cisco 1841, redundante vpn tunnels + 2 dsl verbindingen

[Verwijderd]

Hi all,

Ik zit met een behoorlijk probleem. Ik heb al een groot aantal uren aan deze config besteed, maar er zijn toch een aantal dingen die ik nog niet goed snap.

Wat wil ik? Een kleine illustratie hieronder om mijn wensen te verduidelijen.

lan netwerk Amsterdam: 10.31.10.0/24
*|*
*|*
Pix Firewall; inside: 10.31.10.1 outside, 172.16.0.2
*|*
*|*
Cisco 1841 router, intern: 172.16.0.1, outside: 82.16.0.2 and 212.61.0.2
*|*
*|*
2x cisco dsl modems, 82.16.0.1 en 212.61.0.1
*|*
*|*
HET INTERNET
*|*
*|*
2x cisco dsl modems, 82.16.1.1 en 212.61.1.1
*|*
*|*
Cisco 1841 router, intern: 172.16.0.1, outside: 82.16.1.2 and 212.61.1.2
*|*
*|*
Pix Firewall; inside: 10.31.11.1 outside, 172.16.0.2
*|*
*|*
lan netwerk Rotterdam: 10.31.11.0/24

Zoals je ziet zijn er dus 2 locaties, Rotterdam en Amsterdam, die beide middels 2 verbindingen verbonden zijn met het internet. Dat werkt. Als de ene verbinding uitvalt neemt de andere het netjes over.

Tussen Rotterdam en Amsterdam moeten ook 2 vpn tunnels opgezet worden die het van elkaar kunnen overnemen als er 1 van de verbindingen uitvalt. Dit geeft wat problemen. Tevens heb ik problemen met de statische nat configuratie.

Wat ik wil doen is vanaf de Cisco 1841 router statisch een aantal publieke ip-adressen mappen naar de servers achter de pix firewall.

Op de pix firewall zelf kan dit heel simpel met bijvoorbeeld het volgende commando:

static (inside,outside) 212.61.0.3 10.31.1.15 netmask 255.255.255.255 0 0

Hiermee zorgt je er dus voor dat dat ip-adres op een pix hard genat wordt aan de server die erachter staat, 1 op 1.

Echter ik kan dat nu niet via de pix doen omdat ik moet NATTEN op de cisco 1841 router. Dit omdat ik moet natten op de cisco router. Dit ivm het vpn verkeer dat heen en weer gaat.

Mijn eerste vraag is dan ook, hoe maar ik zo'n zelfde NAT regel om vanuit de cisco 1841 router 1 op 1 een overgebleven ip-adres naar een server achter de pix te natten?

Ik heb het volgende geprobeerd maar dit werkte niet:


ip nat pool testpoolnat2 82.16.0.2 82.16.0.5 netmask 255.255.255.248
ip nat inside source list 2 pool testpoolnat2 overload
ip nat pool testpoolnat 212.61.0.2 212.61.0.5 netmask 255.255.255.248
ip nat inside source list 1 pool testpoolnat overload
ip nat inside source static 10.31.10.15 212.61.0.3
!
access-list 1 permit 10.31.10.0 0.0.0.255
access-list 1 permit 172.16.0.0 0.255.255.255
access-list 2 permit 10.31.10.0 0.0.0.255
access-list 2 permit 172.16.0.0 0.255.255.255

Met deze nat-configuratie op de een of andere manier kan dan alleen nog maar de server met ip-adres 10.31.10.15 op het internet, en alle andere werkstations hebben geen verbinding meer. Hoe maar ik dus een statische mappen 1op1 aan vanuit de cisco router naar een server achter de pix zonder dat daarbij de overige clients achter de pix benadeeld worden?

Als tijdelijk oplossing had ik bedacht om maar even met portforwards te werken. Want als ik het voglende doe dan werkt het wel goed:

ip nat inside source static tcp 10.31.10.15 25 212.61.0.2 25 extendable

Maar ja dan kan ik dus niet alle ip-adressen uit mijn publieke subnets benutten wat ik dus wel graag wil.

Tevens heb ik nog een ander probleem als ik met de portforwards werkt, namelijk het volgende:

Als ik de 2 vpn tunnels wil opbouwen dan krijg ik de melding dat ik in plaats van met static nat rules met routemap rules moet werken of iets. Als ik dan dat doe op de 1841 zodat ik die vpn tunnels kan aanmaken dan kunnen weer mijn clients het internet niet op.

Ik ben dus een beetje de kluts kwijt, en ik hoop dat iemand mij een beetje op weg kan helpen met de juiste configuratie. Ik heb geen goed voorbeeld kunnen vinden op de cisco site of op google of whatever met een vergelijkbare configuratie. Waarin dus op de cisco 1841 wordt genat, incl. 2 redundante vpn tunnels, met static mapping van publieke adressen naar een netwerk dat niet direct gekoppeld is aan deze router.

Ik kan helaas op dit moment niet direct bij de configuratie van de router vanuit hier. Ik kan je wel een andere testconfig laten zien zodat je een beetje het gevoel krijgt van hoe deze router er nu uitziet.

Current configuration : 4008 bytes
!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname yourname
!
boot-start-marker
boot-end-marker
!
logging buffered 51200 warnings
!
no aaa new-model
!
resource policy
!
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
ip subnet-zero
ip cef
!
!
no ip dhcp use vrf connected
!
!
no ip ips deny-action ips-interface
ip domain name yourdomain.com
!
!
!
!
username cisco privilege 15 secret 5 *****************************************8
!
!
!
crypto isakmp policy 1
encr 3des
authentication pre-share
group 2
crypto isakmp key test123 address 10.1.0.1
crypto isakmp key test123 address 10.2.0.1
!
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
crypto ipsec transform-set ESP-3DES-SHA1 esp-3des esp-sha-hmac
!
crypto map SDM_CMAP_1 1 ipsec-isakmp
description Tunnel to10.1.0.1
set peer 10.1.0.1
set transform-set ESP-3DES-SHA
match address 100
!
crypto map SDM_CMAP_2 1 ipsec-isakmp
description Tunnel to10.2.0.1
set peer 10.2.0.1
set transform-set ESP-3DES-SHA1
match address 101
!
!
!
interface FastEthernet0/0
description $ETH-SW-LAUNCH$$INTF-INFO-FE 0$$ETH-LAN$
ip address 212.61.0.2 255.255.255.248
ip nat outside
ip virtual-reassembly
duplex auto
speed auto
crypto map SDM_CMAP_1
!
interface FastEthernet0/1
description $ETH-WAN$
ip address 82.16.0.2 255.255.255.48
ip nat outside
ip virtual-reassembly
duplex auto
speed auto
crypto map SDM_CMAP_2
!
interface FastEthernet0/0/0
switchport access vlan 2
!
interface FastEthernet0/0/1
shutdown
!
interface FastEthernet0/0/2
shutdown
!
interface FastEthernet0/0/3
shutdown
!
interface Vlan1
ip address 192.168.10.1 255.255.255.0
ip nat inside
ip virtual-reassembly
!
interface Vlan2
ip address 172.16.0.1 255.255.255.0
ip nat inside
ip virtual-reassembly
!
!
ip classless
ip route 0.0.0.0 0.0.0.0 82.16.0.1 1
ip route 0.0.0.0 0.0.0.0 212.61.0.2 2
!
ip http server
ip http authentication local
no ip http secure-server
ip http timeout-policy idle 600 life 86400 requests 10000
ip nat pool testpoolnat2 82.16.0.2 82.16.0.5 netmask 255.255.255.248
ip nat inside source list 2 pool testpoolnat2 overload
ip nat pool testpoolnat 212.61.0.2 212.61.0.5 netmask 255.255.255.248
ip nat inside source list 1 pool testpoolnat overload
ip nat inside source static 10.31.10.15 212.61.0.3
!
access-list 1 permit 10.31.10.0 0.0.0.255
access-list 1 permit 172.16.0.0 0.255.255.255
access-list 2 permit 10.31.10.0 0.0.0.255
access-list 2 permit 172.16.0.0 0.255.255.255
access-list 100 remark SDM_ACL Category=4
access-list 100 remark IPSec Rule
access-list 100 permit ip 10.31.10.0 0.0.0.255 10.31.11.0 0.0.0.255
access-list 101 remark SDM_ACL Category=4
access-list 101 remark IPSec Rule
access-list 101 permit ip 10.31.10.0 0.0.0.255 10.31.11.0 0.0.0.255
!
!
control-plane
!
line con 0
login local
line aux 0
line vty 0 4
privilege level 15
login local
transport input telnet
line vty 5 15
privilege level 15
login local
transport input telnet
!
end

yourname#

[relaxteb]

hoi !

vraag 1 :
je gaat nu direct natten naar het lan segment en dat kan niet want er zit een pix tussen.
Dus wat moet je doen :
op je router : een nat inside maken naar een extra ip adres A op de pix
op je pix : dit adres A op de pix met een nat regel doornatten naar je lan


Als je voor adres A op je pix een ander adres gebruikt dan het adres wat je voor je lan gebruikt om naar buiten te communiceren (global outside adres) dan hebben je clients er geen last van.


Tevens zie ik dat je router inside adres gelijk is aan je pix outside, dit is een tik foutje denk ik


Over je 2e vraag, je pix gebruikt standaard zijn OUTSIDE adres voor vpn tunnels, misschien dat je daar nog eens naar moet kijken ?

[Verwijderd]

Hela hola,

Op een pix kan je niet meerdere ip-adressen aanmaken voor 1 interface, by design helaas. Dus dat wordt lastig. Echter is het wel zo dat de clients achter de pix naar buiten gaan met hun eigen ip-adres. Dit hebt ik bereikt door het volgende commando te gebruiken op de pix:

static (inside,outside) 10.31.10.0 10.31.10.0 netmask 255.255.255.0 0 0

Op deze manier gaat de de pix toch naar de router toe met als source ip de originele adressen. Dit weet ik zeker omdat als ik de route voor 10.31.10.0 op de cisco 1841 weg haal ik deze router niet meer kan pingen. Zet ik die route dan terug dan kan ik weer pingen. Dus wat dat betreft komen de pakketjes met het juiste sourceadres aan op de cisco 1841 en kan het dus getunnelt worden. Overigens lijkt het wel te werken, dat natten naar binnen toe direct naar ip-adressen op het lansegment omdat ik wel portforwards kan maken met het ip-adres dat aan de 1841 gegeven is.

het was inderdaad een tikfoutje

Over de 2e vraag, dat was ook een foutje. Ik bedoel op de 1841 router, en niet op de pix. Heb dat even aangepast.

[relaxteb]

Verwijderd schreef op maandag 11 juli 2005 @ 12:47:
Hela hola,

Op een pix kan je niet meerdere ip-adressen aanmaken voor 1 interface, by design helaas. Dus dat wordt lastig. Echter is het wel zo dat de clients achter de pix naar buiten gaan met hun eigen ip-adres. Dit hebt ik bereikt door het volgende commando te gebruiken op de pix:

static (inside,outside) 10.31.10.0 10.31.10.0 netmask 255.255.255.0 0 0

Op deze manier gaat de de pix toch naar de router toe met als source ip de originele adressen. Dit weet ik zeker omdat als ik de route voor 10.31.10.0 op de cisco 1841 weg haal ik deze router niet meer kan pingen. Zet ik die route dan terug dan kan ik weer pingen. Dus wat dat betreft komen de pakketjes met het juiste sourceadres aan op de cisco 1841 en kan het dus getunnelt worden. Overigens lijkt het wel te werken, dat natten naar binnen toe direct naar ip-adressen op het lansegment omdat ik wel portforwards kan maken met het ip-adres dat aan de 1841 gegeven is.

het was inderdaad een tikfoutje

Over de 2e vraag, dat was ook een foutje. Ik bedoel op de 1841 router, en niet op de pix. Heb dat even aangepast.

Dit is een hele andere configuratie dan dat ik normaal ken.
Je kan wel meerdere afzender adressen koppelen aan een interface alleen doe je dat door bv :
- statische nat regels van outside naar inside -> dit kan een ander adres zijn dan je outside interface
- outside nat regels voor verkeer van je lan naar outside -> deze kunnen een eigen ip adres krijgen

aan 2 kanten van een pix een zelfde subnet van ip adressen lijkt me niet echt wenselijk ?

Hier een voorbeeldje :

ip address outside 172.16.0.2 255.255.255.0
ip address inside 10.31.10.1 255.255.255.0

global (outside) 1 172.16.0.20 --> het adres wat je LAN* krijgt als ze naar buiten communiceren
nat (inside) 1 10.31.10.0 255.255.255.255 0 0 --> hiermee definieer je de groep voor de Global regel
static (inside,outside) 172.16.0.30 10.31.10.X netmask 255.255.255.255 0 0 -> statische nat translatie om connecties van buiten naar binnen te natten.

<edit>
Wat voor een verkeer wil je over de tunnels laten gaan ? Moet het een "open verbinding" zijn of wil je specifieke traffic doorlaten?
</edit>

[ Voor 5% gewijzigd door relaxteb op 11-07-2005 13:50 ]

[Verwijderd]

Het wordt een open verbinding. Ik wil graag dat het vpn verkeer dat getunneld wordt met hetzelfde afzender adres naar de andere kant gaat als de servers in het lan-segment achter de pix daadwerkelijk hebben.

Zou je me overigens kunnen aangeven hoe dat dan werkt met die statische mappings?

Werkt dat als volgt op de router:

ip nat pool testpoolnat 212.61.0.2 212.61.0.2 netmask 255.255.255.248
ip nat inside source list 1 pool testpoolnat overload
ip nat inside source static 10.31.10.15 212.61.0.3

Of moet ik dan dit doen:
ip nat pool testpoolnat 212.61.0.2 212.61.0.3 netmask 255.255.255.248?

[relaxteb]

Verwijderd schreef op maandag 11 juli 2005 @ 15:30:
Het wordt een open verbinding. Ik wil graag dat het vpn verkeer dat getunneld wordt met hetzelfde afzender adres naar de andere kant gaat als de servers in het lan-segment achter de pix daadwerkelijk hebben.

Dat is lastig omdat je een PIX tussen je lan en je tunnel hebt staan.
Ik zou ook niet weten hoe dat te doen.

Ik weet niet of je er wat aan hebt maar wat dan makkelijker zou zijn is een een pix tussen je tunnel devices :

router ----pix---dsl_device----inet---dsl_device---pix---router
<----------------------------------------------------------------------->
tunnel tussen 2 routers door 2 pixen.

Echter heb je 2 verbindingen en maar 2 pixen, en ik neem aan dat dit pixen zijn met maar 2 ethernet interfaces ? Dus dan heb je niet zoveel aan deze oplossing. Je zou dan of 4 pixen of 2 pixen met 3 ethernet interfaces nodig hebben.

Zou je me overigens kunnen aangeven hoe dat dan werkt met die statische mappings?

Werkt dat als volgt op de router:

ip nat pool testpoolnat 212.61.0.2 212.61.0.2 netmask 255.255.255.248
ip nat inside source list 1 pool testpoolnat overload
ip nat inside source static 10.31.10.15 212.61.0.3

Of moet ik dan dit doen:
ip nat pool testpoolnat 212.61.0.2 212.61.0.3 netmask 255.255.255.248?

[/quote]

met "ip nat pool testpoolnat 212.61.0.2 212.61.0.3 netmask 255.255.255.248" geef je volgens mij aan welke adressen je wilt gebruiken als masquarade.
vervolgens gebruik je dan "ip nat inside source list 1 pool testpoolnat overload" om aan te geven welke LAN adressen gebruik moeten maken van de eerder aangemaakte NAT pool.
Dus volgens mij mis je hier nog een "access-list 1".

Ik weet zo ook even niet een oplossing voor je probleem maar feit is wel dat omdat je die pix Achter je tunnel devices hebt gezet, je dus moeilijker die netwerken DIRECT kan bereiken.

[ Voor 12% gewijzigd door relaxteb op 11-07-2005 15:57 ]

[Verwijderd]

ik heb 2 pixen met 3 interfaces maar helaas worden deze allemaal al gebruikt. De router heb ik dus nodig idd om de dsl verbindingen samen te voegen en de redundante vpn tunnels op te zetten. volgens mij kan dat niet met een pix maar dat weet ik niet zeker.

Het probleem met het, direct bereiken van de hosts achter de pix lijkt geen issue op het moment. Als ik voor de pix een pc hang en ik probeer direct op het ip van het lan segment achter de pix servers te benaderen dan geeft dit geen problemen.

probleem is dus het mappen van die publieke ip-adressen naar die server adressen.

Bedankt voor het meedenken iig!

Ik ben het overigens met je eens dat dit het niet makkelijker maakt met die pix tussen het lan en de cisco 1841 maar het zijn nu eenmaal de eisen die gesteld zijn hiero..

[relaxteb]

probleem is dus het mappen van die publieke ip-adressen naar die server adressen.

Dus een nat regel aanmaken van de 1841 router naar de pix en van de pix naar de server werkt niet ?

[Verwijderd]

in principe doe ik dat al als je kijkt naar dat ik op de pix nu deze regel gebruik:

static (inside,outside) 10.31.10.0 10.31.10.0 netmask 255.255.255.0 0 0

portforwards werkte dan ook wel.. ik zal binnenkort nog eens proberen om die statische regels aan te maken.

[ Voor 26% gewijzigd door Verwijderd op 12-07-2005 19:35 ]