER comunica con
l'ip 10.10.10.16 ma non con il 10.10.10.19.
Avete qualche consiglio da darmi?
-- 
Because[HT-Group]

 static (inside,dmz) 10.10.10.16 172.25.207.16 netmask 255.255.255.255 0 0
prima di dire altro .... sho ver? 
perche' usi i conduit? 
se hai una versione recente di pixos con access-list ti semplifichi la
vita, con nat0 fai quel che vuoi con meta' fatica.
se ne hai una meno recente ... beh meglio aggiornare :))))
un mayhem new features
-- 
 Everyone is gay, with someone's else ass 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613


La versione è 6.1 purtroppo prima dell'aggiornamento ci vorrà parecchio il
firewall è a metà nostro e di fastweb per cui dobbiamo aspettare loro e coi
tempi che hanno devo aspettare una vita.
Per il problema c'è qualche soluzione con la configurazione che ho
attualmente?
Grazie intanto per l'aiuto
-- 
Because[HT-Group]

 qualche soluzione con la configurazione che ho attualmente?
okz, allora:
lan(172.25.205.x) --- pix --- dmz(10.10.10.x)
in dmz tu hai 2 server: 10.10.10.16 e 10.10.10.19
ognuno dei server deve accedere ad un sql server in lan, 172.25.205.a e
172.25.205.b.
oltre alle static, potresti postare i relativi conduit di cui parli e
confermarmi che ho capito lo scenario?
un mayhem vediamo se mi ricordo i conduit :)



Allora in realtà la situazione è questa in DMZ un server con indirizzo
10.10.10.2 in lan 2 SQL server con ip 172.25.207.16 e 172.25.207.19
Configurazione iniziale una sola statica così fatta
static (inside,dmz) 10.10.10.16 172.25.207.16 netmask 255.255.255.255 0 0
e queste sono le conduit
conduit permit icmp any any
conduit permit tcp host 213.140.14.170 range 11 136 any
conduit permit tcp host 213.140.14.170 range 140 65535 any
conduit permit udp host 213.140.14.170 range 11 136 any
conduit permit udp host 213.140.14.170 range 140 65535 any
conduit permit tcp host 10.10.10.16 eq 1433 10.10.10.0 255.255.255.0
conduit permit tcp host 10.10.10.16 eq 137 10.10.10.0 255.255.255.0
conduit permit tcp host 10.10.10.16 eq 138 10.10.10.0 255.255.255.0
conduit permit tcp host 10.10.10.16 eq 139 10.10.10.0 255.255.255.0
conduit permit tcp host 10.10.10.16 eq 6666 10.10.10.0 255.255.255.0
conduit permit udp host 10.10.10.16 eq 1433 10.10.10.0 255.255.255.0
conduit permit udp host 10.10.10.16 eq netbios-ns 10.10.10.0 255.255.255.0
conduit permit udp host 10.10.10.16 eq netbios-dgm 10.10.10.0 255.255.255.0
conduit permit udp host 10.10.10.16 eq 139 10.10.10.0 255.255.255.0
conduit permit udp host 10.10.10.16 eq 6666 10.10.10.0 255.255.255.0
conduit permit tcp host 10.10.10.16 eq 6667 10.10.10.0 255.255.255.0
conduit permit udp host 10.10.10.16 eq 6667 10.10.10.0 255.255.255.0
e fin qui tutto funziona ora volevo che lo stesso server DMZ potesse
raggiungere l'altro SQL Server per cui avevo pensato di inserire questa
statica
static (inside,dmz) 10.10.10.19 172.25.207.19 netmask 255.255.255.255 0 0
e ovviamente tutte le conduit cambiando l'ip di destinazione
purtroppo inserendo le modifiche il server in DMZ continua a vedere il primo
SQL ma non il secondo
-- 
Because[HT-Group]

 e ovviamente tutte le conduit cambiando l'ip di destinazione
in realta' questa e' l'unica conduit che permette al sql server di
rispondere alle query del web server:
conduit permit tcp host 10.10.10.16 eq 1433 10.10.10.0 255.255.255.0 
e riscrivendola come:
conduit permit tcp host 10.10.10.19 eq 1433 10.10.10.0 255.255.255.0 
con lo static detto prima conduit permit tcp hostdovrebbe funzionare. ma
tu dici di no. 
*c'e' il default gw, o la route corretta sul secondo database server?*
non ho molta esperienza con i conduit e di solito lavoro con il nat0.
tuttavia se vuoi ti posso dare una cfg in nat0:
access-l no-nat-dmz2lan permit ip host 10.0.0.2 host 172.25.207.19 
nat (dmz) 0 access-l no-nat-dmz2lan
conduit permit tcp 172.25.207.91 eq 1433 host 10.0.0.2 
almeno hai una alternativa da testare.
un mayhem che odia i conduit :((((
