23. oktober 2005 - 10:10Der er
16 kommentarer og 1 løsning
Flere offentlige ip'er Cisco Pix - Static regler
Hey hey igen, opretter lige spørgsmålet igen det rigtige sted.
------- Nu må jeg simpelhen smide håndklædet i ringen, efter flere timers intens slåskamp med en Cisco Pix igår , håber jeg på at en eller flere har svar på lige det som jeg skal bruge.
Sagen er den, at jeg har et skab hos en hosting partner, 12 offentlige ipadresser. Med tiden bliver det så til at hver server skal have sin egen offentlige adresse.
Og som jeg har forstået det, så forgår det ved at jeg oversætter en privat adresse til en offentlig via en "static (inside,outside)"
Det der så sker når jeg laver den regel så lukker alt trafik begge veje til den pågældende ip. Accesslister tillader alt indefra og ud, så det burde ikke være der hvor begrænsningen ligger.
Men det er godt nok noget tid siden jeg sidst har lavet noget tilsvarende , så er en smule rusten i hvordan og hvorledes.
Det skal siges at al anden trafik fra de andre servere som suser ud igennem "interface" altså pix'en egen offentlige trafik fungerer glimrende.
Fejlen ligger muligvis i enten accesslist, eller PAT / nat / Static opsætning, det kan vel næsten ikek være andet.
Tak fordi du læste så meget, håber det er til at forstå, og håber du har svaret : )
Dette er min konfiguration, den er muligvis ikke 100% har rekonstrueret den som den tidligere var, da jeg opgav og sendte trafikken ud igennem "interface" istedet for.
------------------------------------
PIX Version 6.3(4) interface ethernet0 100full interface ethernet1 100full nameif ethernet0 outside security0 nameif ethernet1 inside security100 enable password passwd hostname pix domain-name domain.local fixup protocol dns maximum-length 512 fixup protocol ftp 21 fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol http 80 fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol sip 5060 fixup protocol sip udp 5060 fixup protocol skinny 2000 no fixup protocol smtp 25 fixup protocol sqlnet 1521 fixup protocol tftp 69 names name 192.168.10.10 Server access-list compiled access-list 100 permit icmp any any echo-reply pager lines 24 logging on logging trap debugging logging host inside 192.168.10.50 icmp deny any outside mtu outside 1500 mtu inside 1500 ip address outside 81.8.153.135 255.255.255.240 ip address inside 192.168.10.1 255.255.255.0 ip verify reverse-path interface inside ip audit info action alarm ip audit attack action alarm pdm history enable arp timeout 14400 global (outside) 1 interface nat (inside) 1 0.0.0.0 0.0.0.0 dns 0 0 static (inside,outside) 81.8.153.139 192.168.10.10 255.255.255.255 0 0 access-group 100 in interface outside route outside 0.0.0.0 0.0.0.0 81.8.153.134 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05:00 absolute aaa-server TACACS+ protocol tacacs+ aaa-server TACACS+ max-failed-attempts 3 aaa-server TACACS+ deadtime 10 aaa-server RADIUS protocol radius aaa-server RADIUS max-failed-attempts 3 aaa-server RADIUS deadtime 10 aaa-server LOCAL protocol local aaa authentication http console LOCAL aaa authentication ssh console LOCAL aaa authentication telnet console LOCAL no snmp-server enable traps floodguard enable sysopt noproxyarp outside sysopt noproxyarp inside ssh timeout 20 console timeout 0 terminal width 80 Cryptochecksum:37cac8571ec815e7fe9e45b4a813c2d8 : end
static bruges til at fortælle pix'en kan hvad den skal gøre med indkommende trafik og nat/global bruges til udgående trafik. Ud fra de forskellige static/nat/global laver den sine xlates og i dette tilfælde, kan der være tvivl om, hvad du vil med din udgående trafik. Jeg tror, at du er nødt til at skrive (sådan cirka): nat (inside) 2 192.168.10.10 255.255.255.255 global (outside) 2 81.8.153.139 255.255.255.255 for at fortælle pix'en, hvad den skal gøre med den udadgående trafik for den pågældende host. Alternativt skal du få din udbyder til at route din /28 til pix'en, så du kan give dine servere de rigtige adresser. så kan du lave en nat 0, der fanger alle servere i eet hug (underforudsætning af, at du ikke har flere servere end de 13, der bliver muligt i denne opsætning.
Mange tak for dit svar, vi er helt enige. Jeg har prøvet det som du forslår, og har lige testet det igen her. Og såsnart jeg laver global reglen så kommer der absolut intet svar eller trafik igen.
Pt kan jeg ikke lige se sysloggen, men jeg kan vende tilbage når jeg har en nogenlunde log. Sidst jeg kiggede i den, kunne jeg bare se at den prøvede at lave et navneopslag feks ved et ping på en host, men der kom ikke svar tilbage til den.
hehem klart nok. Den konfig jeg har der er ikke den som jeg tilsidst rev rundt, man kan godt høre jeg har været godt tosset over det ikke virkede. Men jeg havde en "no proxyarp" og en "ip reverse path outside" mener jeg de hed, og de var overflødige.
selvfølgelig. "syopt noproxyarp outside" får den til ikke at svare på arp requests for andet end den selv på ydersiden. Næsten alle vores pix'er anvender nat 0, så den kiggede jeg ikke lige efter. Jeg har også svært ved at se formålet med den kommando, men der skal da sikkert nok være et.
Translate an Internal Address with DNS Doctoring In the first example, the web server has an IP address of 10.10.10.10. The global IP address of this web server is 99.99.99.99.
Note: The DNS server is on the outside. Verify that the DNS server resolves your domain name to the global IP address of the web server by issuing an nslookup command. The result of the nslookup on the client PC is the internal IP address of the server (10.10.10.10). This is because the DNS reply gets doctored as it passes through the PIX.
Also note that in order for DNS fixup to work properly, proxy-arp has to be disabled. If you use the alias command for DNS fixup, disable proxy-arp with the sysopt noproxyarp internal_interface command after the alias command is executed.
Note: You cannot use DNS Doctoring while Port Redirection is in use.
Hm... giver det ikke problemer med din DNS som du angiveligt har på "outside" ?
Men stadig noget mere kompetent end de fleste andre herinde ;-) For min skyld må du gerne beholde pointene.
Synes godt om
Ny brugerNybegynder
Din løsning...
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
