Afgescheiden netwerk

[sjosz]

Hallo,

Van het werk heb ik 2 servers en een Cisco ASA gekregen. Nu wil ik vanalles uit gaan proberen op de servers (VDI, Xenapp 7 etc). Ik wil de ASA gebruiken om het testnetwerk af te scheiden van het thuisnetwerk, ook omdat ik hier weer van kan leren. Ik wil één server dmv RDP kunnen benaderen.

Maar nu lukt het internetten niet vanuit het testnetwerk. Om het eea te verduidelijken heb ik een visio tekening gemaakt van hoe ik het wil.



inside interface asa: 172.16.1.254 (security level 100)
outside interface asa: 192.168.2.251 (security level 0)
Thuisnetwerk: 192.168.2.0/24
Testnetwerk: 172.16.1.0/24

Ik heb een default route op de asa ingesteld (ip route 0.0.0.0 192.168.2.251 0.0.0.0). Verder moet ik NAT nog instellen volgens mij, en hier heb ik nog geen ervaring mee. Weten jullie hoe ik dat kan configureren? Ik bedien de ASA dmv de ASDM.

Bedankt,

[ShadowAS1]

Heb je al eens goed rondgezocht? Dit zou je denk ik wel op weg kunnen helpen:
http://www.cisco.com/en/U...on/guide/nat_objects.html

[plizz]

Welke ASA IOS en ASDM versie draait die ASA? (Show version) Want na ASA IOS 8.3 moet je Natten zal als ShadowAS1 link. Voor ASA 8.3 moet je heel anders Natten.

[sjosz]

Het zijn inderdaad de laatste IOS versies (9.1). Het Cisco document heb ik nog niet helemaal doorgelezen. Maar mijn ervaring is dat die onnodig complex zijn.

Ik ga nog even aan de slag als ik de tijd ervoor heb. als ik meer specifieke vragen heb meld ik dat. Als iemand ondertussen nog tips heeft hoor ik dat graag!

[redfoxert]

For the record, Xenapp 7 bestaat niet XenDesktop en XenApp zijn nu samen XenDesktop

[K4F]

Is het niet; ip route 0.0.0.0 0.0.0.0 192.168.2.254. Immers is dat je echte gateway. Dubbel NAT?

[ Voor 29% gewijzigd door K4F op 29-07-2013 00:57 ]

[WhizzCat]

K4F schreef op zondag 28 juli 2013 @ 21:38:
Is het niet; ip route 0.0.0.0 0.0.0.0 192.168.2.254. Immers is dat je echte gateway. Dubbel NAT?

Ik zou inderdaad eerder gaan routen dan NAT"en, anders zit je, zoals in deze quote staat, met dubbel NAT, en dat wil je niet

Geen idee of dat wil met die ASA, ik gok van wel.

[TrailBlazer]

ictleerling schreef op zondag 28 juli 2013 @ 21:25:
Het zijn inderdaad de laatste IOS versies (9.1). Het Cisco document heb ik nog niet helemaal doorgelezen. Maar mijn ervaring is dat die onnodig complex zijn.

Ik ga nog even aan de slag als ik de tijd ervoor heb. als ik meer specifieke vragen heb meld ik dat. Als iemand ondertussen nog tips heeft hoor ik dat graag!

met die instelling wordt het nooit wat als je een handleiding als onnodig complex beschouwt.
Een cookbook volgens kan iedereen maar of je daar dan wat van leert is maar zeer de vraag.

[sjosz]

TrailBlazer schreef op maandag 29 juli 2013 @ 08:17:
[...]

met die instelling wordt het nooit wat als je een handleiding als onnodig complex beschouwt.
Een cookbook volgens kan iedereen maar of je daar dan wat van leert is maar zeer de vraag.

Oke ik maak me het er iets te gemakkelijk vanaf

Maar mijn ervaring is met veel Cisco theorie is dat ze het lastiger uitleggen dan het is. Ik zie dat je CCIE bent, heb je ook subnetten via de Cisco boeken geleerd? Ik heb het geprobeerd iig, en ik heb gefaald. De nuggets werken dan verhelderend

[sjosz]

Van Plizz kreeg ik het volgende bericht:

"
Stap voor stap in ASDM.
1.) Klik op knop configuration onder de menu balk
2.) klik op Routing en daarna Static routes
3.) Klik op Add button om een static route toe te voegen
4.) Kies de interface: "Outside", Network: "any4", Gateway: "192.168.1.254" en daarna op OK
5.) Klik op firewall, linkonders het scherm.
6.) Klik op Objects en daarna op Network Objects/Group
7.) Klik op Add button en kies Network Object...
! Bij stap 8 wordt een objecten gemaakt voor je 192.168.1.0 en 172.16.1.0 netwerk voor NAT translation. !
8.) Vul of kies de gegevens in van het object. Wanneer alles is ingvuld of gekozen, kies op OK.
Voorbeeld: Name: EXSI_Network
Type: Network
Ip Address: 172.16.1.0
Netmask: 255.255.255.0
9.) Herhaal stap 8 nogmaals voor thuis netwerk
10). Klik daarna op NAT Rules
11.) Kies Add NAT Rules Before "Network Object" NAT Rules...
12.) Kies hier de interfaces en de objecten namen. Laat andere instellingen zoals het is.
Vink "Disable Proxy ARP on egress interface" aan. kies daarna op OK
Voorbeeld:
Source Interface: Inside Destination Interface: Outside
Source Address: EXSI_Network Destination Address: Home_Network

Als het klopt werkt alles. MAAR je moet je firewall rules nog naar je smaak aanpassen. Die moet je zelf doen, anders leer je niks. Zo moeilijk is het niet.
De firewall rules is net als een Cisco access-list. Als je het concept begrijpt, is het een eitje. Om alles te testen of je internet hebt op het network 172.16.1.0. Kan je beter permit ip any any op je inside en outside interface zetten. Zo laat de firewall alles door.
"

Hopelijk hebben andere hier ook wat aan. Bedankt hiervoor!

[sjosz]

Het is allemaal gelukt! Het is me nu stukken duidelijker hoe het werkt met NAT en dergelijke.

Ik ga de ASA verkopen, in plaats daarvan heb ik een server gebruikt waarop ik pfSense heb geïnstalleerd. De server fungeert nu als routeplatform.