VPN op Cisco PIX firewall

[Theodoor]

Hier heb ik een Cisco PIX firewall staan met softwareversie 6.3. Aan de PIX zitten 3 interfaces.
- Internet
- DMZ
- Lokaal netwerk

Nu ben ik bezig een VPN voor "remote access" gebruikers aan te leggen. Ik wil het voorelkaar krijgen dat de VPN gebruikers kunnen internetten via hun VPN verbinding. Daarvoor wil ik een dynamische NAT aanmaken. Maar ik begrijp niet hoe dat moet. Je moet namelijk bij het aanmaken van een NAT een interface opgeven, bijvoorbeeld nat (inside). Zo'n interface heb je voor VPN-verkeer op een PIX niet.

Mijn crypto instellingen zien er nu zo uit:
crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac
crypto dynamic-map outside_dyn_map 20 match address outside_cryptomap_dyn_20
crypto dynamic-map outside_dyn_map 20 set transform-set ESP-3DES-MD5
crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map
crypto map outside_map interface outside

Weet iemand of het mogelijk is of niet? En zo ja, hoe?

[MeatGrinder]

Er zijn mijns inziens 2 manieren om dit te realiseren. De aan te raden optie is om een proxy in het LAN achter de pix te zetten en de VPN gebruikers via de proxy toegang tot het Internet te geven. De tweede optie is om split-tunneling te configureren in welk geval alleen het verkeer bestemd voor het LAN door de tunnel gaat. Verkeer richting het Internet gaat in dit geval direct naar de eindbestemming en wordt niet ge-encrypt. De directe toegang tot het Internet is wel een beveiligings risico.

Het is bij een PIX niet mogelijk om via een interface binnen te komen (via de VPN verbinding) en vervolgens via diezelfde interface weer naar buiten te gaan (richting het Internet). Een IOS router heeft deze 'beperking' niet.