Modem in bridge mode achter PIX 515E

[Verwijderd]

Ik wil op mijn werk graag het modem daar in bridge mode laten werken. Op dit moment is het zo ingericht:

LAN ----------------------- Cisco PIX -------------------------- Modem --------------------------------- ISP


Lan IP: 192.168.1.x
Cisco PIX Inside: 192.168.1.1
Outside: 192.168.2.253
Modem Inside: 192.168.2.254
Outside: Extern IP van ISP gekregen


Dit werkt allemaal prima en aardig enzo, maar nu moet ik dus als ik een server in het LAN wil bereiken (bijv. 192.168.1.2) op het modem een vertaling van een bepaalde poort naar een IP-adres maken (bijvoorbeeld poort 80 mappen naar ip-adres 192.168.2.20) en vervolgens op de PIX voor dit IP-adres 192.168.2.20 een statische route maken naar het ip-adres 192.168.1.2. Dit werkt nogal omslachtig, en ik wil eigenlijk zo min mogelijk met het modem te maken hebben.

Vandaar dat ik het volgende heb geprobeerd:
- Het modem instellen op bridge modus
- Op onze Cisco Pix firewall (model 515e) PPP over Ethernet ingesteld (PPPoE) met de volgende instellingen:
- ip address outside pppoe setroute
- ip address inside 192.168.1.1 255.255.255.0
- vpdn group ISP request dialout pppoe
- vpdn group ISP localname [e-mail]
- vpdn group ISP ppp authentication pap
- vpdn username [e-mail] password (waarbij password is vervangen door ons wachtwoord)

Mijn waarnemingen waren dat de Cisco Pix firewall een padi request stuurt naar het mac adres ffffff.ffffff.ffffff, maar geen reactie terug krijgt. Dit is dus zelfs al voordat hij aan de authenticatie toe komt. Als ik vervolgens in de modemstatistieken kijk, zien ik dat het modem wel deze pakketjes door naar buiten stuurt, maar ook geen pakketjes ontvangt.

Mijn vraag is: wat doe ik verkeerd? De ISP geeft aan dat ze alleen PPPoA leveren, en geen PPPoE. MAakt het modem in bridge modus deze omzetting dan niet meer? Is er misschien iets mis met mijn PIX-configuratie?

De ISP is Solcon (wellicht nog nuttige info), en die konden ons helaas niet verder helpen. Het modem is een Netopia waarvan het model me helaas is ontschoten.

Kan iemand hier me verder helpen?

[Tony diNovo]

Voor zover ik weet kan de bridge modus niet zomaar in dit geval.
Wat dan overblijft zou dan inderdaad port mappen en statische routes aanmaken zijn.
Enige experts die dit kunnen bevestigen of waarschijnlijk wat handigers weten?

[_-= Erikje =-_]

gewoon 1:1 nat in je modem, is 1 poortmap voor alle poorten/protocollen naar je PIX toe

[Verwijderd]

_-= Erikje =-_ schreef op dinsdag 01 november 2005 @ 15:48:
gewoon 1:1 nat in je modem, is 1 poortmap voor alle poorten/protocollen naar je PIX toe

Hehe ja dat heb ik nu dus ook, maar ik wil juist eigeniljk een set-up waarbij ik niks in het modem hoef te configgen.

[Zwelgje]

handleiding van je modem vinden en proper configureren

tja mischien kort door de bocht maar als jij aankomt met ' Het modem is een Netopia waarvan het model me helaas is ontschoten.' dan mag je dat verwachten

[Verwijderd]

Zwelgje schreef op dinsdag 01 november 2005 @ 17:05:
handleiding van je modem vinden en proper configureren

tja mischien kort door de bocht maar als jij aankomt met ' Het modem is een Netopia waarvan het model me helaas is ontschoten.' dan mag je dat verwachten

Mjah... dat zou je inderdaad zeggen. Maar het enige dat ik in het modem kan doen is hem in bridge mode zetten. Voor de rest zijn er dan alleen nog zaken als statistieken etc. beschikbaar en kan ik niets meer instellen...

[Zwelgje]

dan koop je voor een paar tientjes een speedtouch 510i en laat je die dhcp spoofen

*klaar* works like a charm

[_Arthur]

Als ie in bridge mode staat ben je toch al juist klaar? Dan gaat al het verkeer zowiezo al naar je pix toe.

Anders een dmz bouwen in die modem indien dat mogelijk is en je pix in die dmz plaatsen.

[Verwijderd]

_Arthur schreef op dinsdag 01 november 2005 @ 19:26:
Als ie in bridge mode staat ben je toch al juist klaar? Dan gaat al het verkeer zowiezo al naar je pix toe.
.

Ja, maar dan moet je nog wel vanuit de PIX een sessie opbouwen met je provider waar je gebruikersnaam en wachtwoord etc. worden uitgewisseld. Voorlopig kom ik echter nog niet eens zo ver... Ik denk dat ik in mijn PIX nog bepaalde instellingen mis, ik zal nog wel even gaan lullen met de crappy servicedesk daar...

[_Arthur]

Verwijderd schreef op woensdag 02 november 2005 @ 08:55:
[...]


Ja, maar dan moet je nog wel vanuit de PIX een sessie opbouwen met je provider waar je gebruikersnaam en wachtwoord etc. worden uitgewisseld.

Wat is dat voor 'onzin'? Je modem krijgt extern een iptje en al het verkeer dat daar op binnen komt gooit hij naar een 192.168.1.1 (of whatever) ip-adres dat het 'externe' ip is van je pix. Wat er dan verder met het verkeer gebeurt bepaalt je pix.

Pixen kunnen namelijk helemaal niet die sessie met je provider opbouwen. Het is een firewall, geen dsl modem.

Voorlopig kom ik echter nog niet eens zo ver... Ik denk dat ik in mijn PIX nog bepaalde instellingen mis, ik zal nog wel even gaan lullen met de crappy servicedesk daar...

Hoeft niet want wat jij denkt te moeten doen gaat niet werken.

[Verwijderd]

_Arthur schreef op woensdag 02 november 2005 @ 18:10:
[...]


Wat is dat voor 'onzin'? Je modem krijgt extern een iptje en al het verkeer dat daar op binnen komt gooit hij naar een 192.168.1.1 (of whatever) ip-adres dat het 'externe' ip is van je pix. Wat er dan verder met het verkeer gebeurt bepaalt je pix.

Pixen kunnen namelijk helemaal niet die sessie met je provider opbouwen. Het is een firewall, geen dsl modem.


[...]


Hoeft niet want wat jij denkt te moeten doen gaat niet werken.

het kan zijn dat ik het idee van bridgen verkeerd heb begrepen, maar ik dacht altijd dat je modem dan juist GEEN ip-adres krijgt, en simpelweg functioneert als doorgeefluik.

[Taigu]

Ik weet niet of PIXEN het moeten kunnen, maar ken wel degelijk firewalls die PPPoE sessie kunnen opzetten met ISP's. Probleem is dus wel hier in NL dat praktisch alle ISP's PPPoA kunnen leveren.

Doe gewoon niet zo moeilijk, knal je PIX als DMZ host/Default server in dat modem en klaar ben je. Is 1 regel/1vinkje aanzetten in dat apparaat en je bent voor altijd klaar in dat modem. Als je dat geen oplossing vindt, volg dan Zwelgjes advies. Als er een 515E van afkan, dan kan een speedtouch 510 ook nog wel erbij.

[ Voor 17% gewijzigd door Taigu op 04-11-2005 14:26 ]

[_Arthur]

Verwijderd schreef op donderdag 03 november 2005 @ 08:39:
[...]


het kan zijn dat ik het idee van bridgen verkeerd heb begrepen, maar ik dacht altijd dat je modem dan juist GEEN ip-adres krijgt, en simpelweg functioneert als doorgeefluik.

Modem behoud het externe ip en gooit al het verkeer wat er op binnen komt direct door naar je pix.

Wil je dit netjes oplossen heb je meerdere public-ip's nodig.

[Verwijderd]

buddhole schreef op vrijdag 04 november 2005 @ 14:25:
Ik weet niet of PIXEN het moeten kunnen, maar ken wel degelijk firewalls die PPPoE sessie kunnen opzetten met ISP's. Probleem is dus wel hier in NL dat praktisch alle ISP's PPPoA kunnen leveren.

Doe gewoon niet zo moeilijk, knal je PIX als DMZ host/Default server in dat modem en klaar ben je. Is 1 regel/1vinkje aanzetten in dat apparaat en je bent voor altijd klaar in dat modem. Als je dat geen oplossing vindt, volg dan Zwelgjes advies. Als er een 515E van afkan, dan kan een speedtouch 510 ook nog wel erbij.

Ik denk dat we dit dan maar gaan proberen inderdaad

[proza]

Zwelgje schreef op dinsdag 01 november 2005 @ 19:07:
dan koop je voor een paar tientjes een speedtouch 510i en laat je die dhcp spoofen

*klaar* works like a charm

Precies zie hier een werkend voorbeeld van een Cisco PIX 501......................
.

[alt-92]

....of je stapt over naar een ISP die je wel een /30 of meer geeft met een SDSL zonder PPPoA gezeik.
't is toch bedrijfsmatig?
Ook betere SLA dan een consumenten DSL lijn.

[ Voor 34% gewijzigd door alt-92 op 06-11-2005 19:35 ]

[Zwelgje]

BackSlash32 schreef op zondag 06 november 2005 @ 19:34:
....of je stapt over naar een ISP die je wel een /30 of meer geeft met een SDSL zonder PPPoA gezeik.
't is toch bedrijfsmatig?
Ook betere SLA dan een consumenten DSL lijn.

precies!

waar ik me altijd over verbaas, is dat er werkelijk een kapitaal wordt uitegeven aan dure aparatuur (cisco pix515E is niet goedkoop) en dat er dan een 'hetnet' lijntje wordt aangeschaft voor de internetverbinding... en dan maar klagen dat het niet stabiel is en als de verbinding er een ochtend uitligt.. tja

[Verwijderd]

We hebben geen consumentenlijntje. Wel een trage verbinding, maar geen consumentenlijntje. En tja, waarom het bedrijf ooit voor Solcon heeft gekozen weet ik niet, zal ongetwijfeld met de kosten te maken hebben. Ze bieden in ieder geval alleen PPPoA aan, niets anders.