Cisco pix 501: ip reeks netwerk veranderen

[Chaoss]

vooraf: ik heb gezocht op GoT en Google naar mijn probleem echter geen nuttige info kunnen vinden... komt nog bij dat ik wel wat maar niet heel veel verstand hebben van Cisco Pix,

situatieschets, bedrijf met 4 vestigingen gaat nu ff om 3 van die vestigingen:

vestiging 1: interne ip reeks formaat: 10.0.0.X
vestiging 2: internet ip reeks formaat 10.0.0.X
vestiging 3 interne ip reeks formaat: 10.0.1.X

vestiging 3 heeft een vpn verbinding met vestiging 2: vestiging 2 beschikt daarvoor voer een Pix 501 firewall, en vestiging 3 heeft een cisco 8xx modem/router die de vpn verbinding automatisch aamaakt... so far so good dit werkt al een jaar prima.

Nu moet er door een wijzing in de organisatie vanaf vestiging 1 ook een vpn verbinding gemaakt worden met vestiging 2, dus binnenkomend op die Pix 501 firewall. omdat het om max 2 werkplekken tegelijk gaat wil ik dit simpelweg via de cisco vpn client software doen, opzich kan ik vanuit vestiging 1 al verbinding maken, dit werkt, echter is er geen netwerk verkeer mogelijk omdat vestiging 1 en 2 dezelfde interne ip reeks gebruiken.

Oplossing: ip reeks vestiging 2 moet gewijzigd worden (simpelste oplossing, ip reeks vestiging 1 wijzigen is geen optie), naar bv 10.0.2.X... lijkt me..

Hierbij moet dus ook het ip van de interne interface can de pix 501 veranderd worden... dit is me gelukt via de console port, kheb ip adres inside veranderd naar 10.0.2.251 (was dus 10.0.0.251) en ook de telnet en http toegang aangepast zodat er vanaf 10.0.2.0 ingelogd mag worden. vervolgens de pix weer in het netwerk gehangen.

ff een op een werkplek de netwerk instellingen aanpassen en die kon weer op internet, so far so good. Echter vanaf vestiging 3 is er geen netwerk verkeer meer mogelijk (werkte eerst dus wel)... de vpn tunnel wordt wel gemaakt (lampje gaat branden) en ook als ik vanaf vestiging 1 inlog wordt de tunnel wel gemaakt er is echter geen netwerk verkeer mogelijk.

wat doe ik verkeerd?

[Moraxv]

routering tussen de diverse subnetten ingesteld?

[Chaoss]

Moraxv schreef op vrijdag 04 januari 2008 @ 15:02:
routering tussen de diverse subnetten ingesteld?

onder System properties - routing - static route staat het volgende:

Interface outside - ip address 0.0.0.0 - netmask 0.0.0.0 - gateway ip 80.65.118.153 - metric 1

dit stond overigens al zo ingesteld, verder kan ik weinig vinden kwa routing?

[ Voor 5% gewijzigd door Chaoss op 04-01-2008 15:17 ]

[brid]

kun je ook je dynamic routes posten??

Zoals dit er uitziet gooit je router alles het internet op.

[Chaoss]

op bovenstaande plaats staat niets van dynamic routing... is daar ook geen optie? kom verder ook nergens iets van dynamic routing tegen. misschine zie ik het niet... kheb wat cisco pix betreft wel ervaring met access rules... maar dit soort dingen niet.

btw Achter de pix 501 firewall hangt nog een cisco modem/router die de internetverbinding maakt. maar dat werkt ok aangezien de vpn wel op de pix binnenkomt

en nog iets: bij VPN status staat IKE tunnel op 1 maar IPSec blijft op 0 staan.

[ Voor 62% gewijzigd door Chaoss op 04-01-2008 15:44 ]

[Chaoss]

die IPSec tunnel word niet aangemaakt daar ligt het probleem... volgende heb ik geprobeerd:

heb nu de Pix terug gezet op 10.0.0.251 de enige instelling die ik verder veranderd heb is onder VPN - IPSec rules: zal ff een screenshot van die instelling maken:



linkkolom ip naar 10.0.2.0... en toch werd de IPSec tunnel niet aangemaakt... toen de firewall op 10.0.2.251 stond... nu weer terug op 10.0.0.251 en deze instelling terug op 10.0.0.0 en alles werkt weer....

[ Voor 34% gewijzigd door Chaoss op 04-01-2008 16:26 ]

[kevertje1977]

je moet aan de overkant van de IPSEC tunnel de access-list waarmee je het verkeer door de tunnel jaagt ook verandere.
Je hebt op die vestiging vermoedelijk gedefinieerd dat 10.0.0.0/24 door de tunnel gaat.
Dat moet je dus ook aanpassen.

[Chaoss]

kevertje1977 schreef op vrijdag 04 januari 2008 @ 19:30:
je moet aan de overkant van de IPSEC tunnel de access-list waarmee je het verkeer door de tunnel jaagt ook verandere.
Je hebt op die vestiging vermoedelijk gedefinieerd dat 10.0.0.0/24 door de tunnel gaat.
Dat moet je dus ook aanpassen.

jij gaat door voor de beker, kreeg net dit mailtje van een "cisco man":

Om een werkende VPN verbinding met Leeuwarden te krijgen dienen de zgn. Secure Associations volledig complementair te zijn: Je aanpassing in Heerenveen was dus wel goed, maar in de router in Leeuwarden moet ook het Remote Side netwerk worden aangepast.

[Rohit]

Hallo,

ik heb een vraagje over de Cisco PIC 501

ik heb die hier maar ik kom er niet in

kan iemand mij uitleggen hoe ik erin kom ??

ip adres is onbekend
heb geen verstand van cisco routers/firewall
moet dit uitzoeken voor me stage

[Chaoss]

hebje de console kabel erbij?

als je een laptop/pc hebt met compoort kun je die kabel ertussen hangen en via hyper terminal verbinding maken. hier staan de instellingen voor hyper terminal

[ Voor 33% gewijzigd door Chaoss op 07-02-2008 16:21 ]