Cisco IOS beginnersvraag FW en NAT

[demasterbaas]

Ik moet ergens een portforwarding aanpassen in een Cisco IOS router, alleen dat heb ik nog nooit gedaan... Na een beetje studie kan ik inmiddels NAT tabel en access lists zien en heb daaruit een kleine selectie gemaakt:

WAN IP = 83.165.261.193
Server IP (intern) = 10.110.44.44
Nieuwe server IP (intern) = 10.110.44.1

NAT

code:

Pro Inside global       Inside local       Outside local      Outside global
tcp 83.165.261.193:3389 10.110.44.44:3389  ---                ---
tcp 83.165.261.193:25   10.110.44.44:25    ---                ---
tcp 83.165.261.193:80   10.110.44.44:80    ---                ---
tcp 83.165.261.193:443  10.110.44.44:443   ---                ---

Hier maak ik uit op dat poort 3389, 25, 80 en 443 staan geforward naar de huidige server.

Access list

code:

Extended IP access list 199
    10 permit tcp 194.109.127.0 0.0.0.255 host 83.165.261.193 eq smtp (108671 matches)
    20 permit tcp 194.109.24.0 0.0.0.255 host 83.165.261.193 eq smtp
    30 permit tcp host 83.96.xxx.xxx host 83.165.261.193 eq smtp
    40 permit tcp 10.0.0.0 0.0.255.255 host 10.110.44.44 eq smtp
    50 deny tcp any any eq smtp (36 matches)
    60 permit tcp host 80.126.xxx.xxx host 83.165.261.193 eq 3389
    70 permit tcp host 83.96.xxx.xxx host 83.165.261.193 eq 3389
    80 permit tcp host 83.82.xxx.xxx host 83.165.261.193 eq 3389
    90 permit tcp host 82.95.xxx.xxx host 83.165.261.193 eq 3389
    100 permit tcp host 92.66.xxx.xxx host 83.165.261.193 eq 3389
    110 permit tcp host 77.61.xxx.xxx host 83.165.261.193 eq 3389
    120 permit tcp host 80.57.xxx.xxx host 83.165.261.193 eq 3389
    130 permit tcp host 194.242.xxx.xxx host 83.165.261.193 eq 3389
    140 deny tcp any any eq 3389 (48 matches)
    150 permit tcp 62.140.0.0 0.0.255.255 host 83.165.261.193 eq www (10 matches)
    160 permit tcp 109.0.0.0 0.255.255.255 host 83.165.261.193 eq www (8 matches)
    170 permit tcp 92.66.32.0 0.0.0.255 host 83.165.261.193 eq www
    180 permit tcp any host 83.165.261.193 eq www log (6011 matches)
    190 deny tcp any any eq www
    200 permit tcp any any eq 443 (151537 matches)
    210 deny tcp any any eq 443
    220 permit ip any any (4570460 matches)

Hier maak ik uit op dat
- 194.109.127.x en 194.109.24.x op poort 25 naar binnen mogen
- 83.96.xxx.xxx op poort 25 naar binnen mag
- 8 IP's op poort 3389 naar binnen mogen
- 62.140.x.x, 109.x.x.x, 92.66.32.x op poort 80 naar binnen mogen
- Overige IP's ook op poort 80 naar binnen mogen maar dat dat in een log komt (Klopt dat??).
- Iedereen op poort 443 naar binnen kan

Wat de bedoeling is, is dat poort 25, 80, 443 en 3389 straks op de nieuwe server terecht komen. Volgens mij hoef ik dan alleen wat aan te passen in het NAT lijstje, toch?

Nu mijn vraag: Hoe doe ik dat precies? Verder zou ik het ook wel handig vinden om te weten hoe ik in de access list iets kan toevoegen/verwijderen/bewerken, bijvoorbeeld de IP's die mogen RDP'en (3389).

Kan iemand mij een beetje op weg helpen met de IOS commando's voordat ik de boel helemaal door elkaar gooi...?

Alvast bedankt voor het advies!!

[Pieter Kimpen]

Het basis princiepe is dit:

ip nat inside source static tcp <jouw interne IP> <inbound poortnummer> interface <interfacenaam> <outbound poort>

bvb

ip nat inside source static tcp 10.10.10.80 3389 interface Dialer0 3389
ip nat inside source static tcp 10.10.10.80 21 interface Dialer0 21
ip nat inside source static tcp 10.10.10.80 110 interface Dialer0 110
ip nat inside source static tcp 10.10.10.80 443 interface Dialer0 443
ip nat inside source static tcp 10.10.10.80 25 interface Dialer0 25
ip nat inside source static tcp 10.10.10.80 80 interface Dialer0 80

Indien je er hiermee niet komt mag je gerust een show running-config posten. Ik kijk dan wat er juist gewijzigd moet worden in de configuratie.

[demasterbaas]

Pieter Kimpen schreef op maandag 01 augustus 2011 @ 19:32:
Het basis princiepe is dit:

ip nat inside source static tcp <jouw interne IP> <inbound poortnummer> interface <interfacenaam> <outbound poort>

bvb

ip nat inside source static tcp 10.10.10.80 3389 interface Dialer0 3389
ip nat inside source static tcp 10.10.10.80 21 interface Dialer0 21
ip nat inside source static tcp 10.10.10.80 110 interface Dialer0 110
ip nat inside source static tcp 10.10.10.80 443 interface Dialer0 443
ip nat inside source static tcp 10.10.10.80 25 interface Dialer0 25
ip nat inside source static tcp 10.10.10.80 80 interface Dialer0 80

Indien je er hiermee niet komt mag je gerust een show running-config posten. Ik kijk dan wat er juist gewijzigd moet worden in de configuratie.

Oke top, het is een 1751 met 3 slots. In het eerste slot (ik geloof slot 0) zit een ADSL annex A kaartje. Enig idee hoe die interface dan heet, of is dat de genoemde Dialer0?

Zal even kijken of ik zo'n running-config kan produceren...

[Pieter Kimpen]

Wellicht is dat inderdaad een Dialer interface ja, Via een show running-config en een show version kan ik je wat beter helpen.

[demasterbaas]

Pieter Kimpen schreef op maandag 01 augustus 2011 @ 21:46:
Wellicht is dat inderdaad een Dialer interface ja, Via een show running-config en een show version kan ik je wat beter helpen.

Ik heb de running-config even bestudeerd, en de pptp verbinding is inderdaad Dialer0. Het viel me ook op dat alle NAT forwarding er op basis van IP adressen in stond (dus zonder interfacenaam). Het is me inmiddels gelukt met deze commando's:

config t (duurde even voordat ik die ontdekt had!!)

verwijderen huidige forwarding:
no ip nat inside source static tcp 83.165.261.193 80 10.110.44.44 80

toevoegen nieuwe:
ip nat inside source static tcp 83.165.261.193 80 10.110.44.1 80

opslaan configuratie:
wr

(En uiteraard de middelste commando's herhalen voor elk poortnummer.)

Nu nog wel de vraag: Hoe kan ik de access-lists bewerken?

[kokkel]

Heb je zelf al eerdere/verdere cisco ervaring opgedaan of een certificering hier in. in het geval van niet doe je het aardig om de configuratie aan te passen op jouw situatie.

Hier heb je een linkje waarin het 1 en ander wordt uitgelegd en voorgedaan. Suc6 het is leuke stof om door te nemen, tenminste vind ik

Dat is de beste manier voor het wijzigen van een active config, je kan ook de no optie gebruiken. Zou wel eerst je acl naar een notepadje kopiëren en aanpassen, en dan NO commando gebruiken en dan copy past.

[ Voor 21% gewijzigd door kokkel op 02-08-2011 10:28 ]

[webfreakz.nl]

Leuk dat je zelf een oplossing aan het zoeken bent, maar kijk wel uit dat je niet het apparaat verneukt en de bedrijfsprocessen op z'n gat liggen... Kijk dus eerst even of je snapt hoe je dat apparaat weer tot leven kan wekken, inclusief configuratie, voor je iets risicovols gaat doen..

[kokkel]

webfreakz.nl schreef op dinsdag 02 augustus 2011 @ 10:35:
Leuk dat je zelf een oplossing aan het zoeken bent, maar kijk wel uit dat je niet het apparaat verneukt en de bedrijfsprocessen op z'n gat liggen... Kijk dus eerst even of je snapt hoe je dat apparaat weer tot leven kan wekken, inclusief configuratie, voor je iets risicovols gaat doen..

Idd goeie tip, was ik ff vergeten.

[Pieter Kimpen]

Leuk dat je zelf een oplossing hebt gevonden.
Als je je configuratie wil bewaren voor later kan je deze kopiëren naar notepad (maar dan zit je met lelijke !! ertussen)

je kan ook een tftp server installeren en dan met het commando copy running-config tftp de configuratie netjes naar een TFTP server kopiëren,

achteraf kan je dan de configuratie vanaf de tftp server weer in de router laden, mocht het nodig zijn. zonder te copy en pasten (wat je wel dient te doen met een notepad file)

dit kan met het commando copy tftp: running config

meer info: http://www.cisco.com/en/U...186a008020260d.shtml#tftp

Hoe je je access-lists kunt bewerken: dat hangt ervan af welke access lists je hebt standard of extended ACL's. meer info: http://www.cisco.com/en/U...ote09186a00800a5b9a.shtml

post maar een running-config en wat je graag wil, mocht je er niet uitkomen.

[ Voor 18% gewijzigd door Pieter Kimpen op 02-08-2011 19:28 ]

[bazkar]

Een handige (gratis) tftp server die je op je eigen machine kan draaien indien gewenst is tftpd32:

http://tftpd32.jounin.net/

[demasterbaas]

Oke top!

Bedankt voor al deze nuttige tips, ik ga er mee aan de slag!