Cisco PIX wil niet "Static NATten"

[beauco]

Hieronder mijn Cisco PIX 500 config (met aangepaste IP info).
Ik denk zelf dat de config goed is aangezien ik hem al heb vergeleken met verschillende voorbeeld configs van cisco ... maar misschien zie ik iets over het hoofd!!! hier is mijn probleem:

Ik heb een exchange server op 10.1.1.113
Ik wil deze bereikbaar maken van op het internet op 99.99.99.115 dus doe ik een:
static (inside, outside) 99.99.99.115 10.1.1.113
access-list outside_access_in permit tcp any host 99.99.99.115 eq www
access-list outside_access_in permit tcp any host 99.99.99.115 eq pop3
access-list outside_access_in permit tcp any host 99.99.99.115 eq smtp
en
access-group outside_access_in in interface outside
Vervolgens wordt dat IP vertaald in the config door de PIX omdat ik een name aangemaakt heb.

Ik weet dus verder niet meer wat ik moet doen, die bak is dus gewoon niet te bereiken! Niet eens te Pingen (wat zou moeten kunnen na mijn access-list outside_access_in permit ip any any

HELP!

PIX Version 6.1(2)
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password blabla encrypted
passwd blabla encrypted
hostname BACPPIX
domain-name BACP.CO.UK
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
fixup protocol skinny 2000
names
name 10.1.0.0 InternalLAN
name 212.35.125.0 Apoyar
name 10.1.1.113 ExchangeServer
name 99.99.99.115 ExchangeOutside
access-list inside_access_in permit tcp InternalLAN 255.255.0.0 any
access-list inside_access_in permit udp InternalLAN 255.255.0.0 any
access-list inside_access_in permit icmp InternalLAN 255.255.0.0 any
access-list inside_access_in permit ip any any
access-list outside_access_in permit tcp any host ExchangeOutside eq www
access-list outside_access_in permit tcp any host ExchangeOutside eq pop3
access-list outside_access_in permit tcp any host ExchangeOutside eq smtp
access-list outside_access_in permit ip Apoyar 255.255.255.240 any
access-list outside_access_in permit ip any any
pager lines 24
logging on
logging console informational
interface ethernet0 10baset
interface ethernet1 10full
mtu outside 1500
mtu inside 1500
ip address outside 99.99.99.114 255.255.255.248
ip address inside 10.1.1.9 255.255.0.0
ip verify reverse-path interface outside
ip audit info action alarm
ip audit attack action alarm
ip local pool pptp-pool 10.1.2.1-10.1.2.10
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 InternalLAN 255.255.0.0 0 0
static (inside,outside) ExchangeOutside ExchangeServer netmask 255.255.255.255 0 0
access-group outside_access_in in interface outside
access-group inside_access_in in interface inside
route outside 0.0.0.0 0.0.0.0 99.99.99.113 1
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
http server enable
http InternalLAN 255.255.0.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
tftp-server inside 10.1.1.220 d:/tftp-root
floodguard enable
sysopt connection permit-pptp
sysopt noproxyarp outside
sysopt noproxyarp inside
no sysopt route dnat
telnet InternalLAN 255.255.0.0 inside
telnet timeout 5
ssh InternalLAN 255.255.0.0 inside
ssh timeout 5
vpdn group 1 accept dialin pptp
vpdn group 1 ppp authentication pap
vpdn group 1 ppp authentication chap
vpdn group 1 ppp authentication mschap
vpdn group 1 ppp encryption mppe 40
vpdn group 1 client configuration address local pptp-pool
vpdn group 1 pptp echo 60
vpdn group 1 client authentication local
vpdn username xxxxx password xxxxx
vpdn enable outside
vpdn enable inside
dhcpd dns 158.152.1.43
dhcpd lease 3600
dhcpd ping_timeout 750
terminal width 80

[CRiMiNaL]

doe hier ook is CP van je Show ver

kan hier niet echt iets in ontdekken.

[beauco]

Voila...

Cisco PIX Firewall Version 6.1(2)
Cisco PIX Device Manager Version 1.1(2)
Compiled on Fri 16-Nov-01 14:28 by morlee
BACPPIX up 1 hour 22 mins
Hardware: PIX-501, 16 MB RAM, CPU Am5x86 133 MHz
Flash E28F640J3 @ 0x3000000, 8MB
BIOS Flash E28F640J3 @ 0xfffd8000, 128KB
0: ethernet0: address is 0009.7cb7.9999, irq 9
1: ethernet1: address is 0009.7cb7.9999, irq 10
Licensed Features:
Failover: Disabled
VPN-DES: Enabled
VPN-3DES: Disabled
Maximum Interfaces: 2
Cut-through Proxy: Enabled
Guards: Enabled
Websense: Enabled
Inside Hosts: 10
Throughput: Limited
ISAKMP peers: 5
Serial Number: 406188091 (0x1835f03b)
Activation Key: 0x63085f8d 0xe70dd979 0x26199000 0x999999

[CRiMiNaL]

route outside 0.0.0.0 0.0.0.0 99.99.99.113

die route klopt al niet helemaal.

een route met 0.0.0.0 255.255.255.255 99.99.99.113 zou meer sens maken
een route met 0.0.0.0 255.255.255.255 <adres switch> zou nog sneller werken als je je netwerk tenmiste zo ingedeeld hebt.

zou je een beetje kunnen uitleggen hoe je netwerk inelkaar zit ..

werkt een broadcast ping wel ????

[beauco]

route outside 0.0.0.0 0.0.0.0 99.99.99.113 1 is de def. gw die wordt in een PIX zo genoteerd ... zeker weten!!!

Het netwerk is een simpel LAN met een aantal clients en 1 Exchange Server.
De clients en de Exchange hebben internet connectiviteit nodig door de PIX (dit werkt. Dus de default route ook)
Die Exchange moet van buiten af bereikbaar zijn op TCP 25/80/110 op 99.99.99.115
Dat werkt niet

[Bor]

Heb je de config met de hand ingeklopt of laten maken door de pix device manager? Die default route lijkt mij ook niet goed namelijk.

edit: je hebt gelijk, de pix documentatie heeft een voorbeeld:

default route

route outside 0 0 209.165.201.2 1

[ Voor 32% gewijzigd door Bor op 10-12-2002 15:48 ]

[beauco]

waar die 0 0 config afkortingen zijn voor 0.0.0.0 0.0.0.0 ... precies.
Die config heb ik in een text editor gemaakt en ik heb de "command parser" van Device Manager gebruikt om em in te voeren.

[CRiMiNaL]

ik zal maar niet zeggen dat WR ER intypen een goed idee is maar ik kan er echt nix anders meer uithalen . Zou het iets met de Restricted Licence te maken kunnen hebben ??

[Bor]

Restricted license is toch alleen een beperkt aantal concurrent connecties en beperkt vpn?

[CRiMiNaL]

tjah ... ik denk ook alleen maar even hardop na ... en sla de manual er nog ff op na

[Bor]

Hmm, misschien heel erg domme opmerking, maar je kunt eens proberen om de zelfde config via de web interface te maken. Die wil nog wel eens duidelijk aangeven waarom iets niet kan/mag.

[Verwijderd]

Ja, probeer de web-interface. Die regels met de hand kan later wel beter zijn, maar om bepaalde services of de eerste setup te doen is die webinterface wel erg handug...

[Bor]

Verwijderd schreef op 11 December 2002 @ 20:25:
Ja, probeer de web-interface. Die regels met de hand kan later wel beter zijn, maar om bepaalde services of de eerste setup te doen is die webinterface wel erg handug...

Waarom zou het met de hand doen beter zijn? Het is zelfs de policy van Cisco dat zoveel mogelijk de webinterface gebruikt wordt. Helaas kun je daar nog niet alles configureren (zoals geen VPN). Daarna kun je met het handje de finetuning nog wel doen.

[Verwijderd]

Sommige mensen (meer dan je denkt) voelen zich erg thuis bij de commando-regel. Als ze daar hun werk beter doen, dan zal ik niet zeggen dat dat slechter is.

[Bor]

Verwijderd schreef op 12 december 2002 @ 08:17:
Sommige mensen (meer dan je denkt) voelen zich erg thuis bij de commando-regel. Als ze daar hun werk beter doen, dan zal ik niet zeggen dat dat slechter is.

Daar heb je gelijk in, daar ben ik ook een van. Maar ja , het is nu eenmaal policy aan het worden. Het voordeel aan de web interface is dat je niet zo snel iets over het hoofd ziet.

[ Voor 11% gewijzigd door Bor op 12-12-2002 10:42 ]

[Vavoom]

Ik heb even gekeken in mijn PIX. Ik mis bij jou de "conduit" regel:


static (inside,outside) "IP-adres mailserver buitenkant" "Ip-adres mailserver binnenkant" netmask 255.255.255.255 0 0

conduit permit icmp any any

conduit permit tcp host "IP-van de mailserver buitenkant" eq smtp any

Misschien kan je hier wat mee. Ik heb er zelf niet zoveel verstand van, ik heb net zolang zitten proberen tot het werkte.

[beauco]

Volgens Cisco kun je vanaf v.6 ACL's ipv conduits gebruiken.

Inmiddels heb ik al 3 keer mijn config ge-cleared, de webinterface heb ik ook al gebruikt.
En hier zijn mijn 3 redenen om de command line te gebruiken:
1. je kunt een hele config in een keer pasten
2. de VPN settings kun je niet via de webinterface toepassen, daar heb je de command line voor nodig
3. Ik vind het gewoon lekker

[Bor]

Is er inmiddels al een oplossing gevonden? Ik heb de documentatie er nog eens op nageslagen maar kan niet ontdekken wat je fout hebt gedaan.

[snakeye]

Zet je logging level eens op debugging. En ga dan eens proberen met een telnet bijvoorbeeld bij je server te komen. En dan even in de logging kijken wat ie er mee doet. Permit/deny.. etc) In de config kan ik zo niks fouts ontdekken.

[beauco]

Ik heb hem teruggestuurd ...
een nieuwe gekregen....
geconfigureerd...
en tsjakka...

Het werkt

Bedankt voor jullie ondersteuning ... het lag niet aan ons

[Bor]

Mooi om te horen dat het toch gelukt is! Succes met het verdere gebruik van de PIX!