Newsgroup: it.comp.reti.cisco
Titolo: Routing statiche su PIX 501

Ciao a tutti,
ho un problema nel far funzionare delle routing statiche sul PIX. Il mio PC
ha come gateway l' inside del PIX 192.168.0.3 e sul PIX ho configurato una
route statica per l' indirizzo 1.244.4.217 verso la eth di un router
192.168.0.2
:
route inside 1.244.4.217 255.255.255.255 192.168.0.2 1
ma non c'č verso di pingare quell' indirizzo dal mio PC, mentre dal Pix
riesco a pingarlo. Se do il comando debug icmp trace, quando pingo quell'
indirizzo dal mio PC, sul PIX non vedo niente, mentre se pingo l' indirizzo
della outside vedo il messaggio:
Outbound ICMP echo request (len 32 id 6 seq 7680) 192.168.0.157 >
192.168.0.157 > 192.168.1.251
dove 192.168.0.157  č il mio PC e 192.168.1.251 č l' indirizzo della
outside, senza ricevere nessuna echo reply.
Sul PIX ho configurato il PAT piů una serie di NAT statiche, vi scrivo la
configurazione (che č una di prova) nella speranza che qualcuno mi possa
aiutare.
ciao e grazie
PIX Version 6.1(4)
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password LzCNHpFlNAKYreYB encrypted
passwd NWEZac4gARNdbZK7 encrypted
hostname dwpix
domain-name 
pippo.it
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
fixup protocol skinny 2000
names
name 192.168.0.210 srv01
name 192.168.0.20 dw
name 192.168.0.214 srv02
access-list outside_access_in permit tcp any host 192.168.1.252 eq smtp
access-list outside_access_in permit tcp any host 192.168.1.252 eq www
access-list outside_access_in permit tcp any host 192.168.1.253 eq telnet
access-list outside_access_in permit tcp any host 192.168.1.253 eq ftp
access-list outside_access_in permit tcp any host 192.168.1.253 eq ftp-data
access-list outside_access_in permit tcp any host 192.168.1.253 eq 8999
access-list outside_access_in permit tcp any host 192.168.1.253 eq www
access-list outside_access_in permit tcp any host 192.168.1.253 eq 443
access-list outside_access_in permit udp any host 192.168.1.252 eq domain
access-list outside_access_in permit udp any host 192.168.1.250 eq domain
access-list outside_access_in deny tcp any any
access-list inside_access_in permit icmp any any
access-list inside_access_in permit ip any any
access-list nonat-inside permit ip any 192.168.0.0 255.255.255.0
pager lines 24
logging on
logging timestamp
logging trap notifications
logging history notifications
logging host inside 192.168.0.157
interface ethernet0 10baset
interface ethernet1 10full
icmp permit any echo outside
icmp permit any echo-reply outside
icmp permit any redirect outside
icmp permit any echo inside
icmp permit any echo-reply inside
icmp permit any redirect inside
mtu outside 1500
mtu inside 1500
ip address outside 192.168.1.251 255.255.255.0
ip address inside 192.168.0.3 255.255.255.0
ip verify reverse-path interface outside
ip verify reverse-path interface inside
ip audit name attack attack action alarm drop reset
ip audit interface outside attack
ip audit info action alarm
ip audit attack action alarm
ip local pool pptp-pool 192.168.0.21-192.168.0.30
pdm location 192.168.0.66 255.255.255.255 inside
pdm location srv01 255.255.255.255 inside
pdm location 192.168.1.66 255.255.255.255 outside
pdm location dataware 255.255.255.255 inside
pdm location 192.168.0.0 255.255.255.0 inside
pdm location 192.168.0.157 255.255.255.255 inside
pdm location 1.244.4.217 255.255.255.255 inside
pdm location srv02 255.255.255.255 inside
pdm location 1.244.2.217 255.255.255.255 outside
pdm logging notifications 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list nonat-inside
nat (inside) 0 192.168.0.0 255.255.255.0 0 0
static (inside,outside) 192.168.1.252 srv01 netmask 255.255.255.255 0 0
static (inside,outside) 192.168.1.253 dataware netmask 255.255.255.255 0 0
static (inside,outside) 192.168.1.250 srv02 netmask 255.255.255.255 0 0
access-group outside_access_in in interface outside
access-group inside_access_in in interface inside
route inside 1.244.4.217 255.255.255.255 192.168.0.2 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323
0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
http server enable
http 192.168.0.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
tftp-server inside 192.168.0.157 pix
floodguard enable
sysopt connection permit-pptp
no sysopt route dnat
telnet timeout 5
ssh 192.168.1.66 255.255.255.255 outside
ssh 192.168.0.157 255.255.255.255 inside
ssh timeout 5
vpdn group 1 accept dialin pptp
vpdn group 1 ppp authentication pap
vpdn group 1 ppp authentication chap
vpdn group 1 ppp authentication mschap
vpdn group 1 ppp encryption mppe 40 required
vpdn group 1 client configuration address local pptp-pool
vpdn group 1 pptp echo 60
vpdn group 1 client authentication local
vpdn username pippo password pluto
vpdn username paperino password paperina
vpdn username topolino password minni
vpdn enable outside
terminal width 80
Cryptochecksum:1cc904d373b4a00c82696331d25a8167
: end
[OK]

 ciao e grazie
Il PIX non č un router, le rotte statiche servono solo a lui per sapere dove
si trovano le network che potrebbero passare attraverso lui per andare in
internet ad esempio, quindi non puoi pensare di pingare da un pc una network
che si trova dietro un router che sta sulla inside se hai come default
gateway il pix sul tuo pc.
Ciao .

 ha scritto nel messaggio
news:M9cha.58063$7y3.1...@twister1.libero.it...

Ben detto, il comando "route inside" puo' venire utile solo al router
192.168.0.2 per conoscere a sua volta la strada di Internet, la soluzione a
mio avviso piu' semplice e' quella di implementare delle route statiche su
tutte le macchine che devono accedere all'host incriminato facendo eseguire
opportuni script al loro avvio.
saluti.

 saluti.
E' una soluzione, ma per fortuna ho un altro router che userò come defalt
gateway della LAN, dove metto delle routing statiche verso un altro router
per una
VPN su una sede remota, e la 0.0.0.0 0.0.0.0 verso la inside del PIX. Questo
router darà ogni volta ai PC le routing statiche con degli ICMP redirect e
tutto dovrebbe funzionare.
Non conosco ancora bene il PIX e sto cercando di studiarne tutte le
funzionalità, per cui avendo visto la possibilità di inserire routing
statiche avevo pensato che potesse funzionare come un router.
Ne approfitto per farvi una domanda veloce: ho visto che il PIX ha molti
comandi diversi dai router e non ho ancora capito il comando per vedere la
configurazione
running nella RAM. La versione è la 6.1, ho visto che lo sh startup-config
si fa con il comando show conf, ma qual è il comando pari a show running
config?
Comunque mille grazie per le risposte e per i chiarimenti
ciao a tutti


il comando che cerchi è "write term", ma dalla 6.2.2 i comandi sono
diventati come quelli dei router cioè "sh run"
ciao

Ancora grazie
ciao
