Pix met Pix verbinden

[Verwijderd]

Hallo beste mensen ik zit even met een klein probleempje.

Ik heb nu 2 pixen 501 hier thuis liggen.

Pix1 = 192.168.2.1
pix2= 10.10.10.1

Maar ik heb de pix2 aangesloten op de pix en dan set route gedaan zodat pix2 een ip krijgt van pix1 maar nu kan ik dus wel gewoon alles pingen vanuit pix2 naar pix1 maar ik kan niet vanuit pix1 naar pix2 pingen.

Nou zit ik al een tijd te sudderen met de routeringen maar ik kom er maar niet uit!!

Mijn vraag is wat zie ik nou over het hoofd want in principe is het eigenlijk 1 regel toevoegen route ...... ..... .... en dan zou het moeten werken!

Grtz Marcel

[TrailBlazer]

mischien die dingen in gelijke subnets zetten?

[Verwijderd]

nee niet in gelijke subnets daar heb ik niet zo veel aan. mijn doel is gewoon 2 verschillende netwerken met elkaar koppelen.

[TrailBlazer]

Dan zal je toch echt een subnet er tussen moeten hebben waar ze allebei in zitten anders gaat het echt niet werken.

[Mosaics.Ruled]

Gelijke subnets is toch niet nodig? Daarvoor was juist routing toch uitgevonden meen ik me te herinneren.

Wat ik me wel herinner van de PIX 501's is dat ik bij bijvoorbeeld het instellen van firewall rules alles precies andersom moest doen vergeleken met normale routers. Misschien ook in dit geval?

[Vicarious]

Die PIX heeft 2 interfaces. Dan kun je dus op 1 interface gewoon je LAN adres instellen, en op de andere interface stel je bijvoorbeeld 172.16.0.0/30 in. Dat doe je aan de andere kant ook, en je kunt routeren via het 172.16.0.0/30 netwerk.

[Verwijderd]

hehe ja nee gelijke subnets heb je niet nodig nee dat is easy maar ik wil gewoon 2 verschillende netwerken met elkaar kopplen hmm jaa maar goed heb dat goed staan pingen en zo word allemaal doorgelaten.

[TrailBlazer]

Probeer nou eerst eens gewoon te zorgen dat die 2 pixen elkaar kunnen pingen zonder rare routeringstrucs uit te moeten halen.

[Mosaics.Ruled]

TrailBlazer schreef op dinsdag 24 juni 2008 @ 13:24:
Probeer nou eerst eens gewoon te zorgen dat die 2 pixen elkaar kunnen pingen zonder rare routeringstrucs uit te moeten halen.

Vergeet dit niet toe te staan in de firewall rules, hier heb ik ooit eens ruzie mee gehad al weet ik niet meer van waar na waar ik aan het pingen was, het lag in ieder geval aan de firewal rules.

[ Voor 13% gewijzigd door Mosaics.Ruled op 24-06-2008 13:26 ]

[TrailBlazer]

Mijn pix kennis is wat roestig geef ik toe. Daarom zijn routers ook handiger om mee te rotzooien heb je tenminste geen gezeur met rare firewall regels.

[Verwijderd]

haha ja maar ja die zijn wat duurder he dit zijn leuke speel dingen maar goed. jij zegt dat ik de firewall rules moet kijken maar ik moet toch ook routering hebben anders kunnen ze toch niet communiceren?

[Verwijderd]

Ik heb even een debug icmp gegeven en daaruit kan ik zien dat als ik naar 10.10.10.1 wil pingen dat ie naar de buitenwereld gaat?

[Vicarious]

Even een statische route toevoegen dan he...

[Verwijderd]

ja Vicarious welke en hoe... ik heb op verschillende manier geprobeerd maar lukt me even niet zou je me kunne helpe?>

[Vicarious]

Lees dit maar even anders:

http://routergod.com/deniserichards/

[Verwijderd]

nou ik kom er niet uit...... routering is nog niet goed

[Verwijderd]

Okee mensen de routering staat nu goed.. maar helaas kan nog steeds niet pingen

[Vicarious]

ok...

Je moet de volgende situatie bouwen:

LAN 1 (192.168.2.0/24) --- PIX 1 --- Tussennetwerk ---- PIX 2 --- LAN 2 (10.10.10.0/24)

Op de LAN interface van je PIX1 configureer je ip-adres 192.168.2.1 255.255.255.0, op de LAN (inside) interface van PIX 2 config je 10.10.10.1 255.255.255.0. Op de tweede interface (outside) configureer je bijvoorbeeld 172.30.1.1 255.255.255.252 op PIX1 en 172.30.1.2 255.255.255.252 op PIX2.

Dan moet je nog een statische route toevoegen. Op PIX1 wordt dat:
route outside 10.10.10.1 255.255.255.0 172.30.1.1

Op PIX2 wordt dat:
route outside 192.168.2.0 255.255.255.0 172.30.1.2

Zo zou het volgens mij moeten werken. Kom je nu verder?

[Verwijderd]

LAN 1 (192.168.2.0/24) --- PIX 1 --- Tussennetwerk ---- PIX 2 --- LAN 2 (10.10.10.0/24)

Op de LAN interface van je PIX1 configureer je ip-adres 192.168.2.1 255.255.255.0, op de LAN (inside) interface van PIX 2 config je 10.10.10.1 255.255.255.0.

tot zo heb ik het begrepen van je maar daarna niet want outside van pix1 is me ISP !

[Vicarious]

Nouja, de interface die je hebt aangesloten op de andere pix dus...

[Verwijderd]

ja maar wacht even kijk ik pas even jou tekst aan ja dan moet je maar zeggen wat ik er fout aan doe

LAN 1 (192.168.2.0/24) --- PIX 1 --- Tussennetwerk ---- PIX 2 --- LAN 2 (10.10.10.0/24)

Op de LAN interface van je PIX1 configureer je ip-adres 192.168.2.1 255.255.255.0, op de LAN (inside) interface van PIX 2 config je 10.10.10.1 255.255.255.0. Op de tweede interface (outside) configureer je bijvoorbeeld 192.168.2.64 op PIX1 en ISP (ziggo) op PIX2.

Dan moet je nog een statische route toevoegen. Op PIX1 wordt dat:
route inside 10.10.10.1 255.255.255.0 192.168.2.1

Op PIX2 wordt dat:
deze routeringen bestaan allemaal al! zegt ie dan

[Vicarious]

Teken nou eerst eens uit hoe je alles fysiek hebt aangesloten, en zet daar even IP-adresjes bij. Dan wordt het allemaal ook voor mij een stuk duidelijker.

[Verwijderd]

Okee Vicarious ik zal het even netjes voor je neerzetten

[Verwijderd]

PIX1

outside = ISP
inside = 192.168.2.1

deze pix is geconfigureerd met server,exchange, vpn etc


Pix2

Outside = 192.168.2.64
Inside = 10.10.10.1

deze pix is me oefen pix en wil ik gewoon dat ik een classe a met een classe c netwerk kan commnuceren
kan helaas geen tekening even maken heb geen paint er op.

Maar goed het volgende de routeringen:

op Pix1 zet ik neer route inside 10.10.10.0 255.255.255.0 192.168.2.1


Op pix 2 als ik dan 192.168.2.0 255.255.255.0 10.10.10.1 zegt hij routing already exist zo deze hoeft dan niet meer


Nadat ik dit gedaan en op pix 1 debug icmp trace aan zet zie je nu wel goed dat hij probeert via 192.168.2.1 > 10.10.10.1 wilt gaan
maar nog steeds krijg ik geen ping.

[Verwijderd]

niemand die me meer kan helpen?

[Vicarious]

Hoe heb je dan PIX1 op PIX2 aangesloten?

Verder moet je natuurlijk route OUTSIDE doen, aangezien je nu op PIX1 aangeeft dat het netwerk 10.10.10.0 via de inside interface bereikt kan worden.

Doe eens een traceroute ipv een ping? (het commando tracert in een dosboxje)

[JackBol]

Wat is de security level op de betreffende interfaces? Verkeer dat van een lager naar een hoger security level wil moet altijd een permit regel in een firewall rule hebben.

[Vicarious]

_DH schreef op dinsdag 24 juni 2008 @ 23:31:
Wat is de security level op de betreffende interfaces? Verkeer dat van een lager naar een hoger security level wil moet altijd een permit regel in een firewall rule hebben.

Ook heel belangrijk inderdaad.

[Verwijderd]

Vrij benieuwd hoe je de verbinding test, maar ik verwacht met een ping commando.
Als ik mijn niet vergis, staat ICMP standaard uitgeschakeld op de pix.

[Verwijderd]

Hallo mannen zo ben er weer.

Nee pix2 is op pix1 aangesloten ok dus ik moet route outside doen!! inplaats van route inside

Ja ik heb op de pix 2 een permit

access-list 100 permit ip 10.10.10.0 255.255.255.0 192.168.2.0 255.255.255.0

ICMP heb ik aangezet in me access-list

access-list 100 permit ip any any
access-list 100 permit icmp any any
access-list 100 permit tcp any any
access-list 100 permit icmp any any echo-reply
access-list 100 permit ip 10.10.10.0 255.255.255.0 192.168.2.0 255.255.255.0

[Vicarious]

Als je er al een permit ip any any regel hebt staan is de rest natuurlijk niet meer nodig. Verder: heb je de access-list ook wel toegekend aan een interface met het ip access group commando? Alleen een access-list aanmaken is niet voldoende.

[Verwijderd]

ICMP echo request (len 32 id 33170 seq 11382) 192.168.2.254 > 192.168.2.1
66: ICMP echo reply (len 32 id 33170 seq 11382) 192.168.2.1 > 192.168.2.254
67: ICMP echo request (len 32 id 33170 seq 11383) 192.168.2.254 > 192.168.2.1
68: ICMP echo reply (len 32 id 33170 seq 11383) 192.168.2.1 > 192.168.2.254
69: ICMP echo request (len 32 id 33170 seq 11384) 192.168.2.254 > 192.168.2.1
70: ICMP echo reply (len 32 id 33170 seq 11384) 192.168.2.1 > 192.168.2.254
71: ICMP echo request (len 32 id 33170 seq 11385) 192.168.2.254 > 192.168.2.1
72: ICMP echo reply (len 32 id 33170 seq 11385) 192.168.2.1 > 192.168.2.254
73: ICMP echo request (len 32 id 33170 seq 11386) 192.168.2.254 > 192.168.2.1
74: ICMP echo reply (len 32 id 33170 seq 11386) 192.168.2.1 > 192.168.2.254

deze krijg ik ook steeds als ik icmp trace aan heb

[Verwijderd]

Vicarous ja

global (outside) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
access-group 100 in interface outside

heb hem zowel outside als inside geprobeerd maar allebij tevergeefs

[The Realone]

offtopic:
Gebruik aub de edit-knop als je dingen aan je laatste post wil toevoegen, kicken binnen 24 uur is niet toegestaan...

[Vicarious]

Waar komt dat .254 adres nou ineens vandaan? Die staat niet in je situatie-schets. Bovendien: er komt toch een reply? Da's toch goed?

En doe nou eens een traceroute van het ene netwerk naar het andere? Dat is niet hetzelfde als een icmp trace. Ik wil weten welke route er wordt gevolgd...

[Verwijderd]

Vic dat is niet goed want hij geeft nog steeds dit aan

ping 10.10.10.1
10.10.10.1 NO response received -- 1000ms
10.10.10.1 NO response received -- 1000ms
10.10.10.1 NO response received -- 1000ms

dat moet ik niet hebben natuurlijk

Vic je moet mij evenuitleggen hoe je bedoelt tracerroute want als ik tracert 10.10.10.1 doen gaat hij over 30 hops en zie je alleen maar * * * of bedoel je in de pix zelf?

Traceren van de route naar 10.10.10.1 via maximaal 30 ho

1 * * * Time-out bij opdracht.
2 * * * Time-out bij opdracht.
3 * * * Time-out bij opdracht.
4 * * * Time-out bij opdracht.
5 * * * Time-out bij opdracht.
6 * * * Time-out bij opdracht.
7 * * * Time-out bij opdracht.
8 * * * Time-out bij opdracht.
9 * * * Time-out bij opdracht.

[ Voor 39% gewijzigd door Verwijderd op 25-06-2008 10:29 ]

[Mr.Nash]

Heb net twee dagen achter de rug waarbij ik met een Cisco ASA een soortgelijke probleem niet aan de praat kreeg. Waar ik inmiddels achter ben is dat je ICMP wel goed open moet zetten voordat pingen normaal zal werken. Ik kan dus wel de netwerken benaderen maar pingen gaat nog steeds niet. Kijk dus of je dus bijv wel een switch of router kan benaderen op de webinterface achter de tweede pix en vice versa.

Security is niet mijn ding, en ik moet zeggen dat ik me er het liefst ook nooit in wil specialiseren. Ik vind het echt een drama-apparatuur.

[Vicarious]

Bij een ping moet ook de route terug bekend zijn en worden toegestaan door de access-lists volgens mij.

[Verwijderd]

Ja maar ik heb echt alles opgegooid wat er open kan op pix2 als ik me laptop hang aan me pix2 kan ik gewoon alles doen internetten op me server komen die op pix1 zit etc pingen kan ik allemaal alleen de andere kant niet op. maar ik denk dat toch met de routering te maken heb maar daar heb ik ook alles mee geprobeerd en dat lukt ook niet en pingen vanaf client pix1 naar client pix2 werkt ook niet.

en die .254 haha was even vergeten dat dat nog me draadloze access-point is die heb ik op 192.168.2.254 staan.

[ Voor 12% gewijzigd door Verwijderd op 25-06-2008 12:17 ]

[Vicarious]

Ik heb al 3x gevraagd hoe PIX1 en PIX2 FYSIEK op elkaar aangesloten zitten, maar blijkbaar vind je dat zelf niet zo belangrijk. Als je op PIX1 op 1 interface je LAN hebt en op de 2e je ISP, waar heb je dan de PIX op aangesloten?

[Verwijderd]

Ja ik had je verteld... dat pix 1 int 0 = isp int 1 = 192.168.2.1

pix2 int0= krijgt ip van dhcp server ( of vaste ip instellen kan ook )

pix2 int1= 10.10.10.1

[luteijn]

Mijn kristallen bol zit zonder baterijen, maar als ik een beetje tussen de regels door lees, heb je een bestaand netwerkje op 192.168.2.0/24, waar de default gateway een pix is (op 192.168.2.1), die ook aan het internet hangt. Op een vrije switchport heb je een tweede pix gehangen en daarachter zit dan een 10. netwerkje

INET<---publiek adres--|PIX1|--.1----192.168.1.0/24---|switch1|----.254--|draadloos ding|
                                    |andere meuk|-.x--|switch1|----.64--|PIX2|-.1---10.10.10.0/24---|switch2|

Je moet nu op de PIX2 een default route naar 192.168.1.1 zetten (die zal hij wel krijgen uit de dhcp server als je die gebruikt. De route vanaf zooi in je 10. netwerkje naar de rest van de wereld is dan ok.

Op de PIX1 moet je een route naar 10.10.10.0/24 via 192.168.1.64 zetten, zodat iets wat eenmaal op PIX1 is gekomen weer door gestuurd kan worden naar de volgende hop, PIX2. Ik neem aan dat NAT enzo allemaal op PIX1 geregeld is, evt moet je de inside adressen-range nog wat uitbreiden, zodat je ook vanuit het 10. netwerkje verder het netwerk op kan. Als je op Pix1 niets kunt,wilt of mag veranderen, moet je op PIX2 geen route zetten maar NAT of PAT doen (inside 10, outside 192).
Verder moeten al je acls kloppen, natuurlijk.

Maar goed, maak eerst even een duidelijk schema van je netwerken, in plaats van ons allemaal een beetje te laten raden.

P.

[Verwijderd]

Hallo Luteijn ik zal vanavond of morgenvroeg nog even een goede tekening maken met visio. En dan moeten we even kijken van hoe of wat.

[Verwijderd]

zo zie hieronder de tekening

http://hyves.nl/index.php...0010546&media_secret=axsj


Sorry voor de hyves link maar moest even zo.

Ik hoop dat het zo beetje duidelijk is.

[ Voor 145% gewijzigd door Verwijderd op 25-06-2008 22:48 ]

[Vicarious]

Tja, dan moet je natuurlijk op je access point ook een route aanmaken naar pix2.

Ehm... access-point, geen router Lezen

[ Voor 26% gewijzigd door Vicarious op 25-06-2008 22:55 ]

[luteijn]

Volgens de tekening is de next hop in je route naar 10.10.10.0 op Pix1 192.168.2.1, en is dat de PIX1 zelf. Je moet daar het outside adres van pix2 opgeven als next hop; 192.168.2.64 volgens de route tabel die je van Pix2 geeft.

Tekening is zo te zien redelijk in overeenstemming met mijn ascii-art schetsje.

P.

[ Voor 18% gewijzigd door luteijn op 26-06-2008 17:18 ]

[Verwijderd]

Hallo Lutelijn als ik dan

route outside 192.168.2.64 255.255.255.0 10.10.10.1 toevoegt zegt ie route already exist

[luteijn]

Je wilt tegen Pix1 vertellen dat het 10.10.10.0/24 netwerk via 192.168.2.64 te bereiken is, toch? Nou heb ik maar beperkte ervaring met PIXen (af en toe doe ik voor mijn werk wel eens een change op een routertje of switchje van meneer Cisco, maar de firewalls vallen onder een andere afdeling en zijn van meneer Checkpoint), maar je zou toch verwachten dat je alleen de verkeerde route even weg moet gooien en dan een goede aanmaken. Dus, op Pix1:

no route inside 10.0.10.0 255.255.255.0 192.168.2.1
route inside 10.10.10.0 255.255.255.0 192.168.2.64

moet ingeven.
Van die regel die jij geeft kan ik weinig chocola maken. Je zegt daarin volgens mij namelijk (op een rare manier) dat het 192.168.2.0/24 netwerk via 10.10.10.1 te bereiken is en dat het aan de outside kant zit. Terwijl het 192.168.2.0/24 netwerk juist aan de inside kant zit en directly connected is.

P.

[Verwijderd]

Hallo Luteijn daar was ik weer. Ja ik ben nog niet zo helemaal bekend met de routeringen. maar ik juist die regel die ik had getikt. dat je route 10.10.10.0 255.255.0 binnenlaatkomen op je gateway maar ik heb jou regel toegepast. kan helaas nog niet pingen.

CMP echo request (len 32 id 9233 seq 0) 192.168.2.1 > 10.10.10.1
10.10.10.1 NO response received -- 1000ms
2: ICMP echo request (len 32 id 9233 seq 1) 192.168.2.1 > 10.10.10.1
10.10.10.1 NO response received -- 1000ms
3: ICMP echo request (len 32 id 9233 seq 2) 192.168.2.1 > 10.10.10.1
10.10.10.1 NO response received -- 1000ms
maar aan de routering te zien klopt deze nu wel ?

[luteijn]

Verwijderd schreef op vrijdag 27 juni 2008 @ 12:16:
kan helaas nog niet pingen.
3: ICMP echo request (len 32 id 9233 seq 2) 192.168.2.1 > 10.10.10.1
10.10.10.1 NO response received -- 1000ms
maar aan de routering te zien klopt deze nu wel ?

Tsja, moet je die routering wel even hierheen knippen en plakken, want geen idee wat je nu uiteindelijk hebt. Dus even kijken wat er nu op pix1 en pix2 in de IP route-tabellen staat, zoals rechts op de oorspronkelijke tekening.

Veder zou ik ook even stap voor stap kijken; krijg je wel een reply als je naar 192.168.2.64 pingt? Denk er ook aan dat die PIXen in hoofdzaak firewalls zijn, en geen normale routers, en dat je dus wel zeker moet zijn dat ze de ICMP echo replies of requests niet blokkeren. Zoals al eerder gevraagd is, doe eens een traceroute vanaf een PC in het 192.168.2.0 netwerk naar een PC het 10.10.10.0 netwerk. Dus niet van Pix naar Pix, maar er doorheen.

P.

[Verwijderd]

Hallo Luteijn

hieronder de routering tabbelen hoe ze nu zijn.

pix 1

outside 0.0.0.0 0.0.0.0 84.104.160.1 1 DHCP static
inside 10.10.10.0 255.255.255.0 192.168.2.64 1 OTHER static
outside 84.104.160.0 255.255.255.0 84.104.160.143 1 CONNECT static
inside 192.168.2.0 255.255.255.0 192.168.2.1 1 CONNECT static

pix 2

outside 0.0.0.0 0.0.0.0 192.168.2.1 1 DHCP static
inside 10.10.10.0 255.255.255.0 10.10.10.1 1 CONNECT static
outside 192.168.2.0 255.255.255.0 192.168.2.64 1 CONNECT static

Ja ik krijg wel gewoon reply als ik 192.168.2.64 ping.

icmp echo lijkt me aan te staan anders zou je toch ook niet vanaf client 10.10.10.20 naar 10.10.10.1 kunne pingen ?

Traceroute heb ik ook al paar keer gedaan. dan krijg ik alleen maar

request time out
en in de pix zie ik dan dat hij vanuit bepaalde ip 192.168.2.63 naar 10.10.10.1 wilt comuniceren.

heb laptop aangesloten aan pix2 krijg netjes ip kan 10.10.10.1 pingen maar ik kan niet 192.168.2.64 pingen de rest kan ik wel allemaal pingen

[ Voor 23% gewijzigd door Verwijderd op 27-06-2008 13:07 ]

[Vicarious]

Die inside 10.10.10.0 route op pix1 slaat nergens op... die moet eruit. Verder moet er op PIX1 een route outside 10.10.10.0 255.255.255.0 192.168.2.64 en op PIX2 een route outside 192.168.2.0 255.255.0 192.168.2.1. De rest van de routes kunnen eruit.

[Verwijderd]

Hallo okee ik heb de route aangepast op pix 1 wat je zegt maar op pix 2 als ik die toevoeg dan zegt ie route already exist en ik kan die gene die er nu staan ook niet verwijderen omdat directe verbindingen zijn.

[Vicarious]

Kan kloppen nu je het zegt... op PIX2 is dat een direct connected netwerk, dus daar hoef je geen route voor aan te maken. Dan heb je alleen op PIX1 de route naar het 10.nogwat netwerk nodig.

En volg het advies van Luteijn eens op... ga nou eens stap voor stap pingen en tracen om te kijken waar het mis gaat.

[luteijn]

Vicarious schreef op vrijdag 27 juni 2008 @ 15:00:
Die inside 10.10.10.0 route op pix1 slaat nergens op... die moet eruit. Verder moet er op PIX1 een route outside 10.10.10.0 255.255.255.0 192.168.2.64 en op PIX2 een route outside 192.168.2.0 255.255.0 192.168.2.1. De rest van de routes kunnen eruit.

Even voor mijn begrip, waarom moet op Pix1 de route naar 10.10.10.0/24 via 192.168.2.64 een 'outside' route zijn? Volgens mij kloppen de route tabellen nu; alleen maar connected netwerken default routes 'upstream' en op Pix 1 een route naar het 10.10.10.0/24 netwerk via 192.168.2.64

en aan TS:

heb laptop aangesloten aan pix2 krijg netjes ip kan 10.10.10.1 pingen maar ik kan niet 192.168.2.64 pingen de rest kan ik wel allemaal pingen

wat bedoel je hier met 'de rest'? Doet ping 192.168.2.60 vanaf je laptop achter pix2 (met bijv addres 10.10.10.2) het? In dat geval werkt namelijk je routering en is het puur een questie van instellingen op de pixen die wellicht ping-request naar de pix zelf op een address dat 'aan de andere kant' van de pix zit blokkeren.


P.

[ Voor 7% gewijzigd door luteijn op 27-06-2008 16:02 . Reden: zin weggevallen ]

[Verwijderd]

Okee dus de routering staat nu goed en even voor Vic dat heb ik al een paar keer gedaan. En voor Lut ja als ik me laptop nu aan me pix2 hang krijg ik net een ip 10.10.10.20 en kan ik pingen naar 192.168.2.60, 2.50 noem maar op behalfe naar 192.168.2.64

PS sorry voor al het ongemak hoor maar ik ben blij dat jullie me helpen.

Grtz Marcel

[luteijn]

Gefeliciteerd, je routering werkt dus. Dat die rare firewalls niet op ping antwoorden, ligt vast aan een locale setting op die doosjes, laat ik me verder niet over uit want heb ik niet genoeg verstand van.

P.

[Verwijderd]

OK dank je wel voor je adviezen.

[Vicarious]

luteijn schreef op vrijdag 27 juni 2008 @ 16:00:
[...]


Even voor mijn begrip, waarom moet op Pix1 de route naar 10.10.10.0/24 via 192.168.2.64 een 'outside' route zijn? Volgens mij kloppen de route tabellen nu; alleen maar connected netwerken default routes 'upstream' en op Pix 1 een route naar het 10.10.10.0/24 netwerk via 192.168.2.64

Ik zit weer verkeerd naar dat plaatje te kijken. Op dat plaatje staat er niet bij getekend dat aan de outside interface op PIX1 het internet vastzit. Ik ga er dus steeds vanuit dat dat 10.10.10.0/24 netwerk via de outside interface benaderd moet worden.

[Flyduck]

Maak is een NAT 0 aan voor het verkeer tussen je interne netwerken...