Newsgroup: it.comp.reti.cisco
Titolo: Abilitare GRE su Pix501

Ciao,
ho un PIX 501 che mi natta la rete locale su un unico IP. Vorrei che i
miei client potesse uscire con una connessione GRE ma ovviamente non
va. Ho fatto due ricerche su google e sono finito nel sito cisco che
mi dice che avendo l'IOS 6.3 basta avere queste due righe:
fixup protocol pptp 1723
global (outside) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
Tanto bello, le ho già, ma non va...
Secondo voi come devo agire sulle ACL perchè qualsiasi client della
mia LAN possa usare GRE?
grazie
Ste
pixfirewall# sh run
PIX Version 6.3(3)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
hostname pixfirewall
domain-name <mydomain>
clock timezone CEST 1
clock summer-time CEDT recurring last Sun Mar 2:00 last Sun Oct 3:00
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol pptp 1723
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
access-list 109 permit tcp any interface outside eq 4662
access-list 109 permit udp any interface outside eq 4672
access-list 109 permit tcp any interface outside eq 4711
access-list 109 permit tcp any interface outside eq 2002
access-list 109 permit udp any interface outside eq 2006
access-list 109 permit tcp any interface outside eq 4962
access-list 109 permit udp any interface outside eq 4972
access-list 109 permit tcp any interface outside eq 16898
access-list 109 permit udp any interface outside eq 16898
access-list 109 permit tcp any interface outside eq 16899
access-list 109 permit udp any interface outside eq 16899
pager lines 24
mtu outside 1500
mtu inside 1500
ip address outside dhcp setroute
ip address inside 192.168.1.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
pdm location 192.168.1.0 255.255.255.255 inside
pdm location 192.168.1.150 255.255.255.255 inside
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) tcp interface 4662 192.168.1.150 4662 netmask
255.255.255.255 0 0
static (inside,outside) udp interface 4672 192.168.1.150 4672 netmask
255.255.255.255 0 0
static (inside,outside) tcp interface 4661 192.168.1.150 4711 netmask
255.255.255.255 0 0
static (inside,outside) tcp interface 2002 192.168.1.150 2002 netmask
255.255.255.255 0 0
static (inside,outside) udp interface 2006 192.168.1.150 2006 netmask
255.255.255.255 0 0
static (inside,outside) tcp interface 4962 192.168.1.149 4962 netmask
255.255.255.255 0 0
static (inside,outside) udp interface 4972 192.168.1.149 4972 netmask
255.255.255.255 0 0
static (inside,outside) tcp interface 16898 192.168.1.149 16898
netmask 255.255.255.255 0 0
static (inside,outside) udp interface 16898 192.168.1.149 16898
netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 16899 192.168.1.150 16899
netmask 255.255.255.255 0 0
static (inside,outside) udp interface 16899 192.168.1.150 16899
netmask 255.255.255.255 0 0
static (inside,outside) <outsideIP> 192.168.1.0 netmask
255.255.255.255 0 0
access-group 109 in interface outside
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225
1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
service resetinbound
service resetoutside
telnet 192.168.1.0 255.255.255.0 inside
telnet timeout 5
ssh timeout 5
console timeout 0

miei client potesse uscire con una connessione GRE
Dando per scontato che i tuoi client facciano vpn mircosoft (pptp), mi 
capitato che il fixup non funzioni con certi server, tipicamente non 
microsoft, in quei casi non ho trovato soluzione.
Ciao,
         Tosh. 

il fixup dovrebbe risolvere tutti i problemi legati al PAT del GRE e del 
rientro delle traffico sempre GRE dall'outside.
Se come dice Tosh, in alcuni casi fa cilecca, io nel dubbio aggiungerei 
anche questa riga:
access-list 109 permit gre any any
dal punto di vista della sicurezza non vedo particolari rischi.
ciao
Assice
Teto ha scritto:



Tutto bello, ma sono rincoglionito io..volevo farlo passare su Fastweb
e quanto pare da LAN fastweb non puoi uscire in GRE. Il problema non
sta quindi nel mio PIX...azz... qualcuno ha soluzioni che non siano
l'IP statico per uscire in GRE da Fastweb?
Ste


Fastweb natta (o meglio, patta) tutti gli utenti di una man su un unico ip 
pubblico, il che in effetti è spesso incompatibile con il pptp.
Se Fastweb non supporta il pptp sul suo nat mi sa che puoi solo passare 
all'ip pubblico.
Ciao,
         Tosh. 

Ste
OpenVPN? 
Una porta TCP o UDP a scelta e vivi felice :-)
-- 
The Alley Cat
alley...@gmail.com