Cisco PIX/ASA NAT loopback

[spone]

Alvast excuses voor de ietwat vage topictitel, en de grote muur van tekst maar laat ik beginnen met een situatieschets:

                  Outside              
                     |
                     |
                Cisco PIX 506
                     |
                     |
 Mailserver 2 --- Switch --- DNS Server
                     |
                     |
                Mailserver 1

In het rack waar wij onze servers hosten, hing tot voorkort een enkele linux-based mailserver (Mailserver 1). Nu zit er een tweede linux-based mailserver (Mailserver 2) aan te komen. Daarnaast hangt er nog een Bind DNS-server in het rack die authorative is voor flink aantal domeinen.

De servers hebben intern een private (192.168.x.x) adres, die via statische NAT mappings in de PIX firewall naar een extern IP gemapped worden. Ze kunnen elkaar uitstekend intern onderling bereiken. Het nadeel is dat dit tevens de enige manier is om elkaar te bereiken, want wanneer ze elkaar via hun externe IP willen bereiken wordt deze loopback (van binnen naar buiten naar binnen) niet toegelaten door de firewall. Dit is naar wat ik begrepen heb over de Cisco firewalls by design omdat een firewall geen router is in de optiek van Cisco.


Wat is het probleem
Wanneer mailserver 1 mail wenst te verzenden naar een mailserver die buiten het interne netwerk staat, zoekt de mailserver hiervan de MX records op door een query naar de DNS server te sturen op zijn interne adres. Hier krijgt de mailserver een extern IP terug en gaat keurig naar buiten, waarna de mail wordt afgeleverd.

In het geval dat mail bestemd is voor mailserver 2, zal er eveneens een lookup gedaan worden naar de lokale DNS-server, hier komt een extern IP terug, mailserver gaat naar buiten, wil weer terug naar binnen (om mailserver 2 te bereiken) maar mag dat niet. Gevolg: de mail kan niet afgeleverd worden.

Hoe zorg ik ervoor dat dit wel mogelijk is?

Om een paar voor de hand liggende zaken voor te zijn:

Gebruik interne adressen in de DNS en laat het over aan DNS rewriting van de PIX
In een ander datacenter hebben we een secundaire DNS-server staan die repliceert. Dit gebeurt door middel van zone transfers die noodgedwongen via TCP verlopen, wat niet door de PIX rewritten wordt waarmee de secundaire DNS server niet-rewritten DNS-data krijgt, waar deze niks mee kan en dan dus foutieve informatie zou uitgeven.

Gebruik hostfiles op de mailservers om de lokale domeinen af te vangen
Geen idee of dit ook zal werken voor MX records, maar het idee om enkele honderden mail-enabled domeinen handmatig in een hostfile te moeten zetten en daarvoor een dubbele administratie te moeten bijhouden zie ik niet eens een klein beetje niet zitten.

Gebruik een externe DNS server voor lookups vanaf de mailserver
Heeft niet de voorkeur. Hiermee wordt een extra afhankelijkheid gecreeerd naar een andere locatie om lokale mail-aflevering mogelijk te maken. Dit in combinatie met DNS-rewriting in de PIX zou een oplossing kunnen zijn omdat binnenkomende externe DNS-replies vertaald worden naar het interne adres door de PIX.

Mijn voorkeursoplossing zou in de richting zijn van door middel van iets als iptables/netfilter/rewriting een vaste set IP's de DNS-replies op de server zelf translaten, maar ik heb geen idee hoe dat op een goede manier te realiseren valt. En een /32-route in de routetabel erbij hacken is ook niet mijn idee van netjes.

Iemand een inzichtje hierin hoe ik dit rechttrek?

[DJ]

Kun je niet per mail server één DMZ zone inrichten? Dus dan zou je twee DMZ zones krijgen voor de mail servers en de DNS server blijft in de zone zitten waar hij nu al in zit. Op die manier krijg je nooit verkeer dat een 'loopback' karakter krijgt.

[Vicarious]

Je kan in je DNS server toch gewoon een zone aanmaken en zorgen dat de MX record van die betreffende mailserver wordt geresolved naar het interne adres? NAT Loopback gaat inderdaad niet lukken met die PIX.

[bazkar]

Loopback kan vanaf PIXOS versie 7 op een PIX/ASA. Helaas ondersteunt een 506 geen versie 7 of hoger. Dat gaat je dus niet lukken. Ik zou inderdaad ook de oplossing van vicarious gebruiken.

[pablo_p]

bazkar schreef op donderdag 21 januari 2010 @ 15:54:
Loopback kan vanaf PIXOS versie 7 op een PIX/ASA. Helaas ondersteunt een 506 geen versie 7 of hoger. Dat gaat je dus niet lukken. Ik zou inderdaad ook de oplossing van vicarious gebruiken.

Ter info: Cisco ondersteunt geen 7.0 of hoger op een 506, maar het werk wel als je er voldoende geheugen in hebt. Door de beperking van 8MB flash kan je ASDM niet op flash installeren en moet je dus standaard via de CLI werken. Maar indien je features van 7.0 nodig hebt, kan je wel upgraden. Het wordt alleen niet gesupport, maar een 506 is sowieso al EoS, dus dat is kennelijk geen vereiste voor de vraagsteller.

[bazkar]

Hij is inderdaad EoS, maar nog niet EoL. Als er een support contract op die 506 zit, kun je dit tot 23 oktober 2012 verlengen (EoL datum is pas in 2013).

[ Voor 91% gewijzigd door bazkar op 27-01-2010 17:26 ]

[spone]

Bedankt voor de reacties.

De oplossing die Vicarious aandraagt is helaas geen praktische oplossing. Ik gaf aan dat het om meer dan een paar domeinen gaat en dan moet je dus een dubbele admnistratie bij gaan houden, plus een op de oorspronkelijke mailserver om ervoor te zorgen dat die domeinen aan elkaar gelijk lopen.

Voor zover ik kan zien is er op de firewall geen DMZ ingericht op dit moment, enkel inside en outside. Ik kan met de huidige licentie echter nog wel 2 interfaces maken, waarvan ik er in 1 een DNS-server zou kunnen zetten en op die manier een DMZ kan creëren. Heb alleen geen idee wat het toevoegen van een interface zou betekenen voor onderbrekingen in verbindingen, dus dat wil ik met een andere PIX op kantoor nog even testen. Maar het is een idee

Ik ben absoluut geen commandline-held wat Cisco-firewalls betreft, dus ik vind het een stuk overzichtelijker om er 'gewoon' doorheen te klikken. Daarmee valt versie 7.0 dus ook af.

Wat een ASA betreft: er staat hier ook nog een ASA5505, voorzien van ASA versie 8.0(3), 128MB flash, 256MB mem. Vanaf welke software versie ondersteunt een ASA5505 loopbacks?

[Vicarious]

Waarom valt de 7.0 versie af als je niet van de commandline houdt? NAT Loopback wordt voor zover ik weet vanaf versie 7.0 ondersteund, maar ik heb het eerlijk gezegd nooit getest omdat ik het nooit gebruikte. Ik maakte voor dit soort gevallen zoals ik al zei op mijn eigen DNS server een zone aan voor het betreffende domein.

[bazkar]

spone schreef op woensdag 27 januari 2010 @ 20:26:
Wat een ASA betreft: er staat hier ook nog een ASA5505, voorzien van ASA versie 8.0(3), 128MB flash, 256MB mem. Vanaf welke software versie ondersteunt een ASA5505 loopbacks?

Vanaf versie 7.0

PIXOS en ASA OS zijn eigenlijk hetzelfde. Een ASA is in beginsel niet meer of minder dan een PIX firewall gecombineerd met een VPN concentrator.

Dus ja, die 5505 gaat dat prima kunnen, met grafisch doorklikken via ASDM.

[spone]

Dus ja, die 5505 gaat dat prima kunnen, met grafisch doorklikken via ASDM.

Waar stel je dat in? De enige vorm die ik van loopbacks in de ASDM tegenkom is DNS-doctoring(rewrite), en zoeken op het wereldwijde web levert niet veel meer op dan dat het niet zou kunnen.

[recharge]

(denkend aan gebruik van de ASA)

Als je beide mail-servers achter een aparte sub-interface (en dus andere IP subnets) zou kunnen stoppen, dan zou je het verkeer via de ASA kunnen sturen (def.gateway van de segmenten).
(Er vanuitgaande dat de switch in het plaatje overweg kan met VLAN's, (geen unmanaged doosje)

Volgens mij moet je dan DNS doctoring kunnen toepassen:

DNS Doctoring:
http://www.cisco.com/en/U...ple09186a00807968c8.shtml

[ Voor 67% gewijzigd door recharge op 16-02-2010 22:05 ]

[Flyduck]

Wat zou er gebeuren als je de betreffende publieke IP adressen als secondary address op de mailservers configureert...? Kan dat nu zelf even niet testen helaas. Maar dan kan de mail rechtstreeks intern afgeleverd worden op het externe IP.

[ Voor 20% gewijzigd door Flyduck op 17-02-2010 16:10 ]