Cisco PIX 501 Troubles

[Verwijderd]

Ik heb een beetje een probleem.
Zit nu al een geruime tijd achter een Cisco PIX 501 zolang dat ik nu door de bomen het bos niet meer zie
Mischien kunnen jullie me helpen want in de search en bij Cisco vond ik ook nix bruikbaars
Nou daar gaat ie dan:

Ik heb een server(192.168.0.1) daar aan hangt op eth1 de PIX(192.168.0.254 en 10.21.1.35) op eth0 hangt een 3 com office connect lan modem (10.21.1.34) (Werkt dit uberhaupt al?) maar goed ik kan dus van uit de router alles pingen maar vanaf de server alleen 192.168.0.254 waar ik dus via mijn browser verbinding mee maak naar de DM Ik heb volgens mij alles rules goed staan enzo (ICMP en shit) zou er nou nog iets kunnen zijn wat ik over het hoofd zie?

Owkee ik vraag hier dus niet om een uitgebreide handleiding ofzo want dat kan ik zelf wel lezen en bespaart jullie weer tijd ;P Ik zoek alleen tips voor wat ik over het hoofd zou kunnen zien en of dit al uberhaupt kan en iemand het heeft zien werken

Greetz Mighty

[Predator]

[forum=24] -> [forum=19]

DM

Je kan wel je server pingen vanaf de ene kant maar niet van je server naar de andere kant ?

Dan zit er gewoon een fout in je ICMP block rules.

[Verwijderd]

DM = Device Manager

EN die ICMP rule staat echt goed en ook al pak ik hem standaard dus dat alles open staat doet hij het nog niet die office connect doet geen ruk hij gaat zelfs niet bellen

[Verwijderd]

Hoi,

Ok, dus eth0 is je outside interface en eth1 is je inside. Je kan dus vanaf de router (outside) de inside pingen (192.168.0.x adres van server), maar niet andersom?
Wat zijn de security levels van je interfaces?
Waar maak je gebruik van in je config, conduits of access-lists?
Maak je gebruik van nat van intern naar extern? Of laat je hem routeren? Misschien je config (zonder de passwords natuurlijk en eventuele publieke adressen) posten. Dan is het probleem misschien zo opgelost..

pjnef

Op donderdag 25 juli 2002 20:13 schreef MightyMike het volgende:
DM = Device Manager

EN die ICMP rule staat echt goed en ook al pak ik hem standaard dus dat alles open staat doet hij het nog niet die office connect doet geen ruk hij gaat zelfs niet bellen

[Verwijderd]

Sorry ben echt een leek op het gebied van die PIX moet het allemaal nog een beetje leren zag dat ding gisteren voor het eerst Maar goed ben gaan lezen en begonnen met de default configuration toen is daar dus het volgende uitgekomen:

Server heeft ip 192.168.0.1
PIX heeft inside 192.168.0.254 en outside 10.21.1.35
lan modem heeft ip 10.21.1.34

Ik dacht dat default alles open stond maar ik dacht dat ik daarnaast ook nog alles had open gezet naar buiten toen ik zit nu helaas niet meer bij die PIX dus kan je ook geen acces rules geven (Werk wel met access list)

Maar goed ik kon dus vanuit de router bv wel de lan modem pingen maar vanaf de server niet. En ik moet nu dus eigenlijk beginnen met dat de server via de pix connectie gaat maken met i-net (dus de lan modem moet gaan bellen)

dat dicht gooien lukt me later wel met alle documentatie alleen ik ben nu gewoon ff de weg kwijt en hoop weer op het goeie pad te komen

[Verwijderd]

Hoi,

Ok, dat maakt het iets meer duidelijk. Nee, standaard is de pix erg paranoïde. Niets mag, tenzij je het expliciet vertelt.
Er zijn twee dingen: een is, je access-list is net verkeerd om. als de access-list aan de inside hangt, heb je iig het volgende nodig:
access-list <jouwaccesslistname> permit icmp 192.168.0.0 255.255.255.0 any
Hiermee mag iedereen van binnen naar buiten pingen.
Daarnaast: heb je nat aanstaan? Oftewel, worden de interne adressen vertaalt naar externe (voor de pix) adressen?
Oftewel heb je in je config commando's zoals:
global 1 10.21.1.36-10.21.1.37 of
global 1 10.21.1.36 overload (voor pat)
en
nat 1 192.168.0.0 255.255.255.0

Dit kan je ook controleren door het commando show nat uit te voeren.
Ik neem wel aan dat je een default route hebt opgegeven (op de pix) die wijst naar het lanmodem en op de server een default gateway opgegeven die naar de pix wijst?

pjnef

Op donderdag 25 juli 2002 21:41 schreef MightyMike het volgende:
Sorry ben echt een leek op het gebied van die PIX moet het allemaal nog een beetje leren zag dat ding gisteren voor het eerst Maar goed ben gaan lezen en begonnen met de default configuration toen is daar dus het volgende uitgekomen:

Server heeft ip 192.168.0.1
PIX heeft inside 192.168.0.254 en outside 10.21.1.35
lan modem heeft ip 10.21.1.34

Ik dacht dat default alles open stond maar ik dacht dat ik daarnaast ook nog alles had open gezet naar buiten toen ik zit nu helaas niet meer bij die PIX dus kan je ook geen acces rules geven (Werk wel met access list)

Maar goed ik kon dus vanuit de router bv wel de lan modem pingen maar vanaf de server niet. En ik moet nu dus eigenlijk beginnen met dat de server via de pix connectie gaat maken met i-net (dus de lan modem moet gaan bellen)

[Verwijderd]

Ja die gobal enzo heb ik gedaan alleen die access list zou kunnen dat hij verkeerd staat dat ga ik iig even controleren mocht ik er morgen nou nog niet uit komen dan post ik nog wel.

iig alvast onwijs bedankt hier heb ik tenminste wat aan!

Greetz Mike

btw hoe kom je aan:

global 1 10.21.1.36-10.21.1.37 of
global 1 10.21.1.36 overload (voor pat)

want die 36 en 37 heb ik nergens gebruikt toch ?!

[Verwijderd]

Mike,

Dat is nodig voor de nat. De pix heeft een ip-adres nodig waar de interne adressen naartoe vertaald kunnen worden.
Standaard configureer je een pool (global 1 startip-endip), waardoor de eerste x computers (waarbij x aantal ip-adressen is) een 1-op-1 vertaling krijgen, dus de eerste compu krijgt aan de buitenkant startip, en zo verder. Als er op zo'n adres een tijdje geen verkeer is geweest (dat zijn timeouts, kan je zelf instellen), wordt het adres weer gebruikt voor een andere computer.
Het tweede commando:
global 1 <ip> overload
geeft aan, dat als de pool vol is, mag de pix dit adres gebruiken, maar met het commando overload geef je ook aan, dat hier meerde interne computers aan gekoppeld kunnen worden, en dus alleen poorten vertaald worden (PAT).

pjnef

Op donderdag 25 juli 2002 21:56 schreef MightyMike het volgende:
Ja die gobal enzo heb ik gedaan alleen die access list zou kunnen dat hij verkeerd staat dat ga ik iig even controleren mocht ik er morgen nou nog niet uit komen dan post ik nog wel.

iig alvast onwijs bedankt hier heb ik tenminste wat aan!

Greetz Mike

btw hoe kom je aan:

global 1 10.21.1.36-10.21.1.37 of
global 1 10.21.1.36 overload (voor pat)

want die 36 en 37 heb ik nergens gebruikt toch ?!

[Verwijderd]

Hey Man onwijs bedankt ik ben nu weer een stapje verder alleen let op ik heb nu het volgende probleem alles staat goed in de PIX pingen kan enzo ik kan op de WEB config van die LAN modem komen alleen als ik een call place dan zegt hij Access denied (Config WS in WS config menu bla bla bla) nou heb ik daar die ip's al in gezet (Pix inside en outside, server en lan modem dus dat zijn ze allemaal) maar geef ik nu me server het ip adres van de pix dan kan ik ook weer gewoon op de lan modem alleen nu kan ik gewoon wel een call placen ??!?! Zelf vind ik dit nog al vaag en twijfel eraan of een LAN modem wel via die PIX werkt of dat het echt een router moet zijn ?!

[Verwijderd]

Hoi Mike,

Volgens mij probeer je het volgende te bereiken (lijkt me de oplossing):

server <- 192.168.0.0 / 255.255.255.0 -> pix <-10.21.1.0/255.255.255.0 -> lanmodem <- internet

Wat er dus gebeurt, is het volgende:
Als je server naar internet gaat, vertaalt de pix dat naar een 10.21.1.0 adres (dat vertel je met het global commando), dus voor het lanmodem, lijkt het alsof ie met een computer praat met ip-adres 10.21.1.36 (als voorbeeld).
Je zal dus daar in de config moeten vertellen dat al het verkeer dat van 10.21.1.35, 10.21.1.36, etc (dus 10.21.1.*) afkomt, reden is om een verbinding naar internet op te zetten.
Je lan modem belt dan uit, maakt verbinding en je krijgt een extern adres op je ISDN interface (gok dat het ISDN is). Je lan-modem gaat vervolgens de 10.21.1.* adressen weer vertalen naar het externe ip-adres, wat weer op internet bekend is.

Voor de pix maakt het helemaal niet uit of je nou met een lanmodem, huurlijn, cable of dsl lijn werkt. Je vertelt de pix dat hij al zijn verkeer (voor het internet) moet dumpen bij een bepaald ip-adres (de default gateway). (dat doe je door het commando
route outside 0.0.0.0 0.0.0.0 <internipadres-van-je-lanmodem>

Hierdoor weet de pix waar hij de pakketjes naartoe moet doorsturen. op je lan modem hoef je dus niet de interne adressen te plaatsen. Maar voor de exacte configuratie van je lanmodem moet je daar in de boekjes (en de troubleshooters) kijken. Het kan zijn dat de call wel wordt geplaatst, maar dat je inlognaam/wachtwoord niet kloppen, etc..

HTH,

pj

Op vrijdag 26 juli 2002 16:20 schreef MightyMike het volgende:
Hey Man onwijs bedankt ik ben nu weer een stapje verder alleen let op ik heb nu het volgende probleem alles staat goed in de PIX pingen kan enzo ik kan op de WEB config van die LAN modem komen alleen als ik een call place dan zegt hij Access denied (Config WS in WS config menu bla bla bla) nou heb ik daar die ip's al in gezet (Pix inside en outside, server en lan modem dus dat zijn ze allemaal) maar geef ik nu me server het ip adres van de pix dan kan ik ook weer gewoon op de lan modem alleen nu kan ik gewoon wel een call placen ??!?! Zelf vind ik dit nog al vaag en twijfel eraan of een LAN modem wel via die PIX werkt of dat het echt een router moet zijn ?!

[Verwijderd]

Jah klopt ik wil het dus zo hebben:

192.168.0.1 (server met gateway 192.168.0.254) -----> 192.168.0.254 (inside)PIX 10.21.1.35 (outside) ----> Lanmodem (ISDN 10.21.1.34) subnet = 255.255.255.0 Als ik dus vanaf die server kan pingen naar die lanmodem en ook connectie kan maken naar die webconfig zou neem ik aan dat de PIX goed is en ja dan moet hij met een ander ip dan 10.21.1.34 of 35 connectie proberen te maken want die staan gewoon in de Lanmodem ik zal dus maandag even proberen of ik er 10.21.1.* in kan zetten en anders .36 en .37 iig en kijken of dat werkt config van de lan modem is ook goed want als ik hem rechtstreeks op een netwerkkaart met 10.21.1.35 aansluit doet hij het wel gewoon en maakt verbinding.

Wederom dank voor je hulp /m wordt gek van dat klote ding maar als je het eenmaal door hebt dan snap je het ook en kan je het voortaan zelf en andere helpen

Greetz Mike

[Verwijderd]

Nou nou na een weekend lang na denken ben ik weer met verse moed aan mijn PIX begonnen! Even de adressen van de pool 10.21.1.37/10.21.1.36 in de LAN modem gezet en nu belde hij als ik een call place alleen als ik nu via de server connectie probeer te maken belt hij niet

Instellingen server (XP): IP: 192.168.0.1
Subnet: 255.255.255.0
Gateway: 192.168.0.254
DNS: leeg

Instellingen pix: IP inside: 192.168.0.254
IP outside: 10.21.1.35
Static route: outside 0.0.0.0 255.255.255.0 10.21.1.34 1

Instellingen Lan modem: ip: 10.21.1.34

Pingen kan ik wel gewoon web config ook en een call placen ook alles op de lan modem zelf (Neem dan aan dat die rules goed staan?) Of moet ik op 1 of andere manier nog zeggen welk ip adres mag internetten ofzo?

alles is subnet 255.255.255.0? klopt dat uberhaupt al wel?