Newsgroup: it.comp.reti.cisco
Titolo: PIX501 Aggiornare access-list

Ho modificato una access-list del mio PIX501 cancellando due righe.
Prima era così:
access-list INGRESSO permit tcp any host 192.168.0.4 eq www
access-list INGRESSO permit tcp any host 192.168.0.4 eq https
access-list INGRESSO permit tcp any host 192.168.0.3 eq ftp
access-list INGRESSO permit icmp host aaa.bbb.ccc.ddd any time-exceeded
access-list INGRESSO permit icmp host aaa.bbb.ccc.ddd any
access-list INGRESSO permit tcp any host 192.168.0.3 eq www
access-list INGRESSO permit tcp any host 192.168.0.3 eq ssh
access-list INGRESSO permit tcp any host 192.168.0.2 eq www
access-list INGRESSO permit tcp any host 192.168.0.2 eq ftp
access-list INGRESSO permit tcp any host 192.168.0.2 eq ssh
access-list INGRESSO permit tcp any host 192.168.0.2 eq https
 
Ho cancellato le prime due righe, ed ha smesso di funzionare l'indirizzo 
192.168.0.3.
Per farlo tornare in vita ho dovuto aggiungere una access-list "fake":
access-list INGRESSO permit tcp any host 192.168.0.3 eq telnet
(il server su cui è impostata la rotta per 192.168.0.3 non ha il telnet 
server...)
 
Se quando faccio modifiche con il comando 'static', dopo devo dare un 
'clear xlate', c'è un equivalente da dare dopo aver modificato una 
access-list (di solito faccio un write memory+reload, ma ci sono troppi 
utenti in linea ed avevo urgenza di ripristinare l'ftp attaccato a 
quell'indirizzo)?
 


Tutt'ora che modifichi un'acl la modifica diviene subito attiva, non devi fare 
nulla o ricaricare nulla.
Per il problema dell'ftp secondo me c'è altro perchè non ha senso l'interazione 
tra 2 ip diversi. Manca l'apertura della porta di controllo (21) per ftp, è 
voluta o te la sei dimenticata?
 
Rizio
 
 
--- Posted via news://
freenews.netfront.net/
 - Complaints to 
ne...@netfront.net
 ---

 tra 2 ip diversi. Manca l'apertura della porta di controllo (21) per ftp, è
 
Errore (orrore), volevo dire la porta 20, sorry



Intendi dire queste due?
 
static (inside,outside) tcp 192.168.0.3 ftp 172.16.aaa.bbb ftp netmask 
255.255.255.255 0 0
static (inside,outside) tcp 192.168.0.3 www 172.16.aaa.ccc www netmask 
255.255.255.255 0 0
 
 
 
 

 controllo (21) per ftp, è voluta o te la sei dimenticata?
 
Per FTP il pix dovrebbe di default avere una regola di fixup o di 
inspection nelle versioni successive che gli consente di seguire in modo 
dinamico tutta la sessione ftp, aprendo sulle acl solo la porta tcp/21.
 
BTW, il comportamento del pix che riporta Quasimodo è abbastanza 
inspiegabile.... o non ho capito la topologia oppure qualcosa non quadra....
 
 
 

 inspiegabile.... o non ho capito la topologia oppure qualcosa non quadra....
 
Si, in effetti è davvero insolito


 255.255.255.255 0 0
 
No, queste sono le static per "nattare" o pubblicare verso l'esterno (in realtà 
verso un'altra rete privata vedendo la classe degli indirizzi) il servizio ftp.
 
Io intendo proprio un'acl per accettare il traffico di controllo relativo 
all'ftp. Forse, come ha suggerito Marco Giuliani può non essere necessaria però 
devi avere la voce "fixup ftp" sotto i comandi di inspect -purtroppo non ho più 
sotto mano alcun pix per riportarti la definizione esatta della conf, alla 
peggio se posti l'intera sh run (epurata delle password ed eventuali indirizzi 
privati naturalmente) ti posso dire se l'hai o no.
 
L'acl di cui parlo dovrebbe suonare così:
 
access-list INGRESSO permit tcp any host 192.168.0.3 eq ftp-data
 
 
Btw il comportamento che hai è comunque molto strano, non ha senso sia legato ad 
altre regole e l'unico motivo con cui me lo spiego è un problema di mac-address 
o un problema sui server che stai pubblicando. Non possono dipendere l'uno 
dall'altro, se è così c'è qualcosa che non va.


 Rizio
 
 
Boh, il PIX è molto vecchio (2004 credo) e non è mai stato aggiornato il 
firmware. Il vendor-sistemista mi aveva detto, secoli fa, che alcune 
modifiche il PIX le applica solo con write memory (io in genere faccio 
un write terminal, poi se tutto funzia write memory; se ho problemi 
faccio un reload e ricomincio). Infatti dopo una write memory la 
velocità di risposta del PIX è decuplicata.
 
Però con le access-list non mi era mai successo che si incriccasse così.

 Però con le access-list non mi era mai successo che si incriccasse così.
 
Infatti non è normale nè corretto.
Rizio
 
 
P.S. l'ultimo dubbio che mi rimane riguarda la ram del pix..... prova a guardare 
che tipo di ram è e se riescia cambiarla (o testarla con un mem test su un pc 
normale). Non vorrei che il problema partisse da lì.....



Per questioni di policy aziendale, non ci penso nemmeno (If it's not 
broken, don't fix it)... Anche perché dovrei fare l'operazione nel 
week-end o di notte, a gratis: non se ne parla.
 
 

 Che sappia io il fixup è per la gestione dell'ftp attivo.
 
Se le connessioni verso l'esterno sono bloccate di default, allora il 
fixup è necessario anche per ftp passivo, con il client dietro il pix, 
perché la porta tcp del data channell è negoziata dinamicamente tra 
client e server.
 
"If all outbound TCP traffic is not implicitly allowed, the PIX Firewall 
opens a temporary conduit for the data channel from the client. This 
conduit is torn down after the data is sent."
 
http://www.ciscopress.com/articles/article.asp?p=24685
 
 
btw, in base alle vostre analisi sembra che il problema di Quasimodo sia 
tutt'altra cosa.
 
ciao!
 
 

>> firmware.
 
che firmware hai al momento? forse un aggiornamento eliminerebbe 
eventuali problemi da eventuali bug.
ma se devi farlo di notte gratis...vedi tu.... ;-)
 
 


Più che il lavorar di notte, per aggiornare il firmware è richiesto 
(parole del vendor) un contratto di manutenzione con Cisco (o con il 
vendor), che non abbiamo mai avuto.
 


 
Penso che in cisco gli upgrade (aggiungere features al sistema 
operativo, ad esempio la gestione del failover sui pix)sono a pagamento 
ma gli update sono gratuiti.
 
ti linko una vecchia discussione sulla ml di areanetworking
 
http://www.mail-archive.com/c...@ml.areanetworking.it/msg01006.html
 
 
Nella discussione si fa riferimento a questa pagina di cisco...
 
http://www.cisco.com/en/US/prod/iosswrel/prod_gen_ios_licensing.html