13. april 2003 - 20:32Der er
23 kommentarer og 1 løsning
PIX 501 - opsætning virker desværre ikke
Jeg har lige købt en Pix501 og jeg ønsker at man skal kunne når webserveren web2 udefra via ip x.x.x.10 som står på indersiden med IP 192.168.91.10
Dette gør jeg dels med access-list outside_access_in permit tcp any host x.x.x.10 object-group Webserver og static (inside,outside) x.x.x.10 Web2 netmask 255.255.255.255 0 0
men det virker bare ikke :o( Hvad er problemmet?
Følgende setup er benyttet....
PIX Version 6.2(2) nameif ethernet0 outside security0 nameif ethernet1 inside security100 enable password ******** encrypted passwd ******** encrypted hostname PixFirewall domain-name xxxxx.dk fixup protocol ftp 21 fixup protocol http 80 fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol ils 389 fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol smtp 25 fixup protocol sqlnet 1521 fixup protocol sip 5060 fixup protocol skinny 2000 names name 192.168.91.10 Web2 object-group service Webserver tcp description Http,Https og Ftp port-object eq ftp port-object eq ftp-data port-object eq https port-object eq www access-list outside_access_in permit tcp any host x.x.x.10 object-group Webserver access-list inside_outbound_nat0_acl permit ip any 192.168.91.64 255.255.255.248 pager lines 24 interface ethernet0 10baset interface ethernet1 10full mtu outside 1500 mtu inside 1500 ip address outside x.x.x.2 255.255.255.240 ip address inside 192.168.91.1 255.255.255.0 ip audit info action alarm ip audit attack action alarm ip local pool VPNIP 192.168.91.64-192.168.91.71 pdm location 192.168.91.64 255.255.255.192 outside pdm location 192.168.91.64 255.255.255.248 outside pdm location Web2 255.255.255.255 inside pdm logging debugging 100 pdm history enable arp timeout 14400 global (outside) 10 interface nat (inside) 0 access-list inside_outbound_nat0_acl nat (inside) 10 0.0.0.0 0.0.0.0 0 0 static (inside,outside) x.x.x.10 Web2 netmask 255.255.255.255 0 0 access-group outside_access_in in interface outside route outside 0.0.0.0 0.0.0.0 x.x.x.1 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05:00 absolute aaa-server TACACS+ protocol tacacs+ aaa-server RADIUS protocol radius aaa-server LOCAL protocol local http server enable http 192.168.91.0 255.255.255.0 inside no snmp-server location no snmp-server contact snmp-server community public no snmp-server enable traps floodguard enable sysopt connection permit-pptp no sysopt route dnat telnet timeout 5 ssh timeout 5 vpdn group PPTP-VPDN-GROUP accept dialin pptp vpdn group PPTP-VPDN-GROUP ppp authentication mschap vpdn group PPTP-VPDN-GROUP ppp encryption mppe 40 required vpdn group PPTP-VPDN-GROUP client configuration address local VPNIP vpdn group PPTP-VPDN-GROUP pptp echo 60 vpdn group PPTP-VPDN-GROUP client authentication local vpdn username xxxxx password ********* vpdn enable outside vpdn enable inside dhcpd address 192.168.91.128-192.168.91.150 inside dhcpd dns 212.242.40.51 212.242.40.3 dhcpd lease 3600 dhcpd ping_timeout 750 dhcpd enable inside terminal width 80
Hvilken kommando skal jeg benyttes til at få logs?
Øv... Jeg troede at hvis ønskede en server bag en PIX skulle mange benytte fx. denne kommando, denne kommando o.s.v. Men jeg kan godt se problemmet - når jeg benytter PDM (Web interface) - hvis der er linier/kommandoer som modvirker dette.
som default er der lukket for traffik som bliver initeret fra et lavere sikkerheds nivaeu imod et højere, hvilket betyder at han skal have en access-list for at det virker.
Kenn-s: Jeg er desværre ikke en haj til Cisco IOS og benytter derfor deres web interface PDM. Hvordan skal sætningen for en conduit permit se ud (så prøver jeg søndag aften)?
Firewall(config)#conduit permit tcp host yyy.yyy.yyy.yyy eq 80 any
hvor ANY tillader alle eksterne host til yyy.yyy.yyy.yyy
jeg er ikke selv "haj" til dette og det er bare ment som et stikord, emn hvis du giver mig din email skal jeg sende dig en kopi af den side jeg har det fra, måske du kan søge på nettet og finde noget vedr. syntaks osv!!!
Ifølge min bog : all inbound connections must be explicitly configured by a conduit command. conduits specify which external ip addressses are allowed to connect to wich internal addresses behind the pix firewall.
http server enable http 192.168.1.0 255.255.255.0 inside no snmp-server location no snmp-server contact snmp-server community public no snmp-server enable traps floodguard enable no sysopt route dnat
vpdn group pppoe_group request dialout pppoe vpdn group pppoe_group localname xxxxxxxxxxxx vpdn group pppoe_group ppp authentication pap vpdn username xxxxxxxxxxxx password *********
Har fjernet alt det, som alligevel er standard, så den er lige til at hælde over i pixen. Jeg synes dog at du skal lave en "configure factory-default" i conf t mode. - Så resetter den (kan du selvfølgelig også gøre via PDM'en).
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
