Newsgroup: it.comp.reti.cisco
Titolo: PIX e apertura porta telnet.

Ciao A tutti
Premessa di cisco pix non ne ho mai configurati. Lo strumento lo vedo per la
prima volta ed è stato configurato da altri tecnici.
La richiesta del cliente è di aprire la porta TELNET (23) e la porta 449 per
permettere ad un utente con ip fisso
di entrare su un host interno specifico.
Ho visto nella configurazione tanti comandi come
fixup protocol ftp 21
fixup protocol http 80
fixup protocol smtp 25
e
conduit permit icmp any any
conduit permit tcp host 192.168.1.219 eq ident any
conduit permit tcp host 192.168.1.219 eq smtp any
Che differenza c'è (tra FIXUP e CONDUIT) io non sono riuscito a capire.
e poi perche non mi accetta
fixup protocol telnet 23 (AMMESSO CHE MI SERVA O SIA LA SINTASSI GIUSTA?)
oppure
conduit permit tcp host 192.168.1.200 eq telnet any        (AMMESSO CHE MI
SERVA O SIA LA SINTASSI GIUSTA?)
Perdonate l'ignoranza ma è proprio la prima volta che vedo un PIX
Ciao a tutti Alberto

Poveri noi !!
Cosa servira' un firewall se poi dobbiamo lasciare l'accesso telent 
 alle macchine interne
al cliente ???? MAh ....  
Comunque,  la spiga e' questa.
Il firewall PIX e' una macchina che si basa essenzialmente su peso delle 
singole interfaccie
per indentificare il traffico. Infatti, sono presenti (sempre) due 
interfacce Inside
con perso (detto security) 100 e outside con peso 0.
In relazione a questo, il traffico e' considerato "stabilito" (quindi 
consentito)
se e solo se la direzione del pacchetto e' dalla IF di peso maggiore a 
quella di peso minore.
In questo senso non esiste necessita' di regole. Quindi tutto il 
traffico veros IF/reti dichiarate di peso MInore
dallla IF/rete con peso maggiore e' sempre consentio.
Tutto questo se Le statiche sono corrette.
AL caso contrario, il traffico che transita da una IF di peso minore ad 
una IF di peso maggiore
Necessita di regole che sono identificate in due modi:
Con le Access-LIST
Con le CONDUIT
Gli approcci sono differenti: le ACL vengono applicate alla INTERFACCIA, 
mentre le CONDUIT sono Globali.
Oltre a queste esistono le STATIC che non sono "regole" ma sono regole 
di TRASLAZIONE tra le interfaccie,
che consentono al PIX di porate il traffico INBOUND nella corretta 
interfaccia/rete.
In generale una regola completa sul PIX e' possibile scriverla in due modi:
1.  STATIC + CONDUIT
2.  STATIC + ACL + IF associata
Detto questo, La tua regola si scrive come segue:
conduit permit tcp host [IP address interno] eq 23 host [IP address 
esterno] gt 1023
conduit permit tcp host [IP address interno] eq 449 host [IP address 
esterno] gt 1023
IL FIxUP  e' un'altro discorso ... comunque da non toccare !!
CIao ciao JIM


 ha scritto nel messaggio
news:3C4E8311...@example.net...





Ciao,

Ho scritto sbagliato una riga ... :((( che tristezza :)))

"""Quindi tutto il  traffico veros IF/reti dichiarate di peso MInore 

dallla IF/rete con peso maggiore e' sempre consentio. """  



Volevo dire 



"""Quindi tutto il  traffico veros IF/reti dichiarate di peso Maggiore

dallla IF/rete con peso Minore e' sempre consentio. """








a...@mail.asimantova.it
 wrote:




Per quanto riguarda il tuo suggerimento




conduit permit tcp host [IP address interno] eq 23 host [IP address




esterno] gt 1023




conduit permit tcp host [IP address interno] eq 449 host [IP address




esterno] gt 1023
cosa significa [ gt 1023 ]  negli altri conduit in configurazione non è
menzionato?



GT = greater than  ovvero maggiore di  .

COme saprai la connessione TCP/UDP che usa le porte per creare il socket,
ha a disposizione porte 

stabilite e porte consentite. Nle caso di una connessione clinet server standard
tipo telnet,

la porta di destinazioe e' la 23 ma la sorgente, deve essere una qualunque
sopra la 1023.

Come da RFC del TCP.

E' buona regola creare una regola con queste restrizioni per evitare Porte
sorgenti tipo 0, 1 ...

etc ....  COmunque non e' sempre vero ...

Per es le query DNS hanno porta des 53 ma sorgente anche inferiore alla 1023
... 

(e questo mi fa molto incazzare  ...) 



Ciao JIM















 ha 
  scritto nel messaggio 
news:3C4EA576...@example.net
...
