Newsgroup: it.comp.reti.cisco
Titolo: Elaborazione access-list

Nella sede A è presente un Pix 506 con una access-list con 80 regole.
La sede B si collega ad internet tramite la sede A, passando su una
2MBit.
Se scarico la posta con protocollo pop3 dalla sede A nessun problema.
Se scarico la posta con protocollo pop3 dalla sede B, appare su Outlook il
messaggio "il server non ha risposto in X secondi, attendi ? interrompi ?)
*solo* con email contenenti messaggi più grossi di 1MB.
Con email senza allegati o con allegati piccoli il problema non sussiste.
Ho pensato a problemi HW di tutti i tipi ma dopo una serie di test
incrociati ho scoperto che cancellando la access-list il timeout non
si verifica !
Anche spostando in alto nella access-list le regole per permettere il
passaggio del POP3 ottengo ugualmente il messaggio di timeout.
Cosa posso fare ? E' possibile potenziare il Pix 506 con aggiungendo
qualche schedina aggiuntiva ?
Oppure devo passare ad un firewall più potente ?
Oppure devo ridurre la access-list ?
Oppure ... ?
Grazie per eventuali consigli

 Oppure ... ?
prova ad applicare l'ACL poco x volta per capire se e'
sufficente applicare una qualsiasi oppure se e' una entry
particolare che ti da problemi
Ciao

 particolare che ti da problemi
Sono partito dalle mie 80 righe è ho sfoltito tutte le regole.
Togli di qui, elimina di là e alla fine sono rimasto con
questa access-list minimale:
access-list USCITA permit tcp any host <ip_del_server_pop3> eq pop3
access-list USCITA permit udp any host <ip_del_dns1> eq domain
access-list USCITA permit udp any host <ip_del_dns2> eq domain
access-group USCITA in interface inside
ma è riapparso il maledetto messaggio di timeout :(
e per finire ho provato con questa access-list inesistente
e ho scaricato il messaggio con allegato da 4 MB senza problemi.
access-list USCITA permit ip any any
access-group USCITA in interface inside
sono sempre più perplesso .... potrebbe essere un problema
hardware del Pix ? oppure qualche timeout causato dai due
router che collegano la sede A e la sede B ?

 
So che puoi compilare le ACL sul PIX ma non lo ho mai fatto. Dovrebbe essere disponibile almeno 
dalla 6.2. La feature si chiama TurboACL.
Alex.

essere disponibile almeno dalla 6.2. La feature si chiama TurboACL.
in fondo alla access-list metto sempre questo comando:
access-list USCITA compiled
E' questo che intendi per TurboACL ? Ad ogni modo mettendolo o non
mettendolo il timeout si verifica comunque ...


non e' detto che sia il PIX il colpevole...
(forse) il server di posta tenta di autenticare il client
(forse) prova a farlo su una porta chiusa dal PIX (113)
(forse) quando il server decide di lasciar perdere perche' il client
non gli risponde, il PIX ha gia' cancellato le access list di risposta
...che dici ?
ciao
Marialaura

 non gli risponde, il PIX ha gia' cancellato le access list di risposta
in che senso ? 

 wrote in message 
news:dhh6l2$o4p$1...@fittipaldi.interac.it...


 sul matching della ACL
non ci posso credere ... ho messo il debug a livello 7 e il file del syslog
ha registrato in poco tempo una valanga ti tentativi di andare in internet
da parte di una macchina della sede B ... in pratica era come se quella
macchina stesse sferrando un attacco DOS contro il PIX, senza averne
intenzioni !
Grazie per avermi indicato la via per risolvere il problema :)
Ho pensato a problemi di rete di ogni tipo senza mettere a
fuoco completamente il problema

 wrote in message 
news:dhje9g$a5s$1...@fittipaldi.interac.it...
